人工智能现在能够以媲美放射科医生的精度解读医学扫描图像，从可穿戴设备数据预测疾病发作，并驱动虚拟助手实时对症状进行分诊。其临床潜力是巨大的。但一个更深层的问题困扰着卫生政策：问题不在于AI能否诊断癌症，而在于谁控制着使之成为可能的数据。
保险公司、制药巨头和金融机构拥有强大的商业动机，希望获取通过AI系统流动的大量健康数据。而旨在阻止它们的治理框架却仍然是碎片化的、不一致的，在某些地方甚至根本不存在。
2026年7月24日发表在《柳叶刀》上的一份世界报告研究了医疗保健领域AI的新兴治理框架，其发布正值一个关键时刻。包括世界卫生组织和联合国在内的多个国际机构今年已经发布了重要的政策文件。但监管雄心与现实保护之间的差距正是患者数据泄露的漏洞所在。
“核心矛盾几乎可以说是残酷的，”阿姆斯特丹大学健康数据伦理研究员玛丽安娜·沃斯博士说，她为世卫组织2026年1月的EB158/19报告做出了贡献。”医疗保健中的AI需要庞大的数据集才能有效运作。但同样的数据集包含着人们拥有的最敏感的个人信息。让算法变得更聪明的每一个字节的数据，同时也是可以被提取、出售或挪作他用的一个字节。”
这种挪作他用正是问题的核心。一个在公立医院系统数千张胸部X光片上训练出来的医学影像AI，可以学习到不仅能指示疾病，还能指示年龄、生活方式、社会经济地位和保险风险的模式。当该模型，或其背后的数据，落入保险承保人、药品营销人员或评估贷款资格的银行手中时，最初的临床目的已被悄然颠覆。
世卫组织EB158/19报告题为”健康数据治理与人工智能”，呼吁在AI、数据和数字健康领域采取协调一致的监管方法。报告强调数据保护、道德使用和问责制。报告认识到，当前各国法律的拼凑为商业数据提取创造了安全港，并敦促成员国将健康数据视为一个特殊类别，给予比一般个人信息更强的保护。
但由于主要监管集团在数据权利和商业准入方面有着根本不同的理念，跨司法管辖区的协调变得困难重重。
欧盟以最全面的框架领先。自2018年生效的《通用数据保护条例》将健康数据视为特别受保护的类别，要求在处理时获得明确同意。2025年进入执行阶段的欧盟《人工智能法案》将医疗AI列为”高风险”，要求其在部署前接受强制性合格评定。这些工具共同创造了联合国所谓的”以人为本”的方法：数据主体保留有意义的控制权，商业性二次使用被推定禁止，除非有特定豁免。
中国采取了不同但同样坚定的路径。其2021年颁布的《个人信息保护法》将医疗健康信息归类为”敏感个人信息”，要求每个处理目的都需要单独、具体的同意。一份同时涵盖临床护理和算法训练的单一同意书是不够的。该法还规定了数据本地化要求，这意味着用于AI训练的中国患者数据必须留在境内。这创造了一种围墙花园式的做法，保护了国内数据，但使国际合作复杂化。
美国是一个异类。尽管它是世界上最大的健康AI产业所在地，但它没有全面的联邦法律来管理健康AI或其消费的数据。《健康保险流通与责任法案》涵盖了医院和保险公司等覆盖实体持有的临床数据，但它制定于1996年，远在AI训练流程或数据经纪商出现之前。美国食品药品监督管理局根据具体情况监管AI驱动的医疗设备，但仅限于AI作为诊断工具销售时。保险公司内部用于调整保费或标记高成本患者的AI模型完全不在FDA的管辖范围内。
结果是碎片化。各州隐私法的拼凑，加利福尼亚州的CPRA、科罗拉多州的CPA、弗吉尼亚州的CDPA等，造成了合规迷宫。2025年关于医疗保健领域AI的行政令推动了统一的国家标准，要求卫生与公众服务部制定关于数据透明度、算法公平性和AI训练患者同意的指南。但该指南仍处于草案阶段，没有联邦立法通过。
实际后果已经显现。以医学影像AI工具为例，这些工具现已部署在全球数百家医院，用于筛查乳房X光片、胸部X光和视网膜扫描。这些系统依赖于大型、多样化的训练数据集来避免偏差。但同样的数据集，当与保险索赔或药房记录汇总时，可以生成远远超出诊断范围的预测档案。一个检测早期糖尿病视网膜病变的算法，还可以以惊人的准确度预测哪些患者可能在未来五年内提出昂贵的索赔。
健康监测可穿戴设备增加了另一个维度。智能手表和健身手环持续收集心率、睡眠模式、活动水平和血氧数据。当这些数据流连接到AI驱动的健康平台时，数据流就成为寻求基于行为风险评分调整保费的保险公司的金矿。几家美国主要保险公司已经为共享可穿戴数据的客户提供保费折扣，批评者认为这是一个强制性的两级系统，隐私需要付出代价。
虚拟健康助手和智能诊断平台引发了类似的担忧。与AI分诊机器人的对话包含详细的症状历史、药物清单和生活方式披露。根据美国现行法律，如果平台由科技公司而非医疗服务提供商运营，这些数据的大部分不受HIPAA保护。这些数据可用于训练商业模型、改进广告定位，或者在仅提供几乎无人阅读的服务条款通知的情况下出售给第三方。
保险承保算法可能是风险最高的应用。分析索赔数据、处方历史甚至健康社会决定因素以预测未来成本的AI系统在行业中越来越普遍。这些模型可以根据患者从未见过也无法上诉的算法判断，拒绝承保、提高保费或将患者引向特定的治疗路径。许多机器学习系统的”黑箱”性质意味着，即使是监管机构也难以审计决策是否公平或具有歧视性。
自动不良事件报告虽然旨在提高药物安全性，但也创造了数据暴露的新途径。当AI系统自动扫描电子健康记录以寻找药物不良反应并向监管机构提交报告时，该过程可能无意中传输整个患者病史。数据最小化，仅提取相关的临床数据点，在许多已部署的系统中仍是一个未解决的技术挑战。
联合国关于AI医疗保健治理的白皮书于2026年初发布，记录了这些不同的方法，并警告说，如果不趋同，公众信任将受到侵蚀。”如果患者担心他们最私密的健康信息将被他们从未授权的第三方货币化，就不能指望他们接受AI增强的医疗保健，”白皮书写道。它建议所有司法管辖区采用三项标准：对健康数据的任何非临床使用进行明确的自愿同意、AI训练数据集的强制性透明度报告，以及对影响患者获取或定价的算法决策进行独立审计。
这些标准能否被采纳仍不确定。欧盟最接近合规。中国在同意方面做法严格，但在独立监督方面薄弱。美国既没有全面的同意要求，也没有独立审计，尽管2025年的行政令表明了联邦层面的进展。
世卫组织EB158/19报告将这些问题的框架定为全球健康公平问题。报告指出，发展中国家往往既缺乏监管基础设施，也缺乏谈判能力来防止其患者数据被外国商业实体提取。在资源匮乏环境中训练出来的AI模型可能会产生突破性成果，这些成果在富裕国家商业化，而提供数据的社区却得不到任何回报。
医疗保健领域AI的治理挑战主要不是技术性的。甚至主要不是医学性的。这是一个权力问题：谁来决定人类产生的最私密数据如何被收集、分析和货币化。今天在日内瓦、布鲁塞尔、北京和华盛顿正在建立的框架将决定AI成为患者赋权的工具，还是披着治愈外衣的商业监控机制。
婷 翻译