1. DeepSeek定制化微调中的数据合规
一般而言，医院本地化部署DeepSeek应不涉及数据“出院”，而是基于医院自己既往病例库，训练本地化部署的人工智能程序。在定制化微调过程中，需依次完成以下核心步骤：首先，收集整合过往沉淀的病例数据；其次，利用标注平台对数据进行实体关系标注，生成训练样本；并选择基础模型版本，配置学习率、批次大小等参数；再通过全参数微调等方式执行增量训练；再次，训练完成后，进行自动指标评估和人工场景审核等。在这些步骤中，病例数据的使用，尤其需要符合《中华人民共和国个人信息保护法》《信息安全技术健康医疗数据安全指南》的相关规定，同时还应符合《医疗机构病历管理规定》的要求。
《中华人民共和国个人信息保护法》《信息安全技术健康医疗数据安全指南》（GB/T 39725-2020）规定，①以电子或者其他方式记录的与已识别或者可识别的自然人有关的、未匿名化处理的各种信息为个人信息，涉及医疗健康等的个人信息则为敏感个人信息，敏感个人信息的处理需符合“取得个人单独同意”“告知处理敏感个人信息的必要性以及对个人权益的影响”等要求。②匿名化处理后的信息不属于个人信息；如针对个人健康医疗数据汇聚分析处理之后得到了不能识别个人的健康医疗相关数据，该数据亦不再属于个人信息。
旧版《医疗机构病历管理规定》（卫医发〔2002〕193号）第六条第二款曾规定，因科研、教学需要查阅病历的，需经患者就诊的医疗机构有关部门同意后查阅。阅后应当立即归还。不得泄露患者隐私。《医疗机构病历管理规定》（国卫医发〔2013〕31号）于2013年修订，新版《医疗机构病历管理规定》将上述第六条修订为，医疗机构及其医务人员应当严格保护患者隐私，禁止以非医疗、教学、研究目的泄露患者的病历资料。并增加第十五条、第十六条，明确规定，①除为患者提供诊疗服务的医务人员，以及经卫生计生行政部门、中医药管理部门或者医疗机构授权的负责病案管理、医疗管理的部门或者人员外，其他任何机构和个人不得擅自查阅患者病历。②其他医疗机构及医务人员因科研、教学需要查阅、借阅病历的，应当向患者就诊医疗机构提出申请，经同意并办理相应手续后方可查阅、借阅。查阅后应当立即归还，借阅病历应当在3个工作日内归还。查阅的病历资料不得带离患者就诊医疗机构。
在过去的实践中，大部分医院根据上述原则，以“数据不出院”“用于科研、教学”为原则，对病例数据进行常规的使用。医院使用过往病例执行人工智能增量训练，是否属于“在院内开展的科研、教学活动”、是否可适用上述规定，卫健等主管部门暂时没有作出相应的规定或解释。我们理解，在使用过往病例执行人工智能增量训练的过程中，首先应遵循《中华人民共和国个人信息保护法》《医疗机构病历管理规定》（国卫医发〔2013〕31号）的上述相关规定，避免泄露患者病历数据、避免数据“出院”，并持续关注卫健等主管部门是否出台相关规定或解释。如医院为加强合规或考虑后续进行医疗数据资产交易等其他目的（详见后续文章：AI+医疗系列法律问题研究（二）｜医疗数据交易相关法律问题探析），可以考虑将病例数据脱敏清洗、标注后，再生成训练样本：
参考《信息安全技术健康医疗数据安全指南》（GB/T 39725-2020）、《信息安全技术—个人信息去标识化指南》（GB/T 37964-2019）的规定，对健康医疗数据二次利用（使用目的与数据被收集时的使用目的不同），应对数据进行相应的去标识化工作，去标识化规则应满足最小计数原则，如去标识化后满足相同描述的人数不少于5人，住院号、本人电话号码、姓名、身份证号码等直接标识符一般建议删除、置空或转化为不可逆的代码，确诊日期等准标识符一般也建议采用时间偏移方法、转换法、泛化方式进行去标识。
2. DeepSeek本地化部署中功能设置的医疗合规
如前所述，DeepSeek在医院本地化部署的模式与《医疗器械监督管理条例》项下的辅助诊疗系统、智能决策平台等医疗器械存在一定差异，若强制要求其在现行监管框架下进行医疗器械注册/备案，将面临验证周期长、注册申报困难等实操障碍；但若脱离现行监管框架下对医疗人工智能技术的监管控制，AI幻觉等人工智能技术固有风险可能将导致医疗决策失误概率提升。
在中国国家药品监督管理局（“国家药监局”）及其他主管部门尚未就DeepSeek在医院本地化部署出台更具有针对性的监管指引的前提下，可考虑从以下方面着手，作为DeepSeek本地化部署中功能设置的医疗合规路径：
▶在医院本地化部署DeepSeek时，审慎将DeepSeek运用于决策支持、辅助决策及诊疗；如确有接入决策支持、辅助决策及诊疗需求的，可考虑限定处理对象、限制DeepSeek仅提供非特定的建议等方式，避免触及医疗合规红线
国家药监局《关于发布人工智能医用软件产品分类界定指导原则的通告》（2021年第47号）规定：人工智能医用软件的管理属性界定应基于其预期用途，结合其处理对象、核心功能等因素进行综合判定。若软件产品的处理对象为医疗器械数据，且核心功能是对医疗器械数据的处理、测量、模型计算、分析等，并用于医疗用途的，符合《医疗器械监督管理条例》有关医疗器械定义，作为医疗器械管理。若软件产品的处理对象为非医疗器械数据（如患者主诉等信息、检验检查报告结论），或者其核心功能不是对医疗器械数据进行处理、测量、模型计算、分析，或者不用于医疗用途的，不作为医疗器械管理。
据此，在医院本地化部署DeepSeek并用其处理医疗器械数据以提供决策支持、辅助决策及诊疗的，可能被认定为用于医疗用途，从而触及医疗合规红线。如确有接入决策支持、辅助决策及诊疗需求的，可考虑限定处理对象——仅处理非医疗器械数据（如患者主诉等信息、检验检查报告结论）、而不直接处理或联合处理医疗器械数据（X光、CT、MRI影像等医学图像、心电、脑电等生理信号等）。
此外，美国食品药品监督管理局（“FDA”）在《临床决策支持（CDS）软件指南》（Clinical Decision Support Software）中曾明确对此类人工智能技术应用是否属于医疗器械的分析原则[1]，该等原则可为我国医院本地化部署DeepSeek并运用于决策支持、辅助决策及诊疗的合规尝试路径提供一定借鉴参考：
▶提供非特定的建议：若软件为医疗专业人员提供的是支持性建议，而非单一、具体、选定的输出或指令，医疗保健人员仍需综合多方面因素进行判断，并非完全依赖软件给出的结论，那么其可能不需要作为医疗器械监管。
▶允许独立审查建议：如果软件允许医疗保健人员独立审查其建议的基础，并且医疗专业人员在临床决策中并不主要依赖这些建议，其可能不需要作为医疗器械监管。
据此，在医院本地化部署DeepSeek并将其运用于决策支持、辅助决策及诊疗的，也可考虑要求DeepSeek展示分析的数据来源、算法逻辑等，要求医疗保健人员独立审查其输出建议、审核确认，并形成完整的决策证据链。
▶在医院本地化部署DeepSeek时，避免将DeepSeek运用于自动生成处方
中国国家卫生健康委员会及部分地区在近年即已对AI在互联网医院场景下的运用做出一些限制性规定，医院在确定DeepSeek本地化部署功能时也应参考、关注，避免将DeepSeek运用于自动生成处方等：
（1） 国家卫生健康委办公厅、国家中医药局办公室《关于印发互联网诊疗监管细则（试行）的通知》（国卫办医发〔2022〕2号）：处方应由接诊医师本人开具，严禁使用人工智能等自动生成处方。
（2） 湖南省《关于进一步加强基本医疗保障定点零售药店管理的通知》（湘医保发〔2025〕8号）：严禁使用人工智能等自动生成处方。
综上，随着DeepSeek为代表的新一代人工智能技术的出现，各地医院均开始尝试本地化部署DeepSeek，逐步探索出一条提升诊疗效率的创新路径。但现行监管框架对此类创新也暂时未出台具有针对性的监管指引，在这种情况下，我们建议相关医院结合上述合规路径对DeepSeek本地化部署进行审慎尝试；与此同时，也应持续关注国家药监局及其他相关主管部门的监管态度及实践操作变化趋势。
注释
