患者資料能餵給 AI 嗎？診所使用 AI 的個資法紅線與 1,500 萬罰鍰風險
病歷、醫療資料是個資法第 6 條的特種個資，原則上禁止蒐集處理利用。把患者資料貼進公開版 ChatGPT 就可能踩線，情節重大罰鍰上限 1,500 萬元。本文拆解診所用 AI 的五大高風險情境、合規檢查清單與可行替代做法。
先講結論：患者的病歷、醫療、健檢資料屬於個資法第 6 條的「特種個資」，原則上禁止蒐集、處理、利用——把這類資料貼進公開版 ChatGPT、Gemini 等生成式 AI，幾乎必然踩線。違反安全維護義務可罰 2 萬至 200 萬元，情節重大上限 1,500 萬元，另有 5 年以下有期徒刑的刑事責任。
但這不代表診所不能用 AI。這篇拆清楚：哪些情境是紅線、哪些可以合規地做、導入前該檢查哪五件事。
患者資料在個資法裡是什麼等級？
個資法把個人資料分成兩級，診所手上的資料幾乎都落在管最嚴的那一級：
| 資料類型 | 個資法定位 | 診所常見例子 |
|---|---|---|
| 特種個資（第 6 條） | 原則禁止蒐集、處理、利用 | 病歷、療程紀錄、健檢報告、諮詢時陳述的病情 |
| 一般個資 | 需符合特定目的並盡告知義務 | 姓名、電話、LINE ID、預約紀錄、廣告名單 |
第 6 條的例外事由有限：法律明文規定、履行法定義務必要範圍、當事人自行公開、無從識別特定人的統計研究，以及當事人書面同意等。「拿來讓 AI 幫我整理」不在任何一項裡面。
一般個資（例如行銷名單、預約資料）雖然不受第 6 條的原則禁止，但仍受特定目的拘束：當初以「預約掛號」目的蒐集的電話，要拿去做 AI 分析或再行銷，必須在告知範圍內。這也是為什麼名單管理的第一步，永遠是把蒐集目的與告知文字寫清楚。
哪五種 AI 使用情境最容易踩線？
依實務觀察，診所最常出現的高風險行為由重到輕排列如下：
| 情境 | 風險等級 | 問題點 | 合規做法 |
|---|---|---|---|
| 把病歷、檢查報告貼進公開版 ChatGPT 問建議 | 極高 | 特種個資外洩＋境外傳輸＋可能被用於模型訓練 | 禁止；必要時徹底去識別化再處理 |
| 用含個資的患者名單直接餵 AI 做分群、寫訊息 | 高 | 逾越蒐集目的、未告知利用方式 | 先去識別化或在系統內處理，不出系統 |
| 員工私下用個人帳號 AI 工具處理院內文件 | 高 | 診所無從稽核，出事仍由診所負責 | 明文禁止＋提供合規的替代工具 |
| AI 客服／對話分析記錄患者對話 | 中 | 告知不足、供應商資料用途不明 | 隱私權政策載明用途＋供應商簽資料保護條款 |
| 用 AI 產出衛教文與廣告素材（不含患者資料） | 低 | 個資風險低，但注意醫療廣告合規 | 可用；產出內容仍須過醫療廣告合規檢核 |
關鍵分野很簡單：AI 是工具還是資料的去向。用 AI 寫衛教文章、產廣告素材，資料沒有流出去，風險低；把患者資料「餵進去」一個你不知道會存多久、存在哪個國家、會不會拿去訓練的服務，風險就完全不同。
違法會付出什麼代價？
2023 年 5 月個資法修正後，罰則已大幅提高，且新設「個人資料保護委員會」為主管機關（目前以籌備處運作，正式職權移轉時程由行政院定之）：
- 行政罰（第 48 條）：違反安全維護義務，處 2 萬–200 萬元罰鍰並限期改正；情節重大者處 15 萬–1,500 萬元
- 刑事責任（第 41 條）：意圖不法利益違法蒐集、處理、利用個資且足生損害者，處 5 年以下有期徒刑，得併科 100 萬元以下罰金
- 民事賠償與商譽：患者可求償；對診所這種高度依賴信任的行業，「個資外洩」上新聞的殺傷力往往大於罰單本身
另外提醒：2025 年 11 月立法院又通過新一波個資法修正（截至本文撰寫尚未施行，施行日由行政院另定），監管強度只會更高，不會回頭。現在把制度建好，是成本最低的時間點。
診所導入 AI 前的 5 個合規檢查點
- 告知與同意先到位：隱私權政策、LINE 歡迎訊息、預約表單載明資料用途；涉及特種個資的利用，取得書面（含電子）同意
- 去識別化 SOP：任何資料要離開院內系統前，姓名、電話、病歷號、生日等識別欄位一律移除或代碼化，並留意罕見病症＋日期＋地區的組合識別風險
- 供應商合約：AI 或 SaaS 廠商是否承諾「不將客戶資料用於模型訓練」、資料存放地點、保存期限、外洩通知義務——白紙黑字寫進合約
- 權限與稽核：誰能匯出名單、誰能存取對話紀錄，留下軌跡；離職即停權
- 員工規範：明文禁止用個人帳號的公開 AI 工具處理患者資料，同時提供合規的替代方案——只有禁令沒有工具，員工一定繞道
第 3 點常被忽略但最關鍵。挑選 AI 客服機器人或對話分析工具時，「資料怎麼被處理」應該和功能、價格放在同一張評估表上。
那診所到底可以怎麼用 AI？
合規和 AI 化不衝突，路徑有三條：
第一條：只餵不含個資的資料。 衛教內容產出、廣告文案發想、匿名化後的統計分析（例如各渠道名單數、到診率、時段分布），都不涉及可識別的個人資料。事實上，診所 AI 應用價值最高的一塊——把廣告費、名單、到診、成交串成同一條數據鏈來分析——用的多半是這類營運數據，而不是病歷。
第二條：在封閉系統內處理。 企業級或私有部署的 AI 方案，資料不離開受合約保護的環境、不用於訓練公開模型，才適合碰到患者對話與名單。這也是評估 2026 年診所 AI 工具時，「企業版」與「免費公開版」真正的差異所在——差的不是功能，是資料的法律地位。
第三條：徹底去識別化後再分析。 個資法第 6 條明文允許「無從識別特定當事人」的統計與研究利用。想用 AI 找出「哪類諮詢問題最容易流失」「哪個時段爽約率最高」，把識別欄位拿掉後照樣做得到。
一個務實的心法：AI 要的是模式（pattern），不是身分（identity）。九成以上的經營決策——素材要不要換、預算加在哪個渠道、哪段話術轉換率高——都不需要知道患者是誰。把「可識別資料」留在受保護的系統裡，把「去識別化的模式」交給 AI，就能同時拿到效率與合規。
最後：把合規當成信任資產來經營
患者把病史交給診所，是醫療業最重的信任。個資管理做得好，不只是不被罰——在 AI 焦慮升溫的 2026 年，「我們如何保護您的資料」本身就是差異化的品牌訊息，值得寫進官網與初診說明。
而數據化經營與個資保護從來不是二選一：在權限受控的單一系統裡把名單從進線一路追蹤到成交，遠比把資料在 Excel、私人 LINE 與各種免費工具之間搬來搬去，既有效、也安全得多。
參考資料
常見問題
診所可以把病歷或患者資料貼進 ChatGPT 嗎？
公開版生成式 AI 不行。病歷與醫療資料是個資法第 6 條的特種個資，原則禁止蒐集、處理、利用，且公開版工具可能把輸入內容用於模型訓練，等同把資料傳輸給境外第三方，患者既未被告知也未同意。若要用 AI 處理這類資料，必須先徹底去識別化，或改用簽有資料保護條款、承諾不拿資料訓練的企業級方案。
違反個資法，診所會被罰多少錢？
依 2023 年修正後的個資法第 48 條，違反安全維護義務可處 2 萬至 200 萬元罰鍰並限期改正，情節重大者可處 15 萬至 1,500 萬元。若意圖不法利益而違法蒐集、處理、利用個資並足生損害，第 41 條另有 5 年以下有期徒刑、得併科 100 萬元以下罰金的刑事責任，負責醫師與經手人員都可能被究責。
什麼是「去識別化」？做到什麼程度才算合格？
去識別化是把資料處理到「無從識別特定當事人」的程度，不是只把姓名改成王小姐。姓名、電話、身分證字號、病歷號、出生日期、地址、照片都要移除或代碼化，且要注意組合識別風險——罕見病症加上就診日期加上區域，仍可能反推出特定患者。實務上建議由固定 SOP 與雙人檢核把關，而不是交給個別員工自行判斷。
診所用 AI 客服或 AI 對話分析，需要取得患者同意嗎？
需要盡告知義務。依個資法第 8 條，蒐集個資時應明確告知蒐集目的、利用範圍與當事人權利，實務做法是在 LINE 官方帳號歡迎訊息、預約表單與官網隱私權政策中載明「對話內容將用於客服品質與服務改善」。若涉及病情等醫療資訊，標準更高，應確認系統供應商不會將資料用於訓練模型，並簽訂保密與資料處理條款。