跳到正文
返回按行业看合规

医疗 AI：出海合规要点

22 部法规、133 条义务，覆盖 13 个辖区。

加拿大中国大陆欧盟日本韩国沙特阿拉伯新加坡美国（联邦）美国·加州美国·科罗拉多州美国·伊利诺伊州美国·得州美国·犹他州
按我们的目标市场再筛一遍

这个赛道最硬的几条义务

  • 禁止性人工智能实践筛查与产品下线欧盟 · 极高 · 2025-02-02

    对拟在欧盟投放或其输出在欧盟被使用的全部 AI 功能逐项比对第 5 条禁止清单（操纵与欺骗、利用弱势群体、社会评分、基于画像的个人犯罪预测、无差别抓取人脸建库、职场与教育场景情绪识别、推断受保护特征的生物特征归类、执法用途的实时远程生物特征识别，以及自 2026-12-02 起适用的非自愿私密影像与儿童性虐待材料生成），命中项必须在投放前移除或做技术封堵，并留下评审记录。

  • 通用人工智能模型技术文档与下游集成方文档欧盟 · 极高 · 2025-08-02

    编制并持续更新模型技术文档（含训练与测试过程、评测结果，至少覆盖附件 XI 要素），备查提供给欧盟人工智能办公室与成员国主管机关；同时向拟集成该模型的 AI 系统提供者提供至少覆盖附件 XII 的信息与文档，使其足以理解模型能力与限制并履行自身义务。以完全免费开源许可发布、且权重、架构与用法信息公开的模型可豁免此两项，但系统性风险模型不得豁免。

  • 通用人工智能模型训练内容公开摘要欧盟 · 极高 · 2025-08-02

    按欧盟人工智能办公室发布的官方模板编制并公开发布"训练内容充分详细摘要"，需说明数据来源构成（含大型数据集与主要域名）、数据获取与处理方式，使权利人等利益相关方能够行使欧盟法下的权利。摘要须与模型实际训练数据一致，并随模型版本更新。

  • 通用人工智能模型版权合规政策与权利保留识别欧盟 · 高 · 2025-08-02

    建立并执行遵守欧盟版权法的内部政策，特别是运用最新技术识别并尊重权利人依《数字单一市场版权指令》(EU) 2019/790 第 4(3) 条作出的文本与数据挖掘权利保留（例如 robots.txt、机器可读的选择退出信号）。政策须覆盖数据抓取、数据集采购、微调数据与合成数据链路。

  • 系统性风险模型的算力门槛判定与两周内通知委员会欧盟 · 极高 · 2025-08-02

    持续测算模型训练累计算力。依第 51(2) 条，训练累计浮点运算量大于 10^25 FLOP 的通用人工智能模型被推定具备高影响能力，从而被归类为具系统性风险的模型。达到或预见将达到该条件时，须在两周内通知欧盟委员会并提交证明材料；若认为模型因其特性实际不具系统性风险，可在通知时一并提交充分论证请求豁免。

  • 系统性风险模型的评测、风险缓释、事件报告与网络安全欧盟 · 极高 · 2025-08-02

    在第 53、54 条义务之外，具系统性风险的模型提供者还须：按反映最新水平的标准化协议进行模型评测并记录对抗性测试；评估并缓释在欧盟层面可能产生的系统性风险；将严重事件及拟采取的纠正措施及时报告欧盟人工智能办公室（必要时同时报告成员国主管机关）；为模型本身及其物理基础设施提供充分的网络安全保护。

  • 第三国通用人工智能模型提供者的欧盟授权代表欧盟 · 极高 · 2025-08-02

    在欧盟市场投放通用人工智能模型之前，设立于第三国的提供者须以书面授权委托一名设立于欧盟境内的授权代表。代表须核验附件 XI 技术文档已编制、第 53 条（及适用时第 55 条）义务已履行，在模型投放后 10 年内保存技术文档副本与提供者联系方式，应欧盟人工智能办公室合理请求提供全部信息，并就该模型配合监管行动。开源且权重、架构、用法公开的模型可豁免，但系统性风险模型不得豁免。

  • 与自然人直接交互的 AI 系统告知义务欧盟 · 高 · 2026-08-02

    拟与自然人直接交互的 AI 系统（对话机器人、语音助理、客服与销售智能体等）须在设计上确保用户被告知正在与 AI 交互，除非对一个具备合理认知与注意的人而言这一点显而易见。告知须在首次交互时以清晰可辨的方式提供，并符合无障碍要求。

  • 合成内容的机器可读标记与可检测性欧盟 · 极高 · 2026-08-02

    生成合成音频、图像、视频或文本的 AI 系统（含通用人工智能系统）提供者，须确保系统输出被以机器可读格式标记并可被检测为人工生成或操纵，且技术方案须有效、可互操作、稳健、可靠。仅执行标准编辑辅助功能、或未实质改变部署者输入数据及其语义的系统不适用。可通过加入《AI 生成内容透明度行为准则》（Code of Practice on Transparency of AI-generated Content，2026-06-10 发布的自愿工具）证明合规，不加入者须以等效充分的其他方式举证。

  • 深度伪造、情绪识别与生物特征归类的部署者披露欧盟 · 高 · 2026-08-02

    部署者使用情绪识别或生物特征归类系统时，须告知被暴露于该系统的自然人并依 GDPR 处理个人数据；生成或操纵构成深度伪造的图像、音频、视频内容时，须披露该内容系人工生成或操纵；发布用于就公共利益事项告知公众的 AI 生成或操纵文本时，同样须披露（已经人工审核且有自然人或法人承担编辑责任的除外）。艺术、创意、讽刺、虚构作品的披露方式可限于不妨碍作品呈现的适当方式。

  • 高风险分类判定与不属于高风险的自评备案欧盟 · 极高 · 2027-12-02

    逐个系统判定是否属于第 6(1) 条（作为附件 I 所列欧盟协调立法所涵盖产品的安全组件，或本身即为该类产品）或第 6(2) 条（附件 III 列举场景）的高风险 AI 系统。AI Omnibus 新增第 6(1a)-(1c) 条澄清：仅用于非安全相关的用户辅助、性能优化、服务效率、自动化、便利性或质量控制的 AI 系统不构成安全组件，但其失效或故障会危及健康与安全的仍构成安全组件。若提供者依第 6(3) 条认定某附件 III 场景系统不属于高风险，须在投放前将自身与该系统在欧盟数据库登记。

  • 高风险系统的全生命周期风险管理体系欧盟 · 极高 · 2027-12-02

    建立、实施、记录并维护贯穿系统全生命周期的持续迭代风险管理流程：识别与分析按预期用途使用时对健康、安全与基本权利的已知及合理可预见风险；评估预期用途及合理可预见误用条件下可能出现的风险；结合第 72 条上市后监测数据评估其他风险；并采取有针对性的风险管理措施，使各项残余风险与整体残余风险被判定为可接受。

  • 高风险系统的训练、验证与测试数据治理欧盟 · 极高 · 2027-12-02

    使用模型训练技术的高风险系统，其训练、验证与测试数据集须满足第 10(2)-(4) 条的质量标准（设计选择、数据来源与收集过程、数据准备、假设检验、数据充分性评估、偏见识别与缓释、数据缺口处理，以及对目标人群与地域/场景特性的代表性）。不使用训练技术的系统，上述要求仅适用于测试数据集。AI Omnibus 删除了原第 10(5) 条，并新增第 4a 条，在严格条件下允许为偏见检测与纠正处理特殊类别个人数据。

  • 高风险系统技术文档（附件 IV）欧盟 · 极高 · 2027-12-02

    在投放市场或投入使用前编制技术文档并保持更新，至少包含附件 IV 列明的全部要素，以清晰完整的形式使国家主管机关与公告机构能够评估系统合规性。AI Omnibus 修订第 11(1) 条：中小企业（含初创）与小型中型市值企业（SMC）可按委员会发布的简化技术文档表格提交，公告机构须接受该表格。

  • 高风险系统的自动日志记录能力与日志留存欧盟 · 高 · 2027-12-02

    高风险系统须在技术上支持全生命周期的事件自动记录，日志能力须足以识别可能导致系统构成第 79(1) 条风险或发生实质性修改的情形、支撑第 72 条上市后监测、并支持部署者依第 26(5) 条进行运行监控。提供者须对其可控的自动生成日志至少保存六个月（另有欧盟或成员国法律规定的从其规定）；部署者对其可控日志同样至少保存六个月。远程生物特征识别类系统还须至少记录每次使用的起止时间、比对数据库、命中输入数据与核验人员身份。

给这个赛道的现成材料

GDPR 数据保护影响评估（DPIA）——面向 AI 训练与推理场景欧盟人工智能法案 附件 IV 高风险 AI 系统技术文档欧盟人工智能法案 第 27 条 基本权利影响评估（FRIA）个人信息保护影响评估报告（PIPIA）数据卡（Data Card）——训练、验证与测试数据集说明书AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）ISO/IEC 42001 人工智能管理体系实施与认证准备清单

来源（57）

内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。

GDPR · PIPL · CCPA 控制映射
AI 决策可追溯 · 有来源即标注
ISO 27001 对标推进中
WCAG 2.1 AA 可访问性目标
医疗 AI：出海合规要点 | 海问 HQ