（續前篇）
醫療器材品質管理系統整合、風險治理及全生命週期合規初探
本文以網路搜集來的介紹文件及概要說明為參考基礎，並利用公開法規資料補充及核對，以人工智慧協助進行個人判斷，完成之介紹性文章，僅供一般資訊與個人持續教育用途，不構成法律意見、資訊服務或對任何產品符合特定法律之保證。引用請註明出處。文中如有引用疏漏，歡迎聯繫補正。
CC BY-NC-ND。非供AI模型訓練。
AI quality management system
4.2 Why ISO 13485 is a foundation, not a substitute｜為什麼 ISO 13485 是基礎，而非替代品？
ISO 13485 的價值在於醫療器材品質管理。對已有成熟 QMS 的製造商而言，設計開發控制、文件管理、供應商控制、不符合品處理、矯正措施、追溯及上市後活動等既有機制，通常可以支援 EN 18286 的部分實施工作。
但「可以支援」與「已經充分符合」是兩個不同的判斷。
例如：某企業的 ISO 13485 系統可能已經要求每次軟體更新都經過變更審查。然而，AI 系統的變更評估還可能需要回答：
- 模型權重或架構是否發生改變？
- 訓練、查證或測試資料是否變更？
- 預期用途、適用人群或使用環境是否改變？
- 原有性能證據是否仍適用？
- 是否需要重新執行部分或全部查證與確效？
- 是否構成 AI Act 所稱的重大修改？
- 是否影響既有符合性評估、技術文件或其他法規義務？
如果現有程序沒有充分處理這些問題，就應補充控制措施。
相反地，如果企業已經有完善的設計變更、風險管理及軟體版本控制程序，而且這些程序確實涵蓋 AI 模型、資料及法規符合性的相關問題，就沒有必要為了形式上的標準差異而重複建立完全相同的程序。
English principle: Reuse the control, but
verify the coverage. A shared procedure is acceptable only when it demonstrably
addresses the applicable requirements and produces adequate evidence.
4.3 Why ISO/IEC 42001 does not automatically establish product
conformity｜為什麼 ISO/IEC 42001 不會自動證明產品符合性？
ISO/IEC
42001 著重組織如何建立、實施、維護及持續改進 AI 管理系統。這可以幫助企業建立政策、治理架構、角色分工、風險處理及管理審查機制。但在 AI Act 下，該標準並不具備特定符合性推定效力。
該標準提供組織導向的治理框架（企業如何負責任地管理 AI），引導組織層級運作的治理證據，並不必然等於特定產品的技術符合性證據。
例如：一家企業可能已建立完善的 AI 治理政策，要求所有模型開發活動遵守資料品質原則，並由跨部門委員會審查高風險應用。然而，若某一醫療 AI 產品缺少：
- 特定版本的模型識別與技術文件；
- 與預期用途相符的測試及確效結果；
- 對關鍵失效模式的風險控制證據；
- 資料集來源、處理及標注的追溯紀錄；
- 上市後監督的指標、門檻及處置程序；
則組織層級的治理成熟度，仍不足以證明該產品已符合所有適用要求。
這是 EN
18286 與 ISO/IEC 42001 整合時必須避免的盲點：組織有能力管理 AI，不代表每一個 AI 產品已經完成法規符合性證明。
4.4 Integration architecture｜建議的整合架構
實務上，可以建立三層管理架構。
A. Corporate
management layer｜企業管理層
l ISO/IEC
42001 的 AI 治理、組織政策、權責、資源、AI 影響評估及管理審查。
B.
Regulatory quality layer｜法規品質層
l EN 18286 的 AI 法規品質管理、合規策略、適用性判定、責任分配、記錄管理及上市後控制。
C.
Medical-device product layer｜醫療器材產品層
l ISO 13485 的品質控制與適用程序，結合 ISO 14971 風險管理、軟體生命週期控制、臨床或性能證據、資安控制及產品技術文件。
此處僅是建議的企業整合模型，並非三項標準規定的唯一架構。
三層可以共用文件控制、訓練、內部稽核、矯正措施及管理審查等流程，但應維持適當的追溯性，讓稽核者能夠從一項 AI Act 要求追蹤至具體控制措施，再追蹤至產品版本及相關證據。
例如：
|
法規要求 |
整合流程 |
產品層級證據 |
|
AI Act第9條風險管理 |
風險管理程序與設計控制 |
產品風險分析、控制措施及查證結果 |
|
AI Act第10條資料治理 |
資料管理程序 |
資料來源、品質評估、標注及資料版本紀錄 |
|
AI Act第13條透明度 |
標示、使用說明及人因工程流程 |
使用說明、限制條件、使用者理解評估 |
|
AI Act第15條準確性、穩健性及網路安全 |
軟體查證、性能測試及資安程序 |
測試報告、性能指標、弱點及風險處置紀錄 |
|
AI Act 第72條上市後監督 |
PMS、投訴及事件管理 |
監督計畫、趨勢分析、事件調查及改進紀錄 |
表中的對應關係是實施規劃的示例，不應被當作 EN 18286 正式條款與 AI Act 之間的完整法規映射表。
5. AI risk management in medical devices｜醫療器材 AI 風險管理：從模型失效到患者傷害
5.1 The risk-management objective｜風險管理的真正目標
醫療器材
AI 的風險管理不能只問：「模型是否準確？」
更完整的問題是：「在預期用途及合理可預見的使用情境中，AI 系統的失效、錯誤輸出、性能限制或不當使用，可能對患者、使用者及其他受影響人員造成什麼傷害？企業如何識別、評估、控制並監督這些風險？」
這一觀點與醫療器材風險管理的基本邏輯一致，也有助於落實 AI Act 對高風險 AI 系統的風險管理要求。
對醫療器材企業而言，ISO 14971 提供了重要的風險管理基礎。實施時應注意，AI 系統的特性可能要求企業在既有危害分析之外，進一步考慮資料代表性、模型不確定性、分布變化、人機互動、第三方模型依賴及部署環境差異等因素。
以下案例說明，為何「準確率達標」不能取代完整的風險分析。
5.2 Worked example: AI-assisted radiology｜案例：AI 輔助放射影像分析
假設某製造商開發一套 AI 系統，用於輔助放射科醫師辨識胸部影像中的可疑病灶。
系統的預期用途不是完全取代醫師，而是標示可能需要進一步檢查的影像區域，供受過訓練的醫療人員覆核。
在開發階段，企業可能以靈敏度（sensitivity）、特異度（specificity）、陽性預測值（positive predictive value）、陰性預測值（negative
predictive value）及其他適當指標評估模型。
但這些數據必須與預期用途、資料來源、患者族群、疾病盛行率及使用環境一起解讀。
例如：假設模型在某個測試集上達到預定的靈敏度，但測試資料主要來自少數大型醫學中心，且影像設備及患者族群的分布與實際部署醫院不同。即使整體測試結果良好，也不能直接推論模型在所有部署環境中都具有相同表現。
企業應建立從失效情境到控制措施的追溯鏈。
|
可能的失效情境 |
潛在傷害 |
可能的控制措施 |
應保存的證據 |
|
模型漏掉可疑病灶 |
延誤診斷或治療 |
適當的性能門檻、臨床覆核及風險溝通 |
分層性能測試、臨床評估及風險分析 |
|
輸入影像品質不足 |
錯誤輸出或不適當信任 |
輸入品質檢查、拒絕處理機制或警告 |
輸入限制測試、錯誤處理查證 |
|
部署環境與開發資料不同 |
性能下降 |
外部確證、適用範圍限制及上市後監督 |
外部測試、環境分析及監督計畫 |
|
醫師過度依賴 AI 輸出 |
未能獨立判斷或發現錯誤 |
人工監督設計、清楚的使用說明及適當訓練 |
人因工程或可用性評估、使用者研究 |
|
模型更新未經充分查證 |
新增或放大既有風險 |
變更控制、回歸測試及必要的重新確效 |
變更評估、版本差異及測試紀錄 |
|
第三方元件存在弱點 |
系統遭入侵或服務中斷 |
供應商控制、資安測試及弱點處理 |
供應商評估、弱點管理及資安測試 |
這些控制措施只是依案例提出的可能方案，是否足夠必須依產品的預期用途、風險及適用法規判定。
5.3 Statistical performance is not the same as clinical safety｜統計性能不等於臨床安全
模型評估經常使用準確率（accuracy），但在醫療器材情境中，單一指標通常不足以描述所有重要風險。
例如：當疾病盛行率很低時，即使模型具有不錯的整體準確率，仍可能產生大量偽陽性結果，增加後續檢查負擔。反之，在某些需要高度敏感的篩檢情境中，漏診可能比偽陽性更值得關注。
因此，性能評估應以預期用途及臨床決策為基礎，選擇適當的指標、門檻及分層分析方法。
必要時，還應考慮：
- 不同患者族群的性能差異；
- 不同設備、機構及使用環境的外部效度；
- 樣本量及統計不確定性；
- 資料標注品質與參考標準的可靠性；
- 缺失資料及輸入品質限制；
- 失效後果與剩餘風險；
- 模型性能與臨床工作流程的交互作用。
A
performance metric is evidence about a defined evaluation question, not a
universal guarantee of clinical safety. The evaluation design must reflect the
intended purpose, the relevant population, the clinical context and the
consequences of errors.
5.4 Risk controls must be verified for effectiveness｜風險控制必須查證其有效性
在醫療器材品質管理中，辨識風險及提出控制措施並不足夠；企業還需要確認控制措施是否已正確實施，以及是否達到預期效果。
以 AI 輔助影像分析為例，若企業決定在影像品質不足時禁止系統輸出診斷建議，至少需要確認：
- 系統能否辨識預先定義的影像品質問題？
- 品質判斷的測試資料是否涵蓋相關失效情境？
- 系統是否會在不符合條件時仍產生看似可信的結果？
- 使用者能否理解系統停止輸出或提出警告的原因？
- 當品質檢查機制本身失效時，是否可能形成新的風險？
- 相關控制是否會在軟體、模型或運行環境更新後繼續有效？
這些問題應反映在風險管理檔案、確證計畫及測試報告中。
企業也應避免把「已實施風險控制」與「風險已經消除」視為同一件事。控制措施可能降低風險，但仍留下需要接受、監督或進一步降低的剩餘風險。
因此，完整的風險管理證據應連結危害、可預見事件序列、危險情境、可能傷害、風險評估、控制措施及控制有效性查證，並依適用的風險管理程序判定剩餘風險是否可接受。
（見續篇）
沒有留言:
張貼留言