近期我们团队处理了一个AI心理健康领域的合规项目，涉及医疗器械监管、未成年人数据保护和广告合规三条监管线的交叉适用。这家创业公司的产品拟进入医院试点并引入投资，在项目启动阶段即委托我们进行法律合规审查。客观说，创始人能够提前意识到“事前防范”的重要性，而非“事后补救”，这在AI创业领域并不多见。

AI医疗赛道的创业者们在技术上通常高度敏锐，但在监管合规层面，几个共性问题值得所有从业者关注。

第一个问题：你的AI在“辅导作业”还是在“开处方”？

AI心理健康类产品的功能通常可分为三个层级。

第一层为一般信息推送，如推送心理健康知识、让用户记录日常情绪，法律上不涉及医疗器械监管。

第二层为风险评估类功能，如AI根据用户情绪记录给出“压力指数偏高”的评估。此类功能本身不违法，但表述方式需审慎。建议在产品中明确提示“本评估仅供参考，不构成医疗建议”，并在界面设计上区分“建议”与“诊断”的视觉层级。

第三层为心理诊断、治疗建议、用药推荐等，属于医疗行为，需要执业医师资格，软件本身还需取得二类或三类医疗器械注册证。AI产品若输出“你可能是中度抑郁”等诊断性结论且无相应资质，即构成无证行医。

许多AI创业公司的问题不在于故意越线，而在于未意识到监管红线的存在。“智能评估”“健康分析”“情绪识别”等功能在技术层面是中性描述，但在监管视野中可能被认定为医疗器械功能。

第二个问题：医疗器械注册证的时间差风险

部分AI产品的商业路径为：先在医院进行临床试点、跑通数据，同时申请医疗器械注册证，获证后再推向市场。这一路径在法律上存在重大风险。

根据《医疗器械监督管理条例》，在取得注册证之前将产品投入临床环境使用，构成无证生产销售医疗器械。即便以“试点”“收集反馈”为名，一旦发生不良事件，监管部门倒查时首先核查的就是资质问题。

合规的过渡方案是：在取得注册证之前，产品功能严格限制在一般信息推送层面，临床场景仅限于使用体验测试，不涉及任何诊断评估类功能验证。

第三个问题：未成年人情绪数据的合规门槛

涉及未成年人用户的产品，每一条情绪记录、心理状态、行为偏好数据均属于敏感个人信息，适用《个人信息保护法》的较高保护标准。

处理未成年人敏感个人信息需满足以下五项基本要求：

第一，监护人明示同意。需建立监护人身份验证机制及分场景授权的同意流程，确保监护人充分理解数据收集的目的和用途。

第二，个人信息保护影响评估。在数据收集前需完成PIA报告，分析各数据处理环节的风险及缓解措施，报告需存档备查。

第三，强制报告义务。发现用户存在自伤自杀倾向等极端风险时，需依法履行上报义务。

第四，数据分类分级。敏感数据须单独存储、加密、脱敏，不得与普通用户行为数据混同存储。

第五，训练数据的合法路径。用户对话记录用于模型训练的，须经“委托处理加脱敏匿名化”路径，数据在进入训练前须经匿名化处理，且仅限合同约定的特定目的使用。

上述五项要求缺一不可，在当前执法环境下，任何一项缺失均可能引发行政处罚及民事索赔。

第四个问题：高风险场景的预案准备

AI心理健康类产品涉及的高风险场景可划分为不同等级，其中两类最值得关注：

一是用户自伤自杀与AI服务产生关联的风险。若用户在产品使用后发生极端事件，而AI回复记录中存在任何可能被解读为“诱导”“忽视”“不当建议”的内容，企业可能面临刑事及舆论双重风险。应对方案包括建立AI回复的实时风控关键词拦截、高危用户人工即时介入流程，以及与心理危机干预机构的合作对接机制。

二是数据大规模泄露风险。未成年人情绪和心理数据的泄露后果远重于一般数据泄露。企业需建立24小时内启动的完整应急响应流程，涵盖监管通知、用户通知、漏洞溯源及止损修复等环节。

多数创业公司的合规工作聚焦于日常合同纠纷和用户投诉，但真正可能对企业构成致命打击的，是上述高风险场景。企业无需每日应对这些风险，但必须在运营之初即建立相应预案。

第五个问题：产品命名与广告合规

产品名称若使用具有医疗暗示的词汇，在《广告法》框架下可能被认定为暗示治疗效果。更复杂的连锁风险在于：产品名称暗示疗效，进而被认定为医疗器械广告，而产品若无医疗器械注册证，则同时构成无证器械和虚假宣传，面临处罚叠加。

在产品命名和宣传物料中，应系统性地避免使用具有“疗效暗示”风险的用语，对已在市场上流通的包装和营销内容，需制定分阶段整改方案。

结语

AI合规工作容易陷入两种误区：一是“等出事了再说”的被动应对，二是“一口气全做但做不深”的浅尝辄止。有效的方法是优先识别并处置最大的三个风险点，其余事项在常法框架下逐步消化。

AI产品的合规现状如何？欢迎业内人士交流探讨。

李章虎律师，锦天城（重庆）高级合伙人，连续六届Benchmark Litigation中国西部诉讼之星，The Legal 500中国精英榜单律师。专注知识产权、AI与数据合规、商事争议解决。