医院上 AI 系统、接大模型、做数据平台，最常被问的一句话是：「数据安全合规吗？」

这个问题没有标准答案，但有标准依据。2022 年 8 月，国家卫生健康委、国家中医药局、国家疾控局联合印发《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号），给医疗卫生机构的网络和数据安全划定了管理框架。

医疗数据为什么「特殊」

办法开宗明义，把「健康医疗大数据」定位为国家重要基础性战略资源。这意味着，医疗数据的安全，不只是医院自己的事，而是有公共属性的。

所以办法的原则里，第一条就强调「分等级保护、突出重点」：重点保障关键信息基础设施、网络安全等级保护第三级及以上网络，以及重要数据和个人信息安全。

两个核心要求

第一，分级保护。 办法要求医疗卫生机构全面梳理各类网络（包括云计算、物联网、5G、大数据、AI 等新技术应用），根据功能、服务范围、服务对象和处理数据等情况，科学确定安全保护等级，并报上级主管部门审核同意。新建网络在规划和申报阶段就要确定保护等级。

第二，数据全生命周期管理。 从数据收集、存储、传输、处理、使用、交换到销毁，每一个环节都要有安全措施。特别地，数据全生命周期活动应在境内开展，确需向境外提供的要依法评估或审核。

一个被反复强调的原则

办法里有一句话，值得所有做医疗信息化的人记住：「管业务就要管安全」「谁主管谁负责、谁运营谁负责、谁使用谁负责」。

它的意思是：安全不是信息科一个部门的事。用 AI 的科室、采购系统的院领导、开发系统的厂商，都要对自己那一段的数据安全负责。

对 AI 应用的现实意义

这条办法，恰好解释了为什么「AI 用量治理」在医疗场景里格外重要：

  • 当院内多个科室各自接入大模型，数据分散在多个账号、多个厂商手里，安全责任也随之分散，甚至可能「没人说得清数据去了哪」；
  • 统一计费、Token 可视、配额管理，不只是「省钱」，更是一种治理——让每一笔 AI 调用都可追踪、可审计、可追责；
  • 数据不出境、最小化采集、权限分级，这些合规要求，都需要系统化的工具来支撑，而不是靠口头约定。

梯木科技的 AI Sentinel 用量治理平台，正是从这个角度切入：把「用了多少、用在哪、合不合规」变成一张看得见的看板，让 AI 在医疗场景里的价值，建立在安全合规的底座之上。

一句话：医疗数据的安全不是「加分项」，而是「入场券」。医院要拥抱 AI，先要把安全治理这件事做实。

本文依据《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号）整理，具体条款以正式文本为准。