2026年11月6日星期五

醫學實驗室風險管理的轉型思維邁步走（四之一）

從反應式到主動式：ISO 22367:2026帶動IVD與醫學實驗室的生存指南

Medical Laboratories— Application of Risk Management: The Mandatory Shift

From reactive to pro-active: ISO 22367:2026 promotes survival challenge of IVD and medical laboratories

本部落格文章為作者基於 ISO 22367:2026 公開資訊、EN ISO 22367:2026 實施指引、ISO 14971/ISO 15189 系統以及醫學實驗室實務經驗，以人工智慧協助進行個人解讀與教育性分享，採用通常部落格撰稿原則撰寫，旨在提供及時且切合實務的技術思路，作者與發布平台不對因使用本文資訊而導致的任何直接或間接損失承擔責任。歡迎轉載時標註來源並保留免責聲明。

CC BY-NC-ND。非供AI模型訓練。

1. Executive Summary / 執行摘要 — 為何這是生死存亡之戰

【一句話總結】ISO 22367:2026 不是另一個可以應付的文件，而是首次將「強制主動式風險管理」寫入法規層級的醫學實驗室國際標準，它終結了過去以投訴、不符合項驅動的反應式管理的合法性，要求所有醫學實驗室、IVD製造商與供應鏈在2026年4月20日EN版生效後，證明自己具備前瞻性識別、量化、控制患者安全風險的能力。

【背景盲點揭露】多數實驗室仍誤以為 ISO 15189:2022 第8.5章的風險思維已經足夠。事實查核：ISO 15189 僅要求「考慮風險」，而 ISO 22367:2026 要求建立獨立、文件化、閉環的風險管理系統，包含風險管理計畫、風險分析、風險評估、風險控制、剩餘風險評估、風險管理報告、風險監控七大交付物。沒有這些，15189認可將在2027年追蹤稽核中被開立重大不符合。

【產業衝擊量化】參考產業界營運成本模型：
- 人力成本 +20%~50%：需要專職風險經理，而非實習生兼職。管理職責條款4.2要求「證據」而非承諾，管理審查必須有風險專題。
- 確證與研發成本 +10%~30%：每一個風險控制措施必須確證（8.6），失敗不能篡改數據，必須啟動新的風險循環，這是稽核員最期待看到的「帶有管理成績的從失敗中學到教訓」過程紀錄。
- 供應鏈溢價 +15%~30%：BOM成本上漲，硬體冗餘、更優材料、軟體V&V加強。廉價採血管導致靜電吸附堵塞流水線的案例將被寫入不符合。
- 管理與稽核成本 +5%~10%：但ROI在於降低重測率、醫療賠償、維持市場准入。

【核心變革：主動 vs 反應】
- 前瞻性風險管理：適用於新活動或已知可預見風險，必須在新檢測項目、新設備引入前完成沙盤推演，識別預定用途、合理可預見誤用、安全相關特性（D.2 定量/定性性能特性、輔助病患資訊、D.3.1-D.3.41 共41個提問清單）。
- 回顧性風險管理：僅限於無法預見的突發、已有預案的場景，如：品質失控、訴怨、事故。過去把回顧性當日常的實驗室，將被認定為系統失效。

【關鍵盲點】90%的實驗室在風險分析階段只識別「停電、溶血」等顯而易見危害，卻忽略「軟體升級導致資料格式不相容」「LIS欄位截斷導致危急值未傳遞」「AI輔助判讀模型漂移」等隱性殺手。附錄E.8-E.10要求分析危害→可預見事件序列→危險情況→傷害的完整鏈條，本文圖1已重建此邏輯。

【結論先行】不主動，就是被動等死。2026版是一個分水嶺，能快速建立強大風險管理系統的實驗室與IVD製造商將建立護城河，淘汰低水平競爭者，長期獲得更安全的診斷服務並收取風險溢價。

圖1：風險分析的核心要素 / Core Elements of Risk Analysis — ISO 14971/IVDR思維

2. System Interactions / 系統交互與流程解構 — 不再是孤島

2.1 與現有管理系統的強制耦合
ISO 22367:2026 附錄A是理解系統交互的鑰匙。它明確要求風險管理不是孤立程序，而是驅動QMS的核心。

- ISO 15189:2022：附錄A.1-A.15將風險映射到文件管控、供應商管理（A.3）、設計開發（A.4）、不符合識別（A.5）、申訴（A.6）、矯正措施（A.7）、持續改進（A.9）、內部稽核（A.10）、設施環境（A.11）、設備試劑耗材（A.12）、LIS控制（A.13）、檢驗過程品質管控（A.14）、變更管理（A.15）。風險輸出必須成為設計輸入。例如，採購新流水線時，風險分析報告必須作為採購申請的附件，否則採購流程被視為失控。

- ISO 14971:2019：ISO 22367:2026繼承了14971的風險術語與原則，但調整了「患者、實驗室工作人員、服務提供者」三類受害者，而非14971的患者與操作者。製造商提供的剩餘風險資訊（ISO 14971風險管理文件）不能替代實驗室自身的分析。實驗室必須審查製造商的風險檔案，評估是否需要額外控制。這就是本文圖2的「向上游傳導壓力」的來源。

- ISO 31000:2018 / ISO 31073:2022：ISO 22367:2026補充而非替代企業層面的商業、經濟、法律風險管理。實驗室不能用企業風險報告來替代患者安全風險報告。

- ISO 15190:2020 安全要求：與生物安全風險交叉，附錄E.2-E.6列舉了操作錯誤、設備故障、資訊傳遞失誤等危害。

- EU IVDR 2017/746 & FDA CLIA/CAP & CNAS-CL02：IVDR要求LDT（實驗室開發測試）必須有風險管理檔案，22367成為其技術基礎。CAP GEN.74800等條款已要求主動風險評估。

2.2 核心流程的閉環不可打破
條款4.4定義六大要素：風險管理計畫→風險分析→風險評估→風險控制→風險管理審查→風險監控。任何斷裂都是重大不符合。

表1：六大核心要素

核心要素	稽核員關注的〈現場證據〉	常見違規與現場失效場景
風險管理計畫	一份針對特定專案的、動態更新的計畫文件，明確範圍、職責和風險可接受準則。	使用一份通用範本應付所有專案。計畫制定後束之高閣，與實際操作脫節。
風險分析	FMEA、FTA或其他系統性分析工具的應用記錄，清晰識別出危害、事件序列和危險情況。	分析流於形式，只識別出一些顯而易見的危害，如“停電”，而忽略了「軟體升級導致資料格式不相容」等隱性殺手。
風險評估	依據預設的風險可接受準則，對每一個風險進行評估的會議紀要或報告。	風險矩陣定義模糊，所有風險都被評估為「可接受」，逃避實施控制措施的責任。
風險控制	具體的控制措施實施記錄，如修改SOP、增加查證步驟、引入新的硬體防護。	控制措施停留在「加強訓練」這種空洞的口號上，沒有具體或流程上的實質性改變。
風險管理審查	審查及批准的許可權清晰的最終審查報告，確認總體剩餘風險在可接受範圍內。	審查報告由不具備資質的人員簽署，或在專案上線後才匆忙補簽。
風險監控	針對已識別風險的持續性資料收集和分析，如不合格率趨勢、用戶回饋。	監控系統形同虛設，資料只收集不分析，無法對風險的變化做出預警。

風險管理規劃（第5章）：必須明確範圍（例如：全新的NGS檢測方法）、職責（指定具備許可權和資格的人員）、風險可接受準則（不能事後修改）、控制措施與監督計畫。稽核員現場證據檢查表（Table 2）顯示，最常見違規是使用通用範本應付所有專案，計畫束之高閣。

主動風險分析（第6章）：技術含量最高。要求挖掘根本原因與傳播路徑。附錄D列出41個安全相關特性提問，從D.3.1預期用途如何被使用，到D.3.31網路安全測試，D.3.35故意濫用，D.3.38標本量是否足夠，D.3.40周轉時間是否足夠。每一個性能指標微小下降都可能演變為災難。案例：血糖儀在正常範圍偏倚小，但在低血糖區域偏倚增大，對胰島素治療新生兒可能致命。

風險評估（第7章）：核心是風險可接受準則，不能是主觀感覺，必須基於法規、產業標準、公認技術水準、利益相關方關切。風險矩陣建議5x5，結合概率與嚴重度。Table 3定義紅黃綠區：

- 紅區：災難性/嚴重 + 頻繁/合理可能 = 必須立即控制，否則禁止執行。
- 黃區：ALARP原則，必須盡最大努力降低，並進行詳細受益-風險分析，證明受益遠大於風險，需管理層批准。
- 綠區：可直接接受，但仍需記錄與監督。

表2：風險分級：

風險等級	嚴重性 (Severity)	發生概率 (Probability)	處置策略
不可接受區 (Red Zone)	災難性的/嚴重的	頻繁/合理可能	必須立即實施風險控制措施。若無法降低，則該專案/流程禁止執行。
評估區 (Yellow Zone)	嚴重的/中等的	偶爾/極少	ALARP原則 (As low As Reasonable Practicable)。必須盡最大努力降低風險，並進行詳細的受益—風險分析，證明受益遠大於風險。必須有管理階層批准的正式文件。
可接受區 (Green Zone)	輕微的/可忽略的	極少/不可能	可直接接受，但仍需記錄在案，並在後續進行持續的監督。

風險控制（第8章）：優先順序遞減防禦架構：

1. 本質安全設計：這是最高等級的防範措施。藉由改變產品設計，從實際設備上消除危害。例如：將一個需要手動稀釋的樣本，改為由儀器在特定空間自動稀釋，徹底排除人為稀釋錯誤與環境干擾的可能性。改變產品設計消除危害，例如樣本自動稀釋取代手動稀釋。

2. 防護型措施：在檢驗流程中增加雙人覆核、強制儀器校正、品質控制。

3. 安全資訊與訓練：警告標籤、人員訓練。這是最低級防線。

標準潛臺詞：不要過度依賴人。人是不可靠的，流程也是。只有奠基在設計中的安全，才是真正的安全。

反面案例：某實驗室發現其資訊系統（LIS）資料錄入錯誤，當下反應的控制措施是「對所有寫入操作員進行再次訓練」。結果，錯誤率在短期下降後迅速反彈；正確做法是修改代碼，增加格式校驗與邏輯檢查，讓系統自動拒絕明顯的錯誤寫入。

剩餘風險評估後，必須確保總體剩餘風險可接受，並形成風險管理報告（9.4）。條款8.4要求評估控制措施是否引入新風險，8.6要求驗證有效性。

2.3 風險分析工具鏈
附錄G推薦多種風險分析工具：

- PHA初步危害分析：適用於早期概念階段，快速識別。

- FTA故障樹分析：自頂向下，適用於複雜系統單一危害的邏輯追溯，例如：危急值未報告的頂端事件。

- FMEA/FMECA失效模式與效應關鍵分析：自底向上，計算RPN（嚴重度x發生度x可探測度），適用於檢驗流程改進。

表G.1樣本標記過程FMEA示例顯示，如何識別腕帶未核對→樣本標識錯誤→錯誤結果。

- 過程FMEA/FMECA：聚焦流程步驟。

（見續篇）

2026年11月5日星期四

把 AI 產出發布上網之前：歐盟法規下個人創作者的生成式人工智慧適法性與風險控管（四之四）

（續前篇）

副標題：以 AI Act、GDPR 與 DSM 著作權指令為主軸，兼論平台、資安、產品安全及美中法規比較

此文以 2026 年 8 月 19 日可取得的法規、官方指引及權威資料為研究時點，讀者設定為居住於歐盟以外、但其內容可能被歐盟境內人士閱覽，或其使用的模型、平台、資料主體與服務和歐盟存在連結的個人/自然人。此文屬一般性資訊與風險管理考量面，不構成歐盟、美國、中國或任何國家的個案法律意見。
CC BY-NC-ND。非供AI模型訓練。

十、限制與未來趨勢：模型、資料庫及標示技術都不是永久可靠

生成式 AI 系統有三類基本限制。第一是知識限制：模型可能不知道最新法律、事件、產品版本或平台規則。第二是推理限制：模型能生成語氣流暢的句子，卻不代表其引用、因果或法律推論正確。第三是資料限制：模型可能記憶偏誤、重製個資、混淆來源，或將不同文件拼接成看似合理但不存在的敘述。

資料庫與檢索增強生成（Retrieval-Augmented Generation, RAG）可以改善時效性，但不能自動解決來源授權、個資、錯誤引用或權利衝突。RAG 系統檢索到的文件可能本身過時、未授權或被惡意植入；模型也可能錯誤摘要。未來內容標示會逐漸結合機器可讀標記、內容來源憑證、平台檢測及多媒體來源或出處，但標示被移除、截圖、重新編碼或跨平台傳播後，仍可能失效。因此，人工可讀揭露方式與可追溯紀錄仍不可被技術標記完全取代。

十一、給身分3的發布前後流程與前瞻措施

發布前先完成一頁式紀錄。記下模型名稱、版本、下載或服務網址、授權條款、生成日期、使用的外部資料、提示詞是否含個資，以及內容是否經過人工改寫。若無法回答「這段材料從哪裡來」，就不宜在高風險情境中直接發布。

接著進行內容分類。一般虛構創作可採基本檢查；涉及真實人物、公共利益、深偽、醫療、法律、投資、產品安全、兒少或政治事件，應升級為高強度人工審查。查核不只包括文字內容，也包括圖片中的標誌、臉孔、背景、字幕、聲音及元資料。

第三步是權利檢查。確認素材來源與授權，檢查是否過度接近特定作品，避免未獲授權的真人肖像、聲音與私密資訊，不要使用模型自動生成的虛構引用或評論。若文章要商業化，應另外檢查商標、廣告揭露、消費者保護及平台條款。

第四步是透明度檢查。根據實際情況揭露 AI 參與程度，例如「由 AI 協助整理初稿，作者查閱官方來源後重寫」或「圖像為 AI 合成，並非真實攝影」。若為公共利益文字、深偽或會影響讀者判斷的合成內容，不應把揭露藏在不易看到的頁尾。

第五步是建立事後處理方案。發布頁提供聯絡方式，保存原始版本及修改時間；收到個資、版權、肖像或事實錯誤通知時，先暫停擴散並檢查，再依情況更正、加註、下架或回覆。刪除內容不是唯一處理方式，但對可能造成即時傷害的內容，延遲本身可能擴大責任與損害。

前瞻措施

a) 建立「人機協同工作流的數位足跡（Workflow Digital Footprint）」：

2026 年後的版權局與法院在判斷「作品是否具備原創性（Human Authorship）」時，焦點已轉向人類創作控制力。建議創作者利用 Git 或專用筆記軟體，自動記錄提示詞修整歷程、人工編修（Human-in-the-loop）的幅度變化，這不僅能證明著作權歸屬，更是遭遇平台演算法誤判時的最強申訴武器。

b) 導入「C2PA 標準與靜態/動態雙重標籤」策略：

單純在內文寫「本文由 AI 輔助」已無法滿足最新的技術防偽趨勢。建議創作者發布多媒體內容時，主動選用支援 C2PA（Content Credentials）後設資料嵌入的工具；而在內容顯眼處（如影片前 3 秒、圖片右下角）加上人類可讀的標籤，雙管齊下因應 AI Act 第 50 條的要求。

c) 區隔風險階層，建構個人「內容發布防火牆」：

l 低風險區（純文學、極致虛構創作）：免去繁瑣查證，但須維護授權相符性。

l 高風險區（涉及真實人物、歷史事件、醫療健康、財經投資、公共議題）：導入雙重查證機制（Cross-Validation），絕對不直接引用 LLM 給出的網頁連結與文獻，一律手動核對原始文獻（Primary Sources）。

十二、可直接使用的發布檢查表

檢查問題

是／否

不確定時的處理

我是否知道並記錄模型與版本、授權及來源？

暫停發布，先補齊模型資料。

提示詞prompt或輸出是否含可識別自然人的資料？

是否剔除未經同意之他人個資與私密資訊？

去識別化、刪除或重新改寫。

是否含特殊類別資料、兒少資料、私人對話或機密？

原則上不要公開，必要時尋求專業意見。

是否使用真人臉孔、聲音、姓名或可辨識特徵？（肖像權）

或以之合成影像/音訊？（深偽）

確認取得當事人同意、目的及標示；無法確認就不要發布。

AI合成產出明確標註「AI 合成」

文中引用的法規、數據、判例與歷史事件是否經由原始文獻（Primary Sources）人工確認？

全面人類核查引用及參考文獻

是否可能近似特定作品、歌詞、角色、商標或圖片？

清查智慧財產權、重新創作、取得授權或刪除相關部分。

內容是否涉及公共利益、深偽、醫療、法律、投資或產品安全？

由人類查證並提高揭露與編輯強度。

是否誠實揭露 AI 參與及合成性質？

做成透明度標示，在內容本身或同等醒目位置補充。

是否已核對引用、日期、數字、連結與原始文件？

不以模型列出的來源代替實際閱讀。

是否違反平台關於 AI、廣告、假評論或版權的規則？

先讀平台最新條款及發布政策。

發布後是否能迅速更正、撤下及保存紀錄？

做好救濟準備，先建立聯絡及處理流程再發布。若接獲個資或侵權通知，在 24 小時內暫停發布，並進行處置。

檢查問題	是／否	不確定時的處理
我是否知道並記錄模型與版本、授權及來源？		暫停發布，先補齊模型資料。
提示詞prompt或輸出是否含可識別自然人的資料？是否剔除未經同意之他人個資與私密資訊？		去識別化、刪除或重新改寫。
是否含特殊類別資料、兒少資料、私人對話或機密？		原則上不要公開，必要時尋求專業意見。
是否使用真人臉孔、聲音、姓名或可辨識特徵？（肖像權）或以之合成影像/音訊？（深偽）		確認取得當事人同意、目的及標示；無法確認就不要發布。 AI合成產出明確標註「AI 合成」
文中引用的法規、數據、判例與歷史事件是否經由原始文獻（Primary Sources）人工確認？		全面人類核查引用及參考文獻
是否可能近似特定作品、歌詞、角色、商標或圖片？		清查智慧財產權、重新創作、取得授權或刪除相關部分。
內容是否涉及公共利益、深偽、醫療、法律、投資或產品安全？		由人類查證並提高揭露與編輯強度。
是否誠實揭露 AI 參與及合成性質？		做成透明度標示，在內容本身或同等醒目位置補充。
是否已核對引用、日期、數字、連結與原始文件？		不以模型列出的來源代替實際閱讀。
是否違反平台關於 AI、廣告、假評論或版權的規則？		先讀平台最新條款及發布政策。
發布後是否能迅速更正、撤下及保存紀錄？		做好救濟準備，先建立聯絡及處理流程再發布。若接獲個資或侵權通知，在 24 小時內暫停發布，並進行處置。

十三、結論：從模型使用者走向負責任的內容發布者

對一般的人工智慧使用者而言，最重要的能力不只是生成更像人類的文字，而是知道什麼時候不應生成、什麼時候不能直接發布、什麼時候必須交由人類查核，以及發現錯誤後如何承擔並修正。

在 2016 至 2026 年這十年間，歐盟的法律法規架構已從最初的個資保護，逐步擴展至 AI 系統的風險控管與透明度治理。對於個人創作者而言，法規並非要禁止使用 AI，而是要求創作者從單純的技術使用者，蛻變為負責任的內容發布者。

歐盟的法規架構給出的訊息很清楚：AI Act 關注風險、角色及透明度；GDPR 關注自然人及個人資料的整個處理生命週期；DSM Copyright Directive 關注權利人與數位市場中的利用方式；DSA 關注平台與線上服務環境；GPSR、NIS2、CRA、CER 及 Machinery Regulation 則在特定產品、服務、關鍵實體或安全情境下接續發揮作用。美國的著作權與 FTC 執法提醒我們，人類創作證據與反欺騙原則仍然重要；中國的生成式 AI 管理措施則顯示，跨境內容服務還可能受到服務地區的內容治理與個人資訊規則影響。8 10 12

倘若將整篇文章濃縮成一句話：不要問「AI 產出能不能發布」，要問「我能不能說明它從哪裡來、是否傷害他人、為什麼可以發布、我做了哪些查核，以及出錯時能否迅速修正」。能夠完整回答這五個問題，意即清晰地說明內容的生成歷程、確保未侵害他人權益、落實透明度標示，並在出錯時具備及時更正的誠意與能力時，才是個人生成式 AI 使用者走向成熟、可持續促進創作自由與知識傳播、且能夠承擔責任的前進道路上的永續推動力。

免責聲明

本文為一般型自我教育和風險管理文章，依 2026 年 8 月 19 日可取得的歐盟法規、官方指引及法院判例為分析基準資料整理而成，適用對象為居住於歐盟境外，但作品可能於歐盟境內傳播；或使用之模型、平台、個資與歐盟存在連結之個人自然人創作者。不構成律師、資料保護官、著作權顧問、資安顧問或其他專業人士對任何個案的法律意見。歐盟法規須與會員國轉置法、主管機關指引、法院裁判、平台條款及實際事實共同判斷；美國及中國法規亦可能因州、省、服務地區、內容類型及個案事實而不同。讀者若要發布深偽、處理敏感個資、經營 AI 服務、銷售產品、發布專業建議或處理權利人爭議，應在行動前向具相關管轄區資格的專業人士取得個案意見。本文不保證任何內容必然合法，也不保證引用的模型、平台或第三方資料在未來維持相同條款。