人工智慧技術用於醫療臨床決策支援之規範與挑戰—以美國FDA為例
資訊工業策進會科技法律研究所
蔡宜臻法律研究員
2018年11月27日
壹、事件摘要
美國係推動人工智慧用於醫療服務的領航國家,FDA轄下的數位健康計畫(Digital Health Program)小組負責針對軟體醫療器材規劃新的技術監管模式,在過去五年中,該計畫發布了若干指導文件 ,嘗試為醫用軟體提供更為合適的監督管理機制。但由於指導文件並非法律,監管的不確定性依舊存在,因此近兩年 FDA推動修法並做成多項草案與工作計畫,望以更具約束力的方式回應軟體醫療器材最新技術於臨床之適用。當中最為重要的法制變革,便是2016年底國會通過之《21世紀治癒法》(21st Century Cures Act)。該法重新定義了醫用軟體的監管範圍,一般認為是對人工智慧醫用軟體的監管進行鬆綁,或有助於人工智慧醫用軟體的開發與上市。然而在新法實施近兩年以來,實務上發現人工智慧的技術特質,會導致在進行某些「臨床決策支援之人工智慧軟體」是否為醫療器材軟體之認定時,產生極大的不確定性。對此FDA也於2017年12月作成《臨床與病患決策支持軟體指南草案》(Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration),望能就部份《21世紀治癒法》及其所修正之《聯邦食品藥物化妝品法》(Federal Food, Drug, and Cosmetic Act, FD&C Act)[1]裡的規範文字提供更為詳細的說明。
本文望能為此項法制變革與其後續衍生之爭議進行剖析。以下將在第貳部分重點說明美國2016年頒布的《21世紀治癒法》內容;在第參部份則針對人工智慧技術用於醫療臨床決策支援所發生之爭議進行分析;最後在第肆部份進行總結。
貳、重點說明
2016年12月美國國會頒布了《21世紀治癒法》,在第3060節明確界定了FDA對數位健康產品(Digital Health Products)之管轄範圍,將某些類型的數位健康產品排除在FDA醫療器材(medical device)定義之外而毋須受FDA監管。此規定亦修正了美國《聯邦食品藥物化妝品法》第520節(o)項有關FDA排除納管之軟體類別之規定。
根據新修正的《聯邦食品藥物化妝品法》第520節(o)(1)項,美國對於醫用軟體的監管範疇之劃設乃是採取負面表列,規定以下幾種類型的軟體為不屬於FDA監管的醫用軟體:
(1)不從體外醫療器材或訊號蒐集系統來讀取、處理或分析醫療影像或訊號[6]。
(2)目的在於展示、分析或印製病患醫療資訊,或其他醫療訊息(例如:偕同診斷之醫療研究、臨床處置指南)[7]。
(3)目的在於替醫療專業人員就疾病或症狀之預防、診斷或處置提供支持或臨床建議[8]。
(4)使醫師在使用該軟體時尚能獨立審查「臨床建議產生之基礎」,因此醫師所做成之臨床診斷或決策,並非主要依賴該軟體提供之臨床建議[9]。
雖然大多數被排除的類別相對無爭議,但仍有一部分引起法律上不小的討論,即《聯邦食品藥物化妝品法》第520節(o)(1)(E)項所指涉的某些類型之臨床決策支援軟體(Clinical Decision Support Software,以下簡稱CDS軟體)。
CDS軟體係指分析數據以幫助醫療手段實施者(例如:醫師)做出臨床決策的軟體。多數以人工智慧為技術基礎的醫療軟體屬於此一類型,比方病理影像分析系統。根據《21世紀治癒法》與《聯邦食品藥物化妝品法》,CDS軟體是否被排除在FDA的管轄範圍之外,取決於該軟體是否「使醫師在使用該軟體時尚能獨立審查『臨床建議產生之基礎』,因此醫師所做成之臨床診斷或決策,並非主要依賴該軟體提供之臨床建議」[10]。若肯定,則將不被視為FDA所定義之醫療器材。為使此一規定更加明確,FDA於2017年12月8日發布了《臨床與病患決策支持軟體指南草案》,該指南草案針對如何評估軟體是否能讓醫師獨立審查臨床建議產生之基礎進行說明。FDA表示該軟體至少要能清楚解釋以下四點[11]:
後續方有機會被FDA認定係令醫療專業人員使用該軟體時,能「獨立審查」臨床建議產生之基礎。換言之,指南草案所提的四點,為FDA肯認醫師在使用軟體時尚能「獨立審查」之必要前提。除此之外,指南草案尚稱預期使用者必須能自己做成與軟體相同之判斷,並且要求「用於生成臨床建議與演算邏輯的原始資料必須可被預期使用者辨識、近用、理解,並為公眾可得」[12],進而方有機會符合《聯邦食品藥物化妝品法》第520節(o)(1)(E)(iii)之規定;若該軟體亦同時符合第520節(o)(1)(E)之其他要件,則有望被劃分為非醫療器材而不必受FDA監管。
由於規範內容較為複雜,指南草案亦提供案例說明。比方若一糖尿病診斷軟體是由醫生輸入患者參數和實驗室測試結果(例如空腹血糖、口服葡萄糖耐量測試結果或血紅蛋白A1c測試結果),並且該裝置根據既定臨床指南建議患者的病情是否符合糖尿病的定義,可被FDA認定為「非醫療器材」[13];而諸如分析電腦斷層、超音波影像之軟體,則仍維持屬於醫療器材[14]。
另需注意的是,《聯邦食品藥物化妝品法》在第520節(o)(3)(A)(i)項亦建立「彌補性納回(claw-back)」機制,FDA需遵守通知評論程序(notice-and-comment process)以便及時發現軟體可能對健康造成嚴重危害的風險,並隨時將之納回監管範疇中。同時FDA每兩年必須向國會報告醫療器材軟體的實施經驗[15]。
參、事件評析
《21世紀治癒法》頒布至今兩年,FDA已核准多個以人工智慧為技術核心的軟體,例如在2018年2月13日通過能自動偵測可疑的大血管阻塞(large vessel occlusion, LVO),並迅速通知醫師病人可能有的中風危險的臨床決策支援軟體:Viz.AI Contact application;又比如於2018年4月11日通過利用演算法分析由視網膜攝影機(Topcon NW400)所獲得的影像,快速篩檢糖尿病病人是否有必須由專業眼科醫師治療的視網膜病變的IDx-DR。
然而,在CDS軟體以人工智慧為技術核心時,現有的法規與監管框架依舊有幾點疑慮:
一、「理解」演算法?
根據新修正之《聯邦食品藥物化妝品法》,如果CDS軟體欲不受FDA監管,醫師的決策必須保持獨立性。目前規定只要該醫療產品「企圖」(intended to)使醫師等專業人員理解演算法即可,並不論醫師是否真正理解演算法。然而,若FDA肯認理解演算法對於執行醫療行為是重要的,那麼當CDS係基於機器學習產生演算法時,具體該如何「理解」就連開發者本身都未必能清楚解釋的演算法?有學者甚至認為,CDS軟體是否受到FDA法規的約束,可能會引導至一個典型的認識論問題:「我們是怎麼知道的?(How do we know?)」[16]。對此問題,我們或許需要思考:當醫師無法理解演算法,會發生什麼問題?更甚者,未來我們是否需要訓練一批同時具備人工智慧科學背景的醫療人員?[17]
二、如何要求演算法透明度?
指南草案所提之「清楚解釋臨床建議產生背後之邏輯或支持證據」以及資料來源為公眾可得、醫生對演算法使用的資料來源之近用權限等,被認為是FDA要求廠商應使CDS軟體之演算法透明[18]。但根據FDA指南草案公告後得到的反饋,醫療軟體廠商對此要求認為並不合理。廠商認為,應該從實際使用效益來審視人工智慧或機器學習軟體所提出的臨床建議是否正確,而不是演算法是什麼、怎麼產生[19]。
三、醫療專業人員之獨立專業判斷是否會逐漸被演算法取代?未來醫療軟體廠商與醫療專業人員之責任該如何區分?
FDA目前的法規與指南並未直接回應此二問題,惟其對於不被列管之CDS軟體之規定係需使醫師並非主要依賴該軟體提供之臨床建議、醫師能自己做成與軟體相同之判斷。由反面解釋,即FDA肯認部份CDS軟體具備與醫師雷同之臨床診斷、處置、決策之功能,或能部份取代醫師職能,因此需受FDA監管。是故,醫師之專業能力與人工智慧演算法相互之間具有取代關係,已是現在進行式。惟究竟醫師的判斷有多少是倚靠人工智慧現階段尚無法取得量化證據,或需數年時間透過實證研究方能研判。往後,醫療軟體廠商與醫師之責任該如何區分,將會是一大難題。
肆、結語
隨著醫療大數據分析與人工智慧技術的發展,傳統認知上的醫療器材定義已隨之改變。雖然硬體設備仍然在診斷、治療與照護上扮演極為重要的角色,但軟體技術的進步正在重新改寫現代醫療服務執行以及管理模式。這些新產品及服務為醫療器材市場帶來活水,但同時也形成新的監管議題而必須採取適當的調整措施。美國FDA針對近年來呈爆炸性發展的醫療軟體產業不斷調整或制定新的監管框架,以兼顧使用者安全與新技術開展,並於2016年通過了極具改革意義的《21世紀治癒法》,且以此法修正了《聯邦食品藥物化妝品法》。
然而,新法實施後,關於個別醫用軟體是否納為不受FDA監管的醫療器材仍有法律認定上的灰色空間。舉例而言,倍受矚目的以人工智慧為核心技術的CDS軟體,在新法框架下似乎可能存在於監管紅線的兩側。根據新修正之《聯邦食品藥物化妝品法》,一CDS軟體是否屬於醫療器材軟體,關鍵在於醫師能否「獨立審查」從而「非主要依賴」軟體所提供之臨床建議。也由於此要件概念較為模糊,FDA後續在2017年發布《臨床與病患決策支持軟體指南草案》為此提供進一步解釋,然而仍無法妥適處理人工智慧機器學習技術所導致的演算法「該如何理解?」、「透明度該如何認定?」等問題。更甚者,從整體醫療服務體系納入人工智慧協助臨床決策診斷之趨勢觀之,未來醫療專業人員的獨立判斷是否會逐漸被演算法取代?未來人工智慧軟體與醫療專業人員之責任該如何區分?都是醞釀當中的重要議題,值得持續關注。
[1] 21 U.S. Code §360j
[2] FD&C Act Sec. 520(o)(1)(A)
[3] FD&C Act Sec. 520(o)(1)(B)
[4] FD&C Act Sec. 520(o)(1)(C)
[5] FD&C Act Sec. 520(o)(1)(D)
[6] FD&C Act Sec. 520(o)(1)(E)
[7] FD&C Act Sec. 520(o)(1)(E)(i)
[8] FD&C Act Sec. 520(o)(1)(E)(ii)
[9] FD&C Act Sec. 520(o)(1)(E)(iii)
[10] “Enabling such health care professionals to independently review the bases for such recommendations that such software presents so that it is not the intent that such health care professional rely primary on any of such recommendations to make clinical diagnosis or treatment decisions regarding individual patient.” FD&C Act, Sec. 520(O)(1)(E)(iii)
[11] FOOD AND DRUG ADMINISTRATION[FDA], Clinical and Patient Decision Support Software-Draft Guidance for Industry and Food and Drug Administration (2017), .at 8 https://www.fda.gov/downloads/medicaldevices/deviceregulationandguidance/guidancedocuments/ucm587819.pdf (last visited Sep. 21, 2018)
[12] 原文為 “The sources supporting the recommendation or underlying the rationale for the recommendation should be identified and easily accessible to the intended user, understandable by the intended user (e.g., data points whose meaning is well understood by the intended user), and publicly available (e.g., clinical practice guidelines, published literature)”, id, at 8
[13] FOOD AND DRUG ADMINISTRATION[FDA], supra note 11
[14]FOOD AND DRUG ADMINISTRATION[FDA], supra note 11
[15] 21th Century Cures Act, Sec. 3060(b)
[16] Barbara J. Evans & Pilar Ossorio, The Challenge of Regulating Clinical Decision Support Software after 21st Century Cures. AMERICAN JOURNAL OF LAW AND MEDICINE (2018), https://papers.ssrn.com/sol3/Delivery.cfm/SSRN_ID3142822_code1078988.pdf?abstractid=3142822&mirid=1 (last visited Sep. 21, 2018)
[17] Id.
[18] Gail H. Javitt & J.D., M.P.H., ANESTHESIOLOGY, Regulatory Landscape for Clinical Decision Support Technology (2018), http://anesthesiology.pubs.asahq.org/article.aspx?articleid=2669863 (last visited Sep. 21, 2018)
[19] REGULATIONS.GOV, Clinical and Patient Decision Support Software; Draft Guidance for Industry and Food and Drug Administration Staff; Availability(Dec. 8, 2017) https://www.regulations.gov/docketBrowser?rpp=25&po=0&dct=PS&D=FDA-2017-D-6569&refD=FDA-2017-D-6569-0001 (last visited Sep. 25, 2018)
新加坡網路安全局(Cyber Security Agency of Singapore, CSA)於2024年10月15日發布人工智慧系統安全指南(Guidelines on Securing AI Systems),旨在強化AI系統安全,協助組織以安全之方式運用AI,降低潛在風險。 該指南將AI系統生命週期分成五個關鍵階段,分別針對各階段的安全風險,提出相關防範措施: (1)規劃與設計:提高AI安全風險認知能力,進行安全風險評估。 (2)開發:提升訓練資料、模型、應用程式介面與軟體庫之供應安全,確保供應商遵守安全政策與國際標準或進行風險管理;並辨識、追蹤及保護AI相關資產(例如模型、資料、輸入指令),以確保AI開發環境安全。 (3)部署:適用標準安全措施(例如存取控制、日誌記錄),並建立事件管理程序。 (4)運作與維護:持續監控AI系統的輸入和輸出,偵測異常與潛在攻擊,並建立漏洞揭露流程。 (5)壽命終期:應根據相關行業標準或法規,對資料與模型進行適當之處理、銷毀,防止未經授權之存取。 CSA期待該指南發布後,將有助於預防供應鏈攻擊(supply chain attacks)、對抗式機器學習攻擊(Adversarial Machine Learning attacks)等安全風險,確保AI系統的整體安全與穩定運行。
歐盟執委會與OECD共同倡議提出中小學教育AI素養框架歐盟執委會與經濟合作發展組織(OECD)共同合作倡議,發佈《為AI時代賦能學習者:小學與中學的AI素養框架》(Empowering Learners for the Age of AI: An AI Literacy Framework for Primary and Secondary Education),旨加強全球教育體系內之AI素養。 該框架將AI素養定義為於AI時代必備之技術知識、技能以及態度。使學習者能夠理解AI系統之運作方式、能批判性地評估其輸出,並以符合倫理及創意之方式使用AI。AI素養分為與AI互動(Engage with AI)、與AI共同創造(Create with AI)、管理AI(Manage AI)以及塑造AI(Shape AI)四大領域。從被動使用AI到主動創造,四個領域間相輔相成,使學生有能力為自己與他人對AI之使用及創造做出正確判斷。而AI素養之建構則包含三大核心能力: 1. 知識(Knowledge):指理解AI系統之基本概念,包含對系統技術本身之理解、AI反映人類選擇及角度、AI之能力限制以及其社會角色。 2. 技能(Skills):指應用AI之基本能力,引導學習者與AI進行負責且有創意之互動。相關技能包含批判性思考、合作、創意、問題解決、計算、溝通、自我及社交認知。 3. 態度(Attitudes):指學習者不論於熟悉或新興情境使用AI時,皆須採取之心態。包含反思、負責任、好奇、創新、適應力以及同理心。 此外,框架強調AI素養之養成並非單靠教師或教育工作者,需要完整教育系統之共同參與,除教師外,課程設計師及教師培訓提供者、學校及教育系統領導者、教育政策制定者以及家長或監護人皆為學生培養AI素養不可或缺之角色。 整體而言,該框架將AI素養透過循序漸進之四大領域以及三大核心,強調全體教育體系之共同合作,培育具備自主判斷能力及AI素養之學習者。
日本2021年修正《個人資料保護法》,整合個資法體系日本於2021年5月19日公布新修正之《個人資料保護法》(個人情報の保護に関する法律),並預計於2022年4月正式施行。修法重點如下: 一、法律形式及法律管轄一元化:現行日本個人資料保護法制依適用對象分為《個人資料保護法》、《行政機關個人資料保護法》(法律行政機関の保有する個人情報の保護に関する法律)、《獨立行政法人等個人資料保護法》(独立行政法人等の保有する個人情報の保護に関する法律)及各地方政府個人資料保護條例等不同規範,修法後將統一適用《個人資料保護法》,並受到個人資料保護委員會之監督管理。 二、整合醫療及學術領域之規範:目前醫療及學術機構因隸屬於公部門或私部門適用不同規範,修法後無論公私立醫院、大學等原則上均適用相同規範。 三、調整學術研究之豁免規定:基於學術研究自由為憲法保障之基本權,現行《個人資料保護法》明文規定學術研究一律排除適用本法規定,惟2019年日本取得《歐盟一般資料保護規則》(GDPR)適足性認定之範圍未包含學術研究,故修法調整豁免規定為例外情形排除適用,如變更利用目的、取得敏感性個人資料及提供予第三者之情形。 四、整合個人資料及匿名化資料之定義:修法將公部門與私部門對個人資料之定義,整合為包含「易於」與其他資料比對後得以識別特定個人之要件。而《行政機關個人資料保護法》所稱「去識別化資料」(非識別加工情報),與《個人資料保護法》所稱「匿名化資料」(匿名加工情報),修法後將統一稱為「匿名化資料」。 為銜接上述修法內容,日本個人資料保護委員會自2021年8月起陸續針對《個人資料保護法施行令》、《個人資料保護法施行規則》及個人資料保護法相關指引公開徵求意見,後續值得持續觀察日本個人資料保護法制發展。
中國大陸「網路預約出租汽車經營管理暫行辦法」所謂中國大陸《網路預約出租汽車經營管理暫行辦法》,是指中國大陸針對目前在各國都陸續發生法律爭議的網路出租車叫車平臺,例如源自美國加州舊金山的優步(Uber),或是中國大陸當地發展的滴滴打車服務,所制定的專法規範,以期解決網路出租車叫車平臺所可能產生的法律爭議。 類似Uber的服務型態,之所以會產生法律爭議,主要是因為汽車運輸載客的商業行為,在各國都會受到汽車運輸業的相關管制,以保障運輸服務乘客安全及消費權益。以德國為例,就曾因此對Uber進行行政處罰,並進一步於司法判決中要求Uber司機需取得營運牌照。 也因此中國大陸交通運輸部在2016年7月14日通過,並於2016年11月1日起施行《網路預約出租汽車經營管理暫行辦法》,該規定將網路預約出租汽車服務定義為「預約出租客運」,平台業者需負擔車輛營運、收益分配與司機管理等等的任務,且其地位為中國大陸汽車運輸載客法規中的客運服務承運人,需負擔相當責任,而並非如Uber等所主張的其僅為仲介平台,不具客運服務承運人之地位。 此外,該辦法亦要求網路預約出租汽車之司機應滿足無交通肇事犯罪紀錄、無危險駕駛犯罪紀錄、無吸毒紀錄、無飲酒後駕駛紀錄、無暴力犯罪紀錄等條件。