ISO/TS 24971-2:2026 完整指南｜AI／ML 醫療器材風險管理重點與導入實務

當人工智慧開始影響診斷、分流、預後預測或治療建議，醫療器材風險便不再只來自硬體故障或程式錯誤，也可能來自訓練資料偏差、模型漂移、錯誤輸出及使用者過度依賴。

ISO 已於2026年6月正式發布第一版 ISO/TS 24971-2:2026《Medical devices — Guidance on the application of ISO 14971 — Part 2: Machine learning in artificial intelligence》，協助製造商將 ISO 14971 風險管理流程應用於機器學習醫療器材（MLMD）。

本指引適合 AI／ML 醫療軟體、AI 輔助診斷系統、醫療影像分析工具、IVD 判讀軟體、預測模型，以及含有機器學習功能的醫療設備開發商使用。

重要的是，ISO/TS 24971-2 是技術規範與應用指引，不是獨立的產品認證標準。企業仍須結合 ISO 14971、ISO/TR 24971及適用的醫療器材品質、軟體與市場法規要求。

ISO/TS 24971-2:2026 是什麼？

ISO/TS 24971-2:2026 是針對人工智慧及機器學習特有風險，說明如何將 ISO 14971 的風險管理流程應用於機器學習醫療器材。

它不是取代 ISO 14971，而是補充傳統風險管理在資料、模型、部署環境及持續學習方面不足的部分。

正式標準資訊

特別需要注意：依 ISO 公布的適用範圍，本文件不適用於採用大型語言模型（LLM）或生成式AI的機器學習醫療器材。這類產品仍須依其具體用途、輸出可預測性及目標市場要求，另外建立風險管理架構。

哪些產品適用 ISO/TS 24971-2？

只要產品具有醫療目的，並以機器學習模型影響醫療資訊、判斷或處置，就應評估導入 ISO/TS 24971-2。

常見適用產品包括：

AI醫療影像辨識與病灶標記軟體

心電圖、超音波或病理影像分析系統

疾病風險、再入院率或病程預測模型

IVD檢測結果判讀軟體

AI輔助診斷或臨床決策支援系統

具有機器學習功能的穿戴式醫療器材

智慧監護、警報與患者分流系統

依患者資料產生治療建議的醫療軟體

使用AI進行劑量、參數或設備控制的醫療器材

如果AI僅用於企業內部行政、文件整理或一般客服，沒有醫療目的，也不影響醫療器材的安全與性能，通常不屬於本文件的主要適用範圍。

ISO/TS 24971-2 與 ISO 14971、ISO/TR 24971 有何差異？

三份文件不是互相替代，而是「要求、一般解釋、AI／ML專項指引」的關係。

企業不能只做一份「AI風險評估表」便宣稱符合要求。正確做法是將AI／ML風險納入既有的風險管理計畫、危害分析、風險控制、殘餘風險評估及上市後監控流程。

AI／ML 醫療器材有哪些特殊風險？

傳統軟體通常依預先定義的規則執行，但機器學習模型的表現取決於資料、族群、環境與使用方式。因此，即使程式沒有故障，模型仍可能產生不安全結果。

資料品質與代表性風險

訓練資料若不完整、標註錯誤或族群分布失衡，模型可能在特定年齡、性別、族群、疾病亞型或醫療場域中表現明顯下降。

企業需要確認資料來源、納入與排除條件、標註方式、資料清理規則，以及訓練集、驗證集與測試集的獨立性。

演算法與模型性能風險

不能只用單一準確率證明模型安全。靈敏度、特異度、偽陽性、偽陰性、校準度及不同子族群的表現，都可能影響臨床風險。

例如癌症篩檢產品的偽陰性，可能造成延遲診斷；分流系統的偽陽性，則可能占用醫療資源或引發不必要處置。

資料漂移與模型漂移風險

模型上市時表現良好，不代表長期維持相同性能。患者族群、設備型號、醫療流程、臨床指引及資料格式改變，都可能造成性能衰退。

FDA亦指出，臨床實務、人口特徵、輸入資料及醫療基礎設施的變化，都可能導致資料或概念漂移，進而造成偏差、可靠度下降或性能退化。

自動化偏誤與使用錯誤

使用者可能過度相信AI結果，也可能因警示過多而忽略真正重要的警報。

風險管理不能只檢查模型本身，還要評估醫師、技術人員及一般使用者如何理解輸出，以及產品是否清楚說明限制、不確定性與需要人工覆核的情況。

更新與持續學習風險

模型更新可能提高整體準確率，卻降低特定族群的表現。資料前處理、特徵工程或閾值調整，也可能構成影響安全與性能的設計變更。

因此，每次更新都應進行影響分析、風險評估、驗證確認及法規變更判定，不能只比較新版與舊版的平均性能。

如何建立 AI／ML 醫療器材風險管理流程？

建議依產品生命週期建立七個階段，並把資料、模型與臨床使用情境納入同一份風險管理架構。

第一步：定義錯誤結果會造成什麼傷害

風險分析應從臨床後果出發，而不是只記錄「模型判斷錯誤」。

例如「漏掉肺部病灶」是危險情況，可能進一步造成延遲確診、延誤治療或疾病惡化。企業應建立從模型失效、危害、危險情況到傷害的完整鏈結。

第二步：建立可接受的性能界線

企業應在模型開發前定義可接受標準，包括整體性能、關鍵子族群、不同設備與不同場域的最低要求。

如果標準是在測試結果出來後才決定，容易形成選擇性解讀，也不利於證明風險控制有效。

第三步：把風險控制轉成可驗證要求

有效的控制措施可以包括輸入資料檢查、超出適用範圍警示、信賴度顯示、人工覆核、故障安全模式及模型版本鎖定。

只有在說明書寫上「結果僅供參考」，通常不足以控制可能造成嚴重傷害的風險。

第四步：持續確認控制措施是否有效

模型部署後，企業應持續比較上市後資料與原始驗證資料，確認性能是否出現顯著下降。

監控計畫至少應定義指標、警戒值、資料來源、檢查頻率、責任人員，以及觸發CAPA、模型停用或重新驗證的條件。

ISO/TS 24971-2 如何與品質管理系統整合？

最有效的做法不是另建一套AI制度，而是將要求整合進 ISO 13485 的設計開發、供應商管理、軟體驗證、變更控制、CAPA及上市後監督程序。

同時還應視產品性質搭配 IEC 62304 軟體生命週期、IEC 62366-1可用性工程、臨床評估、資安及資料隱私要求。

美國與歐盟對 AI 醫療器材有哪些相關要求？

ISO/TS 24971-2不是市場准入法規，但可作為建立風險管理證據的重要參考。

美國 FDA 重視全生命週期管理

FDA於2025年發布AI醫療器材軟體功能生命週期管理草案，建議申請資料包含完整風險管理檔案，並涵蓋使用者、資訊理解、性能變化及上市後監控。FDA AI醫療器材生命週期管理草案

對預計持續更新的ML醫療器材，還應評估是否建立預定變更控制計畫（PCCP），事先說明預計修改內容、實施方法及影響評估。FDA、Health Canada與MHRA的PCCP原則

歐盟需同時評估 MDR／IVDR 與 AI Act

歐盟MDCG 2025-6說明，醫療器材法規處理醫療軟體安全與性能，而AI Act補充AI系統對健康、安全及基本權利的特有風險。

符合條件的高風險醫療AI，可能需要同時符合MDR／IVDR與AI Act。企業可在適當情況下，將AI Act所需測試、報告及文件整合進既有醫療器材品質與技術文件。

導入 ISO/TS 24971-2 需要多久？

導入時間取決於產品複雜度、既有風險管理成熟度、資料完整性，以及是否已完成模型驗證。

以上是一般專案規劃範圍，不代表主管機關審查時間。若臨床資料不足或需重新收集代表性資料，實際時程可能明顯延長。

常見問題 FAQ

ISO/TS 24971-2 可以單獨申請認證嗎？

通常不行。它是協助應用 ISO 14971 的技術規範，不是獨立的管理系統認證標準。企業真正需要的是建立可接受查核的風險管理檔案，並將其整合至ISO 13485品質系統及產品技術文件。

已經完成 ISO 14971，還需要補做嗎？

需要先進行差距分析。一般風險文件可能尚未涵蓋資料代表性、演算法偏差、模型漂移、子族群性能及重新訓練風險。如果產品使用機器學習，但風險文件仍只分析軟體故障，通常不足以反映實際風險。

固定模型也需要上市後監控嗎？

需要。即使演算法本身不更新，患者族群、輸入設備、資料格式及臨床流程仍可能改變，造成性能下降。

固定模型代表模型參數不變，不代表使用環境與風險不變。

使用生成式AI或LLM的醫療器材可以套用嗎？

不能直接宣稱符合其適用範圍。ISO已明確說明，本文件不適用於使用LLM或生成式AI的ML醫療器材。企業仍可參考ISO 14971的基本流程，但應另外分析輸出不確定性、幻覺、提示輸入、基礎模型更新及第三方服務依賴等風險。

導入最大的難點是什麼？

通常不是製作表單，而是證明資料與模型在預期族群、設備及場域中具有足夠代表性與可靠性。若早期沒有保留資料來源、標註、清理、版本及測試紀錄，後期補件成本往往更高。

輔導費用如何計算？

費用取決於產品數量、模型複雜度、目標市場、既有ISO 14971文件，以及是否需要協助資料治理、軟體文件或上市申請。建議先提供產品用途、AI模型類型、資料規模、開發階段及預計申請國家，再進行專案評估與正式報價。

下一步如何執行？

企業可以先完成四項盤點：

1. 確認產品是否屬於具有醫療目的的ML醫療器材。

2. 檢查現有ISO 14971文件是否涵蓋資料、模型、偏差及漂移風險。

3. 盤點資料來源、標註方法、族群分布與模型版本紀錄。

4. 依美國、歐盟或其他目標市場建立技術文件補強計畫。

不建議等到產品定型或送件前才處理AI風險。資料代表性、性能標準與上市後監控機制，應在設計開發初期同步建立。

ODI MORGAN 服務推薦

ODI MORGAN 可依產品開發階段與目標市場，提供以下服務：

ISO/TS 24971-2與ISO 14971差距分析

AI／ML醫療器材風險管理流程建置

AI危害分析、FMEA及風險管理檔案輔導

資料治理、模型性能與子族群風險盤點

ISO 13485品質管理系統整合

IEC 62304軟體生命週期文件輔導

AI模型變更控制與上市後監控機制

FDA、歐盟MDR／IVDR技術文件準備

模擬稽核、缺失整改及送件前文件檢查

企業可先提供產品用途、使用者、演算法類型、模型是否持續更新、目前開發階段及目標市場。ODI MORGAN 將依實際差距規劃導入範圍、時程與報價，協助將AI風險管理落實到可驗證、可維護及可接受審查的文件系統。