醫療器材品質管理系統整合、風險治理及全生命週期合規初探
EN
18286:2026 and the EU AI Act: A Glance of Medical Device Quality Management,
Risk Governance and Lifecycle Compliance
文章性質：法規與標準分析、醫療器材品質系統整合、工程風險管理及企業實施指引。
主要讀者：醫療器材製造商、AI 醫療軟體開發者、法規事務（Regulatory Affairs）、品質保證（Quality Assurance）、風險管理、軟體工程、資訊安全、臨床評估及管理階層。
主要依據：
- Regulation (EU) 2024/1689，即歐盟《人工智慧法案》（EU AI Act）。
- DIN EN 18286:2026 的公開標準資訊及歐盟官方公報引用資訊。
- 歐盟 MDR、IVDR、ISO
13485、ISO 14971、ISO/IEC
42001 等相關制度的適用邏輯。
重要聲明：本文以網路搜集來的介紹文件及概要說明為參考基礎，並利用公開法規資料補充及核對，以人工智慧協助進行個人判斷，完成之介紹性文章，僅供一般資訊與個人持續教育用途，不構成法律意見、資訊服務或對任何產品符合特定法律之保證。法規可能在研究基準日後變更；翻譯及二手解讀亦可能有差異。由於此文並未覆蓋 EN 18286:2026 完整標準原文，行文過程不會把未能核實的細部條款、附錄內容或稽核事宜視為既定準則而混充為標準原文。正式符合性評估仍須以適用的正式標準及法規文本為準。個別產品應由相關法規領域具備資格之專業人士依實際資料、作業過程、商業模式、經濟從業者角色、處理目的及最新有效文件進行深入評估。引用請註明出處。文中如有引用疏漏，歡迎聯繫補正。
CC BY-NC-ND。非供AI模型訓練。
Executive abstract｜執行摘要
EN 18286:2026 represents an important step
in translating the European Union Artificial Intelligence Act into auditable
quality-management practices. Its principal significance is not that it
establishes a new algorithmic performance threshold, nor that it replaces
existing medical-device quality-management systems. Rather, it provides a
harmonised-standard route for demonstrating conformity with the
quality-management-system requirements covered by Article 17 of Regulation (EU)
2024/1689 (The AI Act).
For medical-device manufacturers, the
central implementation challenge is integration. An organisation may already
operate a quality management system under ISO 13485, a medical-device
risk-management process under ISO 14971, software lifecycle controls,
cybersecurity procedures and post-market surveillance activities. These
existing arrangements provide a substantial foundation, but their existence
does not automatically demonstrate conformity with every applicable requirement
of the AI Act.
The organisation must establish a traceable
relationship between regulatory obligations, system-level requirements,
product-specific risks, development controls, data governance, verification and
validation evidence, technical documentation, change control, post-market
monitoring and corrective action. The resulting system must demonstrate not
merely that procedures exist, but that they are implemented, effective and
appropriate to each AI system's intended purpose and foreseeable use.
The distinction between organisational
governance and product-level conformity is especially important. ISO/IEC 42001
addresses an organisation's AI management system, whereas EN 18286 focuses on
quality management for regulatory purposes under the AI Act. ISO 13485
addresses medical-device quality management within its scope. These systems can
be integrated, but they should not be treated as interchangeable certificates
or equivalent bodies of requirements.
The practical objective is therefore a
single integrated management architecture supported by clearly differentiated
legal obligations, product-specific evidence and lifecycle controls.
EN
18286:2026 提供了一條將歐盟《人工智慧法案》轉化為可稽核品質管理實務的調和標準路徑。其主要價值不在於訂定新的演算法準確率門檻，也不在於取代既有醫療器材品質管理系統，而在於協助企業展現其品質管理系統符合 AI Act 第 17 條〈品質管理系統（QMS）〉及標準實際涵蓋的相關要求。
註：高風險AI的其他實體技術要求（如第 9 條風險管理、第 10 條資料治理、第 15 條資安與準確性等）的配套調和標準（如 prEN 18228, prEN
18284 等）在 2026 年 10 月時尚處於草案階段、尚未正式生效。僅只是品質管理系統（QMS）符合調和標準不等於產品技術全維度合規。
對醫療器材製造商而言，核心挑戰是制度整合。企業可能已經具備 ISO 13485 品質管理系統、ISO 14971 風險管理程序、軟體生命週期控制、網路安全措施及上市後監督制度。這些既有機制可以成為重要基礎，但不能僅憑證書或程序文件的存在，就認定企業已符合 AI Act 的全部適用要求。
企業必須建立一條可追溯的證據鏈，將法規義務、系統需求、產品風險、設計開發控制、資料治理、查證與確效、技術文件、變更控制、上市後監督及矯正措施連接起來。最終需要證明的不只是「有程序」，而是程序已實施、有效運作，並且適合各 AI 系統的預期用途與合理可預見的使用情境。
因此，本文的核心主張是：建立一套整合式管理架構，但保留各項法規義務的獨立識別、產品層級的符合性證據，以及貫穿 AI 全生命週期的控制措施。
Scope and terminology｜範圍與術語（對照 EN 18286 第 1、3 條）
編輯定位：本節是依據網路搜索到的介紹文件說明範圍與術語整理，不是 EN
18286:2026 正式標準條文的逐字翻譯。正式符合性判定應以取得的標準正式文本及有效法規為準。
A. Scope｜範圍
EN 18286:2026 的目的，是協助組織建立、實施、維持及持續改進一套供 EU AI Act 法規主管機關目的使用的品質管理系統（QMS），以支援其履行適用的高風險 AI 系統提供者義務。其重點是組織如何透過政策、責任、流程、資源、文件化資訊及生命週期控制，管理法規符合性，而不是規定某一類演算法必須達到統一的準確率或技術性能門檻。
標準並非只適用於醫療器材產業；它面向落入適用範圍的組織。本文則把分析焦點放在醫療器材製造商、AI 醫療軟體開發者，以及其品質、法規、工程、風險與上市後監督職能。是否適用 AI
Act，仍須依系統用途、分類規則、供應鏈角色及相關例外逐案判定；「醫療器材」或「使用 AI」本身都不足以單獨決定高風險分類。
EN 18286 的法律作用必須限縮理解：作為已被官方公報引用的調和標準，它可在實際涵蓋的範圍內支援對 AI Act 第 17 條品質管理系統要求的符合性推定；它不會單獨證明產品符合 AI Act 全部要求，也不取代歐盟醫療器材條例 MDR、體外診斷醫療器材條例IVDR、其他適用法規或產品層級的符合性評鑑。標準的使用路徑原則上是自願的；不採用時，組織仍須依適用法律建立足夠的符合性證據。
本文討論的管理系統範圍，應由組織依其 AI 系統組合與責任邊界明確界定。範圍可涵蓋一個或多個 AI 系統，並應說明適用的組織單位、地理位置、流程、服務、系統及介面邊界。不能只以「全公司 AI」作為沒有邊界定義的概括描述；也不能藉由排除關鍵流程，讓品質管理系統無法控制其所聲稱涵蓋的 AI 系統。
B. Terms and definitions｜術語與定義
以下是理解本文及規劃 QMS 時需要一致使用的核心術語，依管理系統、AI Act、AI 系統及風險管理四類整理。此處提供的是工作性摘要與醫療器材情境中的解釋，並非完整術語清單或標準原文。若正式文件需使用定義作為法律或稽核判定依據，應引用 EN 18286 正式文本及 AI Act 的法定定義。
B1. Management-system terms｜管理系統術語
品質管理系統（quality
management system, QMS）：用以建立政策、目標、流程及控制，並使組織能持續達成預期品質與適用法規要求的一組相互關聯或互動的要素。
QMS 範圍（scope of the quality management system）：納入該系統管理的 AI 系統集合，以及界定 QMS 在何處、對哪些流程與責任適用的邊界。範圍需與實際控制能力及法規角色一致。
稽核（audit）：系統性且獨立地取得證據並客觀評估，以判斷既定稽核準則達成程度的程序。稽核不等於單純檢查文件是否存在。
符合性（compliance）：滿足適用要求。應區分法律義務本身、組織採用的實施方法，以及證明該方法有效的客觀證據。
最高管理階層（top
management）：在組織最高層級指揮及控制組織的人員或群體；對 QMS 範圍、政策、資源、責任分配與有效性負有相應的領導責任。
文件化資訊（documented
information）：組織需要控制及維持的資訊，以及保存該資訊的媒介。應區分規定工作如何執行的文件，與證明工作已執行及決策依據的紀錄。
查證（verification）與確效/確證（validation）：查證著重客觀證據是否證明指定要求已被滿足；確效著重客觀證據是否證明特定預期用途或應用的要求已被滿足。兩者不可互換；機器學習中的 validation dataset 也不等同於管理系統術語 validation。
B2. EU AI Act terms｜EU AI Act 術語
提供者（provider）：依 AI Act 的法定定義，開發或委託開發 AI 系統，並以其名稱或商標將其投放市場或投入使用的自然人、法人、公共機關、機構或其他團體；具體角色須按實際安排及法規定義判定，不能僅依合約名稱推定。
部署者（deployer）：在其權限下使用 AI 系統的自然人、法人、公共機關、機構或其他團體，但不包括個人於純私人、非專業活動中使用的情形。部署者與提供者可能承擔不同義務；某些情況下角色可能因實際行為而改變。
高風險 AI 系統（high-risk AI system）：依 AI Act 第 6 條及相關附件、產品法規與適用條件判定為高風險的 AI 系統。不可把所有醫療 AI 一概視為高風險，也不可只因產品已依 MDR/IVDR 分類就跳過 AI Act 的獨立判定。
符合性推定（presumption
of conformity）：法律在指定條件下，對符合已引用調和標準相關要求所賦予的推定效果。其範圍限於標準實際涵蓋的要求，不等於整體法規符合性的全面驗證或免責。
放入市場（placing on
the market）與投入使用（putting into service）：AI Act 中具有特定法律含義的概念，分別涉及系統首次在歐盟市場提供，以及系統首次供部署者使用或供應商自用等法定情境。應採用法規定義，不宜與一般商業交付或軟體啟用任意互換。
重大修改（substantial
modification）：須依 AI Act 及適用產品法規的相關定義與條件判定。技術上有變更不必然等同法律上的重大修改；但即使不屬重大修改，仍可能需要設計變更、風險評估、回歸測試或更新技術文件。
B3. AI-system terms｜AI 系統術語
AI 系統（AI system）：應依 AI Act 第 3 條的法定定義理解，而非將所有自動化軟體或傳統規則式程式一律視為 AI 系統。分類時應考量系統的技術特性、輸入、輸出及其自主性或推論能力等法定要素。
預期用途（intended
purpose）：由提供者所界定、系統預定用於的用途，包括相關情境、條件及限制，並須與標示、使用說明、技術文件及查證／確效證據保持一致。醫療器材情境下亦須與適用的 MDR/IVDR 定義及文件相互核對。
AI 系統生命週期（AI system lifecycle）：涵蓋構想、設計與開發、資料管理、查證與確效、識別、部署支援、監控、變更、維護及退役等相關活動的整體過程。具體階段依系統類型與組織流程界定。
持續學習 AI 系統（continuous-learning AI system）：在部署或使用期間，模型或系統可能依預先設計機制持續適應或更新的 AI 系統。此特性不免除變更控制；組織仍須界定允許變更邊界、監督方式、確證要求及必要的回復措施。
產品文件（product
documentation）：用以描述特定 AI 系統、其預期用途、設計、限制、控制措施、確證結果及相關法規資訊的文件化證據。應能追溯至特定產品與模型版本，並與組織層級的 QMS 文件區分。
（見續篇）
沒有留言:
張貼留言