医疗AI训练数据存在问题，可能同时涉及个人信息侵权、数据安全、产品缺陷和诊疗过错，但不能直接认定医院与开发企业承担全部或连带责任。
首先需要区分：是患者资料被违法用于训练，还是训练数据质量不足导致诊疗错误。两类问题可以同时存在，也可能分别发生。
一、训练数据“不合规”包括哪些情况？
| 问题类型 | 常见情形 |
|---|---|
| 数据来源违法 | 非法购买、窃取或获取患者病历 |
| 超出处理目的 | 将仅用于诊疗的资料擅自转为模型训练数据 |
| 违法对外提供 | 未依法履行程序，将可识别患者的信息交给其他主体 |
| 安全保护不足 | 权限失控、传输或存储不当，导致泄露 |
| 数据质量存在问题 | 标注错误、关键资料缺失、样本代表性不足 |
| 违反其他权利或监管要求 | 侵犯知识产权、违反适用的人类遗传资源管理规定等 |
**来源合法与质量可靠是两个问题。**依法取得的数据，也可能因标注或样本问题影响模型表现；模型预测准确，也不能反过来证明数据来源合法。
二、用患者病历训练AI，是否必须重新取得同意？
应当核查原有处理依据、告知内容及实际用途，不能一概而论。
患者同意接受诊疗，并不意味着同意将病历用于任何AI训练。把资料交给供应商，也不当然属于完成本次诊疗所必需。
涉及个人信息的，应取得有效同意，或者符合其他法定处理情形；以同意为依据处理医疗健康等敏感个人信息的，还应满足相应单独同意要求。
需要重点审查：
- 原先是否说明模型训练用途；
- 数据交给谁，是否允许其自行留存、利用；
- 是否超出必要范围；
- 是否涉及科研伦理要求；
- 是否真正实现匿名化。
仅删除姓名、替换编号，通常不等于匿名化。若仍能恢复关联或识别个人，不能据此排除个人信息保护义务。
三、医院提供了数据，开发企业拿去训练，谁负责？
应当根据实际分工判断，不能只看合同将谁称为“技术服务商”。
| 实际关系 | 责任审查重点 |
|---|---|
| 医院委托企业按指定目的处理数据 | 委托范围、安全措施及医院监督义务 |
| 企业自行决定将资料用于其他训练 | 是否超出委托，是否具有独立处理依据 |
| 医院与企业共同决定处理目的和方式 | 是否属于共同处理及相应责任 |
| 企业从其他渠道取得数据 | 来源是否合法，医院是否参与相关行为 |
委托企业处理数据，不意味着医院当然免责；医院购买AI产品，也不意味着必须为企业此前所有数据违法行为负责。
属于共同处理并侵害个人信息权益造成损害等法定情形的，可能承担连带责任。不能仅以“医院没有审查训练数据”为由，直接推定连带责任成立。
四、数据质量有问题，导致误诊，怎样确定责任？
需要把数据问题与具体诊疗后果连接起来。
例如，训练样本缺乏某类患者的数据，可能影响模型在该人群中的表现。但是否构成产品缺陷或研发过错，还需要结合预期用途、性能要求、已知局限及风险提示等判断。
进一步应审查：
- 涉案系统是否确实用于本次诊疗；
- 当时使用的是哪个版本；
- 模型输出是否存在错误；
- 错误是否与训练数据问题有关；
- 医师是否进行了合理复核；
- 错误是否造成延误治疗等额外损害。
模型一次判断错误，不当然证明训练数据违法；数据来源违法，也不当然证明患者的全部身体损害由该数据问题造成。
五、所有医疗AI都适用产品责任吗？
不是，应根据实际功能和法律属性判断。
属于医疗器械管理的软件，存在缺陷并造成患者损害的，可以依法审查医疗产品责任。普通信息技术服务、管理服务等，则需要结合具体义务适用相应规则。
同样，不能因为软件通过网络提供，就一概认定“只是服务，不适用产品责任”。
医院或医务人员存在诊疗过错的，应审查医疗机构责任；开发企业存在产品缺陷或其他侵权行为的，也应依法评价。内部合同可以约定责任分担，但不能排除患者依法享有的权利。
六、患者资料被用于训练，但没有误诊，也能维权吗？
可以。个人信息权益受到侵害，不以已经发生误诊为前提。
患者可以依法要求说明处理情况、停止违法利用，并在符合条件时要求删除相关信息或采取其他补救措施。
但应区分：
- 删除源病历或训练数据副本；
- 停止后续训练及对外提供；
- 处理模型可能泄露个人信息的问题；
- 医院依法保存原始医疗记录。
这些事项并不等同。能否要求删除、重新训练或采取其他技术措施，应结合具体事实、必要性及法律规定判断。
要求损害赔偿的，还应说明相应损害及关联。没有统一的“病历被训练一次就赔多少”标准。
七、患者如何收集证据、提出诉求？
| 证据 | 主要用途 |
|---|---|
| 隐私政策、知情同意书及历史版本 | 核查告知和授权范围 |
| 数据使用通知、邮件、聊天记录 | 证明资料被提供或用于训练的线索 |
| 原始病历及泄露内容 | 证明信息与本人有关 |
| AI报告、软件名称和版本信息 | 核查实际使用情况 |
| 后续诊疗及费用资料 | 证明健康损害和经济损失 |
可以向医院及有关企业提出书面询问，要求保存数据提供记录、委托协议、访问日志和相关版本资料。个人无法取得的材料，可通过投诉调查或诉讼中的调查取证程序处理。
涉及个人信息违法处理的，可以向履行个人信息保护职责的部门投诉；涉及医疗机构管理或医疗器械问题的，可分别向相应主管部门反映。
维权时应明确自己的主要诉求：停止违法用数、保护个人信息，还是追究诊疗损害责任。不同诉求需要的证据和责任依据有所不同。
