医疗AI赛道合规尽职调查实务指引
医疗AI赛道合规尽职调查实务指引
（第三方律所视角·专业研究员 + 合规尽调师双视角）
（报告日期：2026年8月5日；本框架供投资、并购、上市、合作及监管沟通等场景的合规尽职调查使用；关键法条/文号均经检索核验。）
————————————————————————————
一、适用范畴与尽调目标
本框架适用于对"医疗AI"赛道各类主体的合规尽职调查，尽调对象可分为四类，其监管路径、核心风险与核查重点差异显著，须分别配置尽调模块：
尽调对象
核心业务
主监管路径
尽调首要关切
医疗AI器械厂商
影像AI、AI独立软件、手术机器人
NMPA三类证 + 注册审查指导原则
注册证真实性、算法变更合规
医疗服务/互联网诊疗平台
医疗大模型、智能导诊、互联网医院
互联网诊疗监管细则 + 国卫办规划发〔2025〕30号
处方红线、大模型备案
AI制药/生物医药企业
靶点发现、分子生成、临床试验优化
CDE/NMPA药品路径 + FDA/EMA GxP
数据完整性、HGR出境
医学研究与公共卫生机构
科研辅助、真实世界研究、HGR管理
HGR实施细则 + 科研伦理 + GCP
HGR合规、科研诚信
尽调总目标：识别"影响交易确定性/估值/持续经营"的合规缺陷，区分deal-killer（致命）、material（重大需整改）、remediable（可补救）三级，输出整改清单与交易保护建议。
二、监管全景与监管义务矩阵（中/EU/US）
（一）中国监管义务矩阵
监管域
核心法规/文件
义务要点
尽调核查点
违规后果
AI医疗器械
《医疗器械监督管理条例》国务院令739号（2021-06-01施行）；《人工智能医疗器械注册审查指导原则》等三项（NMPA 2022-03）
三类注册、注册人全程责任、算法变更申报
注册证号/有效期/算法变更是否申报
无证/虚假注册责令停产、罚款、吊销
互联网诊疗
《互联网诊疗监管细则（试行）》（2022-06）
严禁AI自动开方、严禁AI替代医师接诊
系统是否设硬约束禁止AI开方
警告、罚款、暂停服务、吊证
应用促进
国卫办规划发〔2025〕30号（2025-10-20，五部门）
大模型备案、穿透式监管、数据安全负面清单
大模型是否备案、负面清单落实
依相关法处罚
数据安全
《医疗卫生机构网络安全管理办法》国卫规划发〔2022〕29号（2022-08-08施行）
等保三级及以上重点、数据全生命周期境内、出境评估
等保定级/测评、出境是否评估
依《网安法》《数安法》《PIPL》处理
人类遗传资源
《人类遗传资源管理条例》国务院令717号（2019-07-01）+ 实施细则 科技部令21号（2023-07-01，78条）
基因/基因组数据属HGR；外方不得境内采集；出境事先报告+安全审查
HGR登记/审批/备案/事先报告
警告、罚款、没收、暂停活动
药品研发
《药品管理法》（2019-12-01施行）第17/19条；GCP 2020年第57号（2020-07-01施行）
研发符合GLP/GCP；临床试验60工作日默示许可
GCP合规、伦理审查、数据真实
责令停产、罚款、追责
医保支付
2024-11放射检查立项指南；2026-03/04 12项AI辅助诊断入医保乙类
AI辅助诊断不重复收费、合规结算
结算是否套取医保
追回+罚款+暂停医保
（二）欧盟AI Act医疗义务矩阵（Reg. EU 2024/1689）
医疗场景
条款/路线
义务生效时间
核心义务
违规后果
医疗器械类AI（含SaMD）
Annex I（MDR 2017/745、IVDR 2017/746路线）
2028-08-02（Digital Omnibus延期）
高风险：风险管理、数据治理、技术文档、人工监督、上市后监测
最高€15M或全球营业额3%
急诊分诊/分诊类
Annex III(5)(d)
2027-12-02
高风险义务同上
同上
通用目的AI（GPAI）模型用于医疗
Chapter III
2025-08-02已生效
透明度、技术文档、安全评估
最高€15M或3%
（三）美国FDA医疗AI路径
路径
适用
要点
尽调关注
510(k) clearance
多数AI/ML设备（占95%）
实质等同；放射类占75%
是否走510(k)、等同对比是否成立
De Novo
中低风险创新器械
分类界定
分类是否明确
PCCP（预定变更控制计划）
算法迭代
2024-12 finalized，管理"已获批变更"无需逐次重审
是否提交PCCP、变更边界
GxP（药品AI）
AI用于药物研发
FDA/EMA 2026-01联合发布十项原则
数据完整性、模型验证
注：截至2026年初FDA累计授权AI/ML设备超1350，尚无完全自主学习设备获批；欧盟MDR/IVDR为上市前框架。
三、数据全生命周期合法性映射（收集→删除）
健康医疗数据具有"敏感个人信息 + 可能属重要数据 + 可能属HGR"的三重属性，须分层映射。
生命周期环节
合规义务
医疗特殊要求
尽调证据
收集
最小必要、告知同意（PIPL第13/14条）
敏感个人信息（医疗健康）单独同意；HGR须书面知情同意
隐私政策、同意记录
存储
加密、分级、访问控制
等保三级及以上（医疗卫生机构网安办法）；HGR专库管理
等保测评、加密方案
使用/加工
目的限定、算法合规
AI训练数据须合法授权；HGR利用须全程中方实质性参与
数据授权链、审计日志
传输/提供
出境三路径之一
HGR信息出境须事先报告+安全审查；＞500例外显子/基因组测序须安全审查
出境评估/备案/认证文件
公开/共享
去标识化、审批
健康医疗数据少量出境（≤250条）须去标识化+数据安全委员会审批（GB/T 39725-2020）
共享协议、审批记录
删除/销毁
保存期限最短必要
HGR保藏单位年度报告（每年1-31前）
retention政策、销毁记录
表：健康医疗数据分类分级与出境触发
数据类别
法律属性
出境触发条件
个人医疗健康信息
PIPL敏感个人信息
≥100万人 或 ≥1万人敏感 → 安全评估；10万—100万非敏感或＜1万敏感 → 标准合同/认证
重要数据（涉公卫/国计民生）
《数据安全法》重要数据
一律安全评估（《数据出境安全评估办法》第4条）
人类遗传资源信息（基因/基因组）
HGR（科技部令21号）
事先报告+备份；影响国家安全/公众健康 → 安全审查；＞500例外显子/基因组须审查
临床/影像/蛋白/代谢数据
一般/敏感个人信息（非HGR）
按个人信息出境三路径
四、算法与大模型专项核查
核查项
监管要求
尽调要点
缺陷等级
大模型备案
国卫办规划发〔2025〕30号：医疗大模型规范备案
是否完成生成式AI服务备案/深度合成备案
material
算法可解释
高风险场景须可解释、防偏见
是否有偏见检测、决策依据输出
material
算法变更/重大软件更新
NMPA：算法主要更新须重新注册/变更；FDA PCCP管理
变更是否申报、PCCP是否成立
deal-killer（器械）
网络安全
《医疗器械网络安全注册审查指导原则（2022修订版）》
是否有网络安全设计、漏洞管理
material
专业审核
网信办：医疗等重点领域AI须设专业审核
是否有人工审核闭环
material
五、知识产权与训练数据权属DD
权属议题
风险点
尽调核查
医疗数据训练授权
使用医院/患者数据训练未获授权
数据