2026年10月6日，英国政府做了一件在全球医疗AI监管史上前所未有的事：全盘接受了国家医疗AI监管委员会（National Commission into the Regulation of AI in Healthcare）提出的所有44条建议。

这是一个数字和一个信号。44条建议，覆盖了从患者知情权到AI误诊责任归属、从健康数据保护到医疗AI终身周期治理的几乎所有关键议题。这些建议来自2026年9月的委员会报告，政府用一周时间全部采纳——没有删减，没有修改，没有搁置。

“全盘接受”在政策史上是罕见的。通常，政府会选择性地接受部分建议，对其他建议”保留研究”或者悄悄搁置。此次的44条全采纳，传递了一个明确信号：英国政府认为医疗AI监管已经刻不容缓，不能再等待更多研究报告或更多观望时间。

这件事的重要性，远超一份政策文件的范畴。

在过去五年，AI医疗工具已经从”辅助医生”悄悄演变为”替医生做一部分决定”。从总结病历的工具，到帮助诊断的系统，到能够在有限人工监督下执行多步骤任务的代理（agent），AI正在越来越深地嵌入临床工作流程。英国国家医疗AI监管委员会（the Commission）在其2026年9月的报告中指出，英国NHS系统中已有大量AI医疗工具在临床使用，覆盖从放射影像分析到心脏监测的多个领域，但系统性的患者告知机制严重滞后于AI工具的部署速度——这正是委员会提出建议35号（患者透明度告知）的核心原因之一。英国政府的这44条建议，试图在这个趋势不可逆转之前，画出边界。

这篇文章将带你理解这些建议的核心逻辑、为什么它们在全球范围内是先行者、以及这对患者、医院、AI公司和全球医疗AI行业意味着什么。

一、你有权知道AI正在参与你的诊疗：建议35号

让我们从最贴近每个人日常的建议开始。

建议35号的内容是：医疗机构应采用”相称性原则”，向患者解释何时在使用AI医疗产品，考虑患者被告知的合理期望以及在可能或适当情况下的退出权利。

翻译成白话：如果医生在用AI帮助诊断你的病情，你有权被告知。

这听起来理所当然，但实际上，在许多国家，这根本没有明确规定。AI工具可以以”辅助决策系统”的名义悄悄进入诊疗过程，患者看到的只是医生的最终诊断，完全不知道背后有多少是AI的判断。

英国政府接受这个建议后，将考虑如何补充现有的信息治理要求，具体包括：

  • 为患者提供AI使用的透明度说明
  • 明确患者可以选择的权利（opt-out）
  • 平衡退出权与临床有效性、公平性、患者安全

重要的是，这个建议引发了一个关于法律基础的深刻问题：患者的”退出AI辅助诊疗”的选择，与GDPR（通用数据保护条例）下的数据处理同意权，是两件事。

这意味着：即使患者退出了AI辅助诊疗，医疗机构依然可能在合法基础上处理他们的数据——例如用于AI系统的评估和改进。而这，引出了第二条重要建议。

值得注意的是，建议35号的措辞是”相称性原则”（proportionate approach）——并非”必须告知每一位患者的每一个AI工具”，而是根据患者的合理期望和实际情况做出适当的透明度安排。这个弹性空间，在实践中可能产生很大分歧：一家大型教学医院和一家社区诊所对”适当告知”的理解可能截然不同。如何在系统层面形成统一标准，是英国卫生部门接下来面临的核心挑战。从技术实现角度，这可能意味着需要在医院信息系统（HIS）中新增AI使用追踪和告知记录功能——这将给IT系统供应商带来新的开发需求，也将成为医院数字化转型的一个新维度。

（来源: JDSupra/Ropes & Gray LLP, 2026-10-13; https://www.jdsupra.com/legalnews/ten-takeaways-from-the-uk-government-s-5244130/）

二、患者数据被用来训练AI：你的病历可能正在帮助AI变得更聪明

建议44号是整个44条建议中最具争议性的之一：釐清患者数据用于AI评估和监控的使用边界。

AI医疗工具的生命周期包括四个阶段：开发、部署、评估、持续改进。每一个阶段，都可能涉及真实患者的医疗数据。问题在于：在哪个阶段，数据的使用构成”需要研究伦理审批的研究”？在哪个阶段，它只是普通的”数据处理活动”？

这个区分至关重要，因为它决定了：哪些患者数据的使用需要患者明确同意，哪些可以在更宽泛的机构授权下进行。

委员会指出，目前存在明确的不确定性，医疗机构、AI公司和医院都不清楚边界在哪里。英国政府接受了这个建议，确认健康研究局（Health Research Authority）将更新指导，以明确：

  • 哪些AI评估活动属于需要伦理审批的”研究”
  • 真实世界数据的使用在什么情况下需要研究治理机制
  • 患者数据保护要求与临床改进活动如何平衡

这对整个医疗AI行业的影响是结构性的。目前全球许多医疗AI公司都在用”真实世界患者数据”持续改进他们的AI系统——这些数据往往通过医院合作协议获取，而非明确的患者个人同意。英国的这个规定，可能开创一个先例：医疗AI的改进，必须在清晰的伦理框架内进行，而不是在法律灰色地带悄悄运行。

从商业角度看，这个边界的明确化对AI公司其实是一个好消息：规则清晰之后，合规成本可以被计算和内化，不确定性本身往往比规则本身代价更高。一家认真对待数据伦理的医疗AI公司，在清晰规则下反而能够建立竞争优势——而那些一直在法律灰色地带运营的公司，则将面临更大的调整压力。

（来源: JDSupra/Ropes & Gray LLP, 2026-10-13）

三、AI误诊，谁来负责？

这是所有人都想知道的问题，也是整个44条建议中最复杂的议题之一。

当AI系统给出了错误的诊断建议，而医生采用了这个建议导致患者受到伤害，责任应该由谁承担？

  • AI系统的开发者？
  • 提供AI工具的医院？
  • 采用AI建议的医生？

英国委员会的建议要求明确”AI开发者与医疗服务提供者之间的责任分配”——这是整个监管框架中最难回答的问题之一。

英国现有的医疗责任体系（NHS Indemnity、NHS Resolution等）是基于人类医生的失误设计的。当AI进入决策链，这个体系面临根本性的挑战：

场景一：AI给出了诊断建议，医生盲目采用并误诊 → 责任可能在医生（专业判断失职）

场景二：AI给出了诊断建议，医生仔细审查但未发现AI错误并误诊 → 责任争议：医生是否尽到审查义务？AI开发者是否提供了足够的不确定性标注？

场景三：AI系统存在已知缺陷，但医院仍在使用 → 责任可能在医院（采购和监督失职）

建议要求医疗机构在合同、培训、监督机制等多个层面明确这些责任边界。但要真正解决这个问题，可能需要立法层面的根本性变革——这在许多国家都尚未发生。

英国的这个动作是全球医疗AI责任框架建设的先行探索。其他国家——特别是欧盟（EU AI Act已经开始实施，将医疗AI明确列为高风险类别）、美国（FDA对AI医疗器械的监管正在演进，正在建立”预定变更控制计划”机制）、中国（国家卫健委和NMPA的AI医疗相关规定还在探索阶段）——都将密切关注英国的实践效果。英国的监管结果，将成为全球医疗AI监管框架演进的重要参考数据点。

这里有一个值得深思的系统性矛盾：医疗AI责任的模糊性，是全球性的，不只是英国问题。目前，大多数司法管辖区处理医疗AI责任的方式是”类比人类医生的过失责任框架”——也就是说，AI被当作一个特殊的”工具”，工具出问题，使用者（医生/医院）负责。但当AI系统变得越来越复杂、越来越自主，这个类比开始失效。

一个用于筛查糖尿病视网膜病变的AI影像分析工具，可以被类比为一台X光机——它是工具，失误由使用者负责。但一个能够访问患者完整病历、整合多源数据、输出综合诊疗建议并与其他系统协作的医疗AI代理，更像是一个”数字医生助理”——它不只是工具，它在做判断。

当AI从”工具”变成”判断者”，传统的医疗责任框架将面临根本性的挑战。这一挑战不只是英国的，也是中国、美国和全球每一个正在推进医疗AI商业化的国家必须面对的。英国委员会的建议，是第一次在政府层面正式承认这个转变正在发生，并尝试为此建立新的规则框架。

（来源: JDSupra/Ropes & Gray LLP, 2026-10-13）

四、网络安全：当医疗AI系统遭遇黑客攻击

医疗AI系统不只是医疗设备，它们是数字系统——意味着它们可以被入侵、被篡改、被勒索。

2024年，英国NHS（国家医疗服务体系）遭受了一次严重的勒索软件攻击（由Qilin勒索软件发动），伦敦国王学院医院等主要医疗机构的实验室服务被迫停止运营，超过10000例手术和门诊预约被迫取消或推迟，血液检测服务停摆数周。（来源: BBC News, 2024-06-22, https://www.bbc.co.uk/news/articles/c9vvv388dldo; 英国国家网络安全中心NCSC, 2024）当医疗AI系统被越来越深地嵌入诊疗流程，这类攻击的潜在危害将成倍放大：被攻击的不只是医疗记录，还可能是正在运行的AI诊断系统本身。

英国委员会的建议明确要求：AI医疗设备需满足更高的网络安全标准，医疗机构需要将AI系统纳入整体网络安全治理框架，而不是把AI工具作为独立的”黑盒子”管理。

这个建议的深层含义是：医疗AI的安全性，不能只看准确率和FDA/CE认证，还必须包括网络安全弹性——抵御攻击、及时恢复、最小化伤害的能力。

在网络安全领域，”医疗AI即高价值目标”正在成为行业共识。一个可以影响数千名患者诊断决策的AI系统，其价值（无论对攻击者还是防御者而言）都远超普通企业软件。

更深层的问题是：医疗AI系统的网络安全漏洞，可能产生的不只是数据泄露，而是诊断错误或治疗建议被篡改。研究人员已经证明，通过对抗性攻击（adversarial attack）可以使医疗影像AI系统产生系统性误判。Finlayson等研究者（2019）在《科学》杂志发表的论文证明，对医疗图像进行人眼无法察觉的微小修改，可以使AI分类系统产生完全错误的诊断结果。（来源: Finlayson et al., “Adversarial attacks on medical machine learning”, Science, 2019, DOI:10.1126/science.aaw4399）这种”AI影像对抗攻击”在实验室层面已经被多次验证可行，虽然迄今没有大规模真实恶意医疗案例，但随着医疗AI的普及，防御这类攻击将成为医疗网络安全的新挑战。

英国建议要求将医疗AI的网络安全要求纳入产品认证标准，这意味着AI医疗设备的上市审批将加入”网络安全测试”维度——类似于汽车碰撞测试之于汽车安全认证的逻辑。这是全球医疗AI监管的一个重要创新，值得其他国家监管机构借鉴。

五、终身周期治理：AI获批之后，监控才刚开始

这是英国44条建议中最具前瞻性的部分之一：AI医疗设备的治理不能在”获批上市”那一刻结束，而必须贯穿整个使用周期。

这背后是一个医疗AI特有的技术问题：AI系统会漂移（drift）。

一个在2024年基于历史数据训练、在某个特定医院人群上验证的AI诊断系统，到2026年在不同人群、不同数据环境下使用时，其性能可能已经发生了显著变化——而不经过系统性监控，这种变化很难被发现。

传统医疗设备（一台X光机、一个血压计）的性能不会随时间自主演变。但AI系统会。这意味着对AI医疗设备的监管，必须包括：

  • 上市后的持续性能监控
  • 性能漂移的预警机制
  • 在性能发生显著变化时的重新评估程序
  • 当AI系统更新（模型迭代）时的重新审批要求

英国政府接受了这些建议，这将要求整个医疗AI供应链（从AI开发者、到医疗器械制造商、到医院采购者）重新设计其产品和服务的后市场监控体系。

对中国市场而言，这一点尤为值得关注：中国目前已有多款医疗AI产品获得国家药监局（NMPA）的AI医疗器械认证，但对于获批后的”持续监控”，相关规定仍在完善中。英国的这个框架，可能成为包括中国在内的全球医疗AI监管的参考标准。

AI性能漂移的问题，在临床实践中已经有经过同行评审的学术文献记录。Adamson和Smith于2018年在JAMA Dermatology发表的研究”Machine Learning and Health Care Disparities in Dermatology”证明，多款AI皮肤科诊断系统在深色皮肤患者上的性能显著低于浅色皮肤患者，根本原因是训练数据集中少数族裔图像样本严重不足。（来源: Adamson & Smith, JAMA Dermatology, 2018, DOI:10.1001/jamadermatology.2018.2348）这个”数据集偏差导致部署后性能差异”的问题，是AI系统性能漂移的典型形式之一：系统在部署前通过了标准验证测试，但当面对真实世界更多样化的患者群体时，准确率系统性下降——这正是终身周期监控和真实世界性能评估的必要性所在。

终身周期治理的核心，正是要建立机制来发现这类”隐形漂移”，确保AI系统在真实世界中持续为多样化患者群体提供公平、准确的服务。

（来源: JDSupra/Ropes & Gray LLP, 2026-10-13）

六、英国为什么选择这个时间点：医疗AI的临界点

要理解英国44条建议的战略背景，需要了解一个正在发生的转变：医疗AI正在从”工具”变成”代理”（agent）。

2021年-2024年，大多数医疗AI工具还停留在”工具”阶段：它们做一件事，做得很好，医生是最终决策者。例如，用于乳腺癌筛查的AI影像分析工具，它分析X光片并给出风险评分，但最终诊断由放射科医生完成。

2025年-2026年，一个新的范式正在出现：医疗AI代理——能够访问患者病历、查阅医学文献、与其他系统交互、并在有限人工监督下执行多步骤任务的AI系统。

这个转变发生的速度，超过了监管框架演进的速度。英国国家医疗AI监管委员会的成立，正是对这个”监管赤字”的回应。

当AI系统开始执行多步骤的医疗任务，几个关键问题变得无法回避：

  • 这个AI在做什么，医生是否真的在监督？
  • 如果AI在执行任务过程中出错，错误如何被发现？
  • 谁有权”暂停”或”终止”一个正在运行的医疗AI代理？

这些问题，在传统的医疗器械监管框架下，没有现成的答案。英国的44条建议，是尝试给出答案的第一步。

值得一提的是，英国委员会在2026年9月发布报告时，距离OpenAI、Anthropic、DeepMind等主要AI公司开始大规模向医疗机构销售”代理AI”功能，只有不到一年时间。监管者罕见地以接近实时的速度回应了技术变革——这本身就是一个值得记录的政策时刻。在大多数国家，监管响应总是滞后于技术变革5到10年。英国这次的速度，也许正是因为NHS自身就是医疗AI的大买家和实验场，英国政府对这个技术的真实使用场景有着比任何其他国家政府都更直接的感知。

七、全球视角：英国之后，谁是下一个？

英国的44条建议在全球医疗AI监管版图中处于什么位置？

欧盟：EU AI Act已于2024年生效，将医疗AI明确列为”高风险AI系统”，要求严格的合规和透明度义务。EU AI Act还要求高风险AI系统在整个生命周期内进行登记，并设立了类似于英国建议的”事后监控”机制。但EU AI Act覆盖的是AI系统的部署和销售，英国的建议走得更远——它涉及诊疗过程中的实时AI使用透明度和患者权利。

美国：FDA对AI/ML医疗器械的监管框架正在持续演进，2023年发布的AI医疗器械行动计划奠定了基础，但对”患者知情权”的明确规定仍然有限。

中国：国家药监局（NMPA）已建立了AI医疗器械的审批通道，多款产品获批。但对于”患者知情权”和”AI使用透明度”的明确要求，相关文件仍处于探索阶段。随着中国的医疗AI商业化加速，这个监管缺口越来越明显。

日本、韩国、澳大利亚：这些国家都有各自的医疗AI监管探索，但还没有英国这样全面的”44条建议”级别的监管框架。尤其是日本，作为全球最大的老龄化社会之一，对AI医疗工具的需求极为迫切，其监管框架的演进速度将受到密切关注。

英国的意义，不只是建立了一套规则，而是建立了一个思考框架：医疗AI的监管需要同时关注技术能力、患者权利、数据使用、责任分配、网络安全和持续监控——任何单一维度的监管都是不完整的。

从实际影响来看，这个监管框架将首先影响在英国运营的大型医疗AI公司，包括Google Health（DeepMind医疗部门）、Microsoft（与NHS的深度合作）、以及大量专注于医学影像、病历分析的AI创业公司。对中国医疗AI公司而言，那些正在探索欧美市场的企业，也需要提前了解并内化英国的合规要求——无论是医学影像AI还是病历分析系统，进入NHS生态系统的门槛将因这些监管建议而提高。

八、对患者、医院、AI公司的实际影响

这44条建议目前还只是政府接受的”方向建议”，尚未转化为具有法律约束力的规定。真正的实施需要进一步的法规修订、指导文件发布和行业协议。但方向已经明确，行业应该开始准备。

对患者：

  • 未来，当AI参与诊疗过程，你有权被告知
  • 当你的病历数据被用于AI系统训练，你有更清晰的权利保护
  • 当AI诊断出错，责任追溯将更加清晰
  • 患者将拥有明确的AI”退出”选择权，尽管这个权利有其边界（不能影响必要的临床安全）

对医院/NHS：

  • 需要更新患者告知流程，明确AI使用透明度，可能需要重新设计患者入院和知情同意文件
  • 采购AI医疗工具时，需要将后市场监控条款纳入合同，要求供应商提供持续的性能报告
  • 需要将AI系统纳入整体网络安全治理框架，不能把AI系统当”黑盒子”单独管理
  • 对AI系统的采购决策，需要纳入更广泛的利益相关者讨论，包括临床医生、伦理委员会和患者代表

对AI医疗公司：

  • 不能在销售合同签署后就”甩手不管”，持续的性能监控责任需要明确
  • 产品设计需要内置透明度机制（可解释AI、不确定性标注）
  • 数据使用协议需要更加精细，区分”研究”和”非研究”的数据使用
  • 产品路线图需要考虑监管成本：终身周期治理意味着持续投入，不只是一次性认证
  • 公司需要建立”真实世界监控”能力，能够主动发现并报告AI系统在实际使用中的性能变化

对于中国的医疗AI公司，这个方向也有重要参考价值。许多中国医疗AI公司正在积极拓展海外市场，包括英国、欧盟、东南亚。英国的这个监管框架将成为进入英国市场的门槛要求，提前了解并在产品设计中内化这些要求，可以大幅降低未来的合规成本。

更深远的影响是：当英国（以及欧盟、美国）的医疗AI监管标准逐渐成型，中国国内的监管机构也不可避免地会参考这些框架，推动本土标准升级。先进监管框架的”出口效应”，是全球医疗AI行业在未来5-10年必须面对的现实。中国医疗AI公司如果能够提前布局合规体系，将在全球市场竞争中占据更有利的位置。

（来源: JDSupra/Ropes & Gray LLP, 2026-10-13）

结语：44条建议，只是开始

英国政府接受44条建议，不是结束，而是开始。

更多的指导文件需要发布，现有法律可能需要修订，整个医疗AI行业生态——开发者、医院、医疗器械监管机构、数据保护机构——都需要在新框架下重新定位自己的角色。这个过程预计将持续3到5年，涉及多个英国政府部门、NHS系统、英国药品和医疗保健产品监管局（MHRA）以及信息专员办公室（ICO）的协调配合。

但有一件事已经清晰：当AI医疗系统的决策开始影响每一个普通人的健康和生命，”AI是什么、谁负责、患者有什么权利”这些问题，不能再留给市场自行解决。

英国的选择，是让政府来划定边界。世界上其他国家的医疗AI政策制定者，都将密切注视这44条建议落地后的结果——这可能是全球医疗AI监管史上最重要的一次自然实验。

下一次你走进医院，也许值得问一句：这里有AI在帮助做判断吗？根据英国的新规，你有权得到这个问题的答案。在中国、美国、欧盟，这个权利还在路上——但英国已经在今天说清楚了方向。当第一批真正落地的医疗AI监管案例在英国出现，当第一起”AI医疗透明度违规”案件在法庭上被审判，全球医疗AI的规则将开始真正意义上的成型。医疗AI的黄金时代，或许正以一份被接受的44条建议为起点，真正开始了。

参考资料：

  1. JDSupra (Ropes & Gray LLP): Ten Takeaways From the UK Government’s Strategy For AI Regulation in Healthcare, 2026-10-13. https://www.jdsupra.com/legalnews/ten-takeaways-from-the-uk-government-s-5244130/
  2. UK Government: National Commission into the Regulation of AI in Healthcare, Government Response, 2026-10-06. https://www.gov.uk/government/publications/ai-in-healthcare-national-commission-government-response
  3. BBC News: NHS London hospitals hackers publish stolen data, 2024-06-22. https://www.bbc.co.uk/news/articles/c9vvv388dldo
  4. Adamson & Smith: Machine Learning and Health Care Disparities in Dermatology, JAMA Dermatology, 2018. DOI:10.1001/jamadermatology.2018.2348
  5. Finlayson et al.: Adversarial attacks on medical machine learning, Science, 2019. DOI:10.1126/science.aaw4399
  6. EU AI Act: Regulation (EU) 2024/1689. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689