2026年1月14日，位於美國馬里蘭州銀泉的食品藥物管理局總部與歐洲藥品管理局辦公室，幾乎同時公開了一份簡短的文件。名稱是「藥物開發之優良人工智慧實踐指導原則」，其中包含的內容僅有十項原則。以人為本的設計、基於風險的途徑、資料治理、生命週期管理等詞彙，密集地分布在這份僅有幾頁的文件中。隔著太平洋的這兩個巨大監管機構攜手並發出同一聲音的場景，是他們雖然稍晚，但正式承認新藥開發的重心正從試管與動物籠轉移至電腦伺服器的瞬間。

在此八個月前的2025年5月，食品藥物管理局宣布導入自行開發的生成式人工智慧Elsa，並在同年6月底全面部署完畢，供所有審查員使用。隨著Elsa僅用六分鐘就完成過去需要花費三天時間的文件比對工作之內部報告曝光，新藥審查速度本身正在發生改變的傳聞隨即被確認為事實。實際運用Elsa的方式有其專屬的安全機制。食品藥物管理局將Elsa封閉在政府專用的雲端環境內，在設計上防止Elsa將製藥公司提交的敏感審查資料吸收學習。

這等於是允許審查員存取內部文件，但阻止了這些內容流入Elsa的學習資料而影響其他公司審查的情況。這意味著監管當局自己也對他們所使用的人工智慧採取了相同的標準。

監管機構將這種變化自行稱之為監管科學。這意味著重新設計判斷新藥是否安全有效的科學依據本身的工作。過去的監管科學著重於以統計學驗證臨床試驗產生的數據。現在的監管科學則必須一併涵蓋驗證產生該數據的人工智慧模型有多可靠的工作。對於審查員而言，僅具備化學與醫學知識已嫌不足，現在還新需要具備能夠一起解讀模型是以什麼資料訓練、在什麼假設之上運作的眼光。

貫穿這所有動向的圖景是，監管正從追趕人工智慧的姿態，轉變為與人工智慧並肩同行的姿態。就在十年前，監管當局還是在新技術率先進入市場後，才遲遲制定規則。現在，食品藥物管理局與歐洲藥品管理局已經轉向，針對指南草案預先與產業界交換意見，並從開發初期階段就開啟了諮詢窗口。這等於是監管機構的角色，正從要求給出標準答案的考官，轉變為共同解決問題的夥伴。

美國國會在2022年12月通過了食品藥物管理局現代化法2.0，取消了數十年來一直被定為新藥許可申請前提條件的動物實驗義務條款。取而代之的是，在電腦中預先計算化合物活動的電腦模擬、由人體細胞製成的微小器官模型類器官，以及將人體器官功能轉移到半導體晶片上的器官晶片實驗結果，成為了安全性和有效性的正式證據。這等於在法律上開闢了一條道路，即使不經過老鼠和猴子，也能透過電腦預先描繪出新藥候選物質在人體內會如何反應。

這項條款與其說是立即禁止動物實驗，不如說是承認了替代方案。製藥公司依然可以選擇動物實驗，但僅憑電腦模擬資料就能站上審查台的大門首次被開啟，這項事實所具有的份量截然不同。能夠多快消化這項應對策略，預計將決定各家製藥公司未來幾年的臨床開發速度。

食品藥物管理局早在2021年提出處理被分類為軟體型醫療器材（SaMD）的人工智慧與機器學習軟體的執行計畫時，就已準備了兩項機制。其一是稱為優良機器學習實踐（GMLP）的十項原則。這是一種食譜，規定了如何收集和分享資料、如何設計和測試模型、人與人工智慧如何分工，以及在上市後如何繼續監測性能。在十項原則中，必須將訓練用的資料和測試用的資料分開的原則、資料必須均勻代表實際用藥患者群體的原則，以及必須觀察人與人工智慧共同工作之性能而非僅看人工智慧單獨表現的原則，是最常被引用的。

國際醫療器材法規機構論壇（IMDRF）於2025年1月將此原則確立為國際標準文件並發布，美國、加拿大和英國的監管措辭實際上已匯聚為一。另一個則是預先指定變更管制計畫（PCCP）。由於人工智慧是在上市後也會遇到新資料並持續學習改變的軟體，如果每次改變都要從頭重新取得許可，整個產業將會停擺。食品藥物管理局為製造商開啟了一條途徑，允許預先訂定未來可能發生的變更範圍與驗證方法以一次性獲得批准，並在2024年底至2025年期間，陸續確定了針對內含人工智慧之醫療器材軟體的最終指南。

這很像在購買手機時，預先在條款中同意未來發布的軟體更新將自動安裝到什麼範圍的方式。

2025年1月6日，食品藥物管理局發布了題為「關於使用人工智慧支援藥物與生物製劑監管決策的注意事項」的指南草案。該指南的骨幹是由七個階段組成的基於風險的可靠性評估體系。製藥公司必須首先以文字說明要向人工智慧模型提出什麼問題，並界定該模型在新藥開發的哪個階段扮演什麼角色，同時必須將模型判斷錯誤時患者將承受的風險大小進行分級。

如果判定風險很高，就會收集相應的充分證據來制定並執行驗證計畫，然後透過最後的程序，確認結果是否符合最初設定的目標。如果要向小學生說明，情況會是這樣：不能因為班上同學在考試答案卷上寫出了正確答案，老師就立刻給他一百分。老師還會一併檢視這個答案是經過什麼樣的解題過程得出來的、是不是剛好猜對的，以及在下一次的考試中，是不是也能用同樣的方式得出正確答案。

開發新藥的人工智慧也沒有什麼不同。當人工智慧預測某種特定化合物對肝臟有害時，僅憑預測正確的結果是不夠的。人類必須能夠解讀為什麼會做出這種判斷的過程，並且能夠確認相同的邏輯是否也能一致地應用在其他化合物上。這與法庭上的邏輯並無二致，即使證人的陳述是事實，如果不去追究該陳述出現的經過與可信度，就不會被採納為證據。

監管機構害怕的情況是，人工智慧碰巧給出了正確答案，但實際上卻沒有人能解釋其原因。無法解釋的判斷就無法重複，而當我們將無法重複的判斷原封不動地套用在下一個患者身上時，會產生什麼樣的結果，沒有人能保證。

可靠性評估體系所要求的檔案中，有幾個共通的項目。包括：說明用於訓練與驗證模型的資料從何而來的來源紀錄；以數值表示模型的預測在何種範圍內值得信賴、超出何種範圍就會產生動搖的不確定性管理計畫；以及在模型上市後，定期檢查性能是否下降的生命週期監控計畫。這項機制是為了過濾掉將僅適用於少數幾種化合物的模型，誇大成似乎適用於所有化合物並提出申請的案例。

根據風險程度而要求不同水準的態度，在美國、歐洲與韓國的指南中都很常見。在數千個化合物候補中篩選出潛力候補的初期探索用人工智慧，由於最終判斷會由人類再次審核，因此即使是相對輕鬆的驗證也能通過。相反地，直接建議患者投藥劑量，或將臨床試驗參加者分類為高風險群的人工智慧，因為其判斷會直接對人體造成影響，所以會被要求提供充分得多的證據以及頻繁得多的重新驗證。

也就是說，即使同樣掛著人工智慧的名字，實際背負的監管重量，會根據其判斷所及的範圍而有很大的不同。

同樣的指南也一併探討了模型主檔（MMF）這個制度的引進。像局部作用的藥品一樣，在多次新藥申請中反覆使用類似的人工智慧模型時，如果要求每份申請書都從頭開始重新提交模型驗證資料，對製藥公司和審查員雙方來說，都會累積重複製作和審閱相同檔案的負擔。模型主檔是一種機制，將經過一次確實驗證的人工智慧模型的履歷單獨註冊起來，讓後續的其他申請案件可以將該履歷拿來作為參考檔案使用。

這就像是只要發放過一次大學畢業證書，每次向各家公司應徵時就不必重新考試，而是提交畢業證書影本的方式。產業界與監管當局雖然還處於討論詳細運作方式的階段，但都將其視為減少模型審查重疊之低效率的核心機制。

將目光轉向新藥開發的初期階段，會發現人工智慧正在改變臨床試驗設計的本身。以前是由研究人員憑藉經驗與直覺，來決定要招募幾名患者、投藥量要怎麼分配；現在則是由計算模型透過學習過去的臨床資料，事先提出效率極高的試驗設計方案。這種方法被稱為模型資訊基礎新藥開發，由於無須盲目增加患者人數，就能獲得統計上值得信賴的結論，因為這項優點，它在罕見疾病等患者招募本身就有困難的領域中被廣泛運用。

這也同時減少了尋找候選物質最佳劑量所花費的時間與成本。不過，監管當局不會直接接受這個模型所提出的設計方案。模型假設的統計前提與實際患者群體的特徵有多吻合，以及結果的可信度是否因為樣本減少而下降，都會在前面的可靠性評估體系程序中再次進行探討。

2024年制定，並於2025年8月起陸續生效的歐洲聯盟人工智慧法（EU AI Act），將預測臨床試驗參與者之風險，或控制藥品製造流程品質的人工智慧系統分類為高風險人工智慧。一旦被分類為高風險，在將產品推向歐洲市場之前，就必須接受額外的符合性評估，上市後也必須繼續承擔包含偏見、透明度與網路安全在內的龐大合規義務。符合性評估往往不能僅靠公司自己進行的內部評估來了結。

風險度高的人工智慧醫療產品，必須經過歐洲聯盟指定的獨立審查機構，也就是所謂的 Notified Body 的額外審查，如果沒有該機構發放的證書，產品就不能在歐洲市場推出。然而，在2026年5月，歐洲聯盟透過所謂 Digital Omnibus 的政治協議修改了這個時程表，將屬於醫療器材的高風險人工智慧系統的適用時間，從原定的2027年8月延後了一年至2028年8月。這項措施是在保持法律要求目標不變的情況下，為企業爭取了準備的時間。

在此期間，包含人工智慧的醫療器材會在現有的醫療器材法規與體外診斷醫療器材法規的框架內先獲得認證，而人工智慧法的高風險義務則在寬限期結束後再重疊適用，目前是以這樣的結構在運作。這不只是一部法律，而是兩部法律對同一產品進行循序漸進、有時甚至是同時規範的雙重結構，因此製藥公司的法務團隊與許可團隊便面臨了必須將兩個時程表並排，藉以擬定應對策略的處境。

歐洲藥品管理局在2023年7月先發佈了反思文件初稿來徵求意見，隨後在2024年9月最終通過了一份涵蓋藥物生命週期全過程中人工智慧應用的反思文件。該文件具體警告了大型語言模型在撰寫規管文件或摘要臨床數據時可能出現的幻覺現象——即表面上看似可信但實際並不存在的事實被編造出來。

文件指出，文句越是看似流暢，就越容易在未經驗證的情況下直接相信。因此，該文件明確規定，無論人工智慧做出什麼判斷，最終責任必須由人類承擔。這意味著，即使人工智慧提供了再精巧的初稿，如果沒有人類審查並簽署，這份文件也無法成為規管文件。

無論規管框架多麼嚴密，如果支撐它的數據本身存在明顯偏差，就沒有太大用處。訓練人工智慧模型用的基因組信息和臨床記錄往往集中在西方幾個國家，甚至特定種族和特定收入階層。如果將在這類數據基礎上訓練的模型直接應用於不同種族或具有不同遺傳背景的患者，就會增加誤漏不期望的副作用或錯誤推薦劑量的風險。

為了在不違反歐洲《通用數據保護條例》或美國《健康保險隱私及責任法》等保護患者信息的法律前提下，同時使用多個國家的數據，聯合學習技術受到關注。這種技術將原始數據保留在醫院服務器上，只交換學習結果。然而，由於各國的計算系統差異很大，計算成本也相當高昂，這項技術完全成為規管文件的標準化做法還需要更多時間。

驗證傳統軟體的方式與驗證人工智慧的方式根本不同。計算器程序會對相同的數字輸入產生相同的輸出，所以一旦確認無誤，就不需要重複測試。然而，人工智慧是一種遇到新數據時會自行調整權重的軟體，因此前一天正確的判斷不能保證今天仍然正確。

因此，監管當局不是對人工智慧進行一次性測試就結束，而是將其視為活的監督對象，在產品留在市場期間進行反覆確認。這類似於購買汽車後不是一次性檢查，而是需要每年進行定期檢查的結構。

當由數千萬個參數組成的人工智慧模型將某種化合物指認為有毒物質時，如果人類無法解釋該判斷背後的因果關係，那麼無論預測多麼準確，也無法通過規管批准的門檻。解釋為什麼僅有準確度是不夠的，這是一項技術性任務，屬於驗證與確認（V&V）領域。業界經常同時使用所謂的SHAP（Shapley加法解釋）技術和LIME（局部可解釋模型無關解釋）技術。

這兩種技術都針對人工智慧做出的單一判斷，反向計算每個輸入值對該判斷的影響程度，並以人類可讀的數字和圖形呈現。雖然無法看透黑盒內部，但可以確定黑盒對哪些輸入賦予了多大的權重。此外，還會採用美國機械工程師協會為醫療領域制定的V&V 40原則，以及長期以來在醫療信息學領域使用的評估報告指南STARE-HI檢查清單。

核心是對模型預測與實際人體內發生的現象進行交叉驗證，並詳細記錄驗證過程本身，使其他研究人員可以完全複製。這就像評分試卷時，不僅公開答案鑰匙，還公開評分標準，使任何人都能按相同標準重新評分一樣。

隨著人工智慧和數位雙生技術進入藥物製造過程，品質設計原則（QbD）和過程分析技術（PAT）開始與人工智慧交融。QbD是指從設計階段開始就將品質內置的原則，PAT是實時監測過程的技術。傳感器和人工智慧實時捕捉溫度微小波動或雜質混入的時刻，並自動調整控制參數。此時，監管當局首先確認的是該數據未被篡改的證據。國際製藥工程協會在2022年修訂的GAMP 5第2版在軟體驗證實務中密集納入了ALCOA++原則，該原則指的是數據的準確性、一致性和可追溯性。

其中包含了對以下要求的詳細規定：必須能夠確認誰在什麼時候創建了數據，數據必須是可讀的，必須在實際事件發生的那一刻立即記錄，必須按原樣保存，必須完整且準確地保留。必須留下審計記錄，確認訓練數據和驗證數據在物理上分離開來，模型沒有發生過度擬合（即像是提前背誦了試題後的作答那樣的過度吻合）。這類似於廚師單純聲稱按食譜烹飪是不夠的，必須保留購買材料的收據和烹飪過程的照片才能獲得認可。

留下詳細審計痕跡的習慣是在工廠現場而非紙上實踐優秀機器學習實務的方法，同時也是連接到製藥品質管理部門實質競爭力的途徑。

當人工智慧自行搜索知識圖譜並繪製出前所未有的分子結構時，應將該成果的專利權授予誰尚未在國際上得到解決。專利制度原本是以人類創意行為為前提而設計的，因此沒有任何國家的專利局能夠輕易地用相同的標準來評判由算法獨自發現、幾乎沒有人為介入的發明。關於是否應該認可發明人欄無法填寫人名的發明，如果認可，是應該將權利授予開發程序的公司還是提供數據的機構，各國的判斷各不相同。

當事故真正發生時，由誰來負責的問題依然存在。假設監管機構根據人工智慧分析的合成對照組數據或安全性預測結果批准了新藥，但在上市後發生了意想不到的患者死亡事故。在這種情況下，究竟是開發人工智慧的軟體公司負責、提供數據的醫院負責、開出最終處方的醫生負責，還是審查文件並蓋章批准的監管機構負責？目前任何國家都還沒有明確的劃分標準。

就像汽車自動駕駛事故中，駕駛人、製造商和軟體公司之間已經展開了責任歸屬的爭論一樣，新藥開發的人工智慧不久後似乎也會在法庭上面臨相同的問題。

這個領域的工作人員組成也在發生變化。以前是化學家、醫生和統計學家來填寫新藥批准文件，現在則是數據科學家、軟體驗證專家和監管律師圍坐在同一個會議室裡。因為對人工智慧模型的風險進行分級並釐清責任歸屬，最終必須以法律語言來整理，才能完成提交給監管機構的文件。現在已經到了一個如果懂技術的人和懂法律的人不互相學習對方的語言，就連一份文件也無法好好完成的時代。

新藥上市後，人工智慧的角色就轉移到了上市後安全性監視，也就是藥物警戒領域。以前，只有當醫生和患者自發性通報副作用時才能發現問題，因此罕見但危險的藥物交互作用往往很晚才會被發現。現在，自然語言處理技術會即時瀏覽電子病歷、社群媒體貼文和龐大的臨床文獻，及早捕捉人類肉眼容易漏掉的微小信號。在醫院看診和日常生活中就這樣累積起來的這類資料，被稱為真實世界數據。

食品藥物管理局建立的資訊視覺化平台 InfoViP 和 Sentinel 系統，是將這些真實世界數據轉換為圖表，讓審查員可以一目了然的基礎設施。Sentinel 系統在 2024年 1月 改版為加入了自然語言處理功能的 3.0 版本，至今已執行了超過 250件 的安全性分析。國際醫學科學組織理事會 (CIOMS) 於 2025年 12月 4日 最終確定並發表了探討人工智慧與上市後監視的第14工作小組報告。這份報告以基於風險的方法、人為監督、模型的穩健性、透明度、數據隱私、公平性和治理這七項原則為骨幹，具體整理了在人工智慧精確挑出罕見副作用、自動過濾重複報告以及自動遮蔽患者個人資訊的實務中，其可信度能達到什麼程度。

上市後觀察到的安全性資訊再次回到初期開發階段，反映在人工智慧訓練數據中的循環結構，正以這樣的方式逐漸完成。

2025年 1月 24日，隨著韓國的數位醫療產品法正式實施，首次制定了法律依據，將包含人工智慧、機器人和虛擬實境技術的尖端數位醫療產品歸入一個獨立類別，從批准到上市後管理都在同一個框架內處理。同一天，食品藥物安全處在全球率先制定並發布了生成式人工智慧醫療器材許可與審查指南。這是組成由學術界、醫療現場和產業界專家組成的協商機構，提前探討生成式人工智慧醫療器材從開發到批准以及上市後管理可能存在哪些風險因素後，所產生的結果。

這股趨勢在 2026年 也延續了下來。食品藥物安全處於 2026年 6月 30日 推出了一份新的民眾指南，其中包含了基於大型語言模型 (LLM) 的數位醫療器材許可與審查標準，同時也完善了反映應用人工智慧技術的數位醫療器材特性的變更管理計畫書許可與審查指南。這項措施為產品開闢了道路，只要事先獲得對批准後預期變更事項的核准，就無需每次都重新經過許可和審查，而是可以直接反映在產品上，其骨架與美國的預定變更控制計畫相似。

食品藥物安全處還宣布，計劃從 2026年 到 2030年 的五年內，投入 347億 韓元，培育涵蓋人工智慧新藥開發、尖端生物和數位醫療器材領域的 1,100名 監管科學專業人才。這筆預算將分配給涵蓋學位課程和非學位課程的十個執行機構來執行。這項投資的基礎似乎是基於一種判斷：如果審查員不了解人工智慧模型的運作原理，那麼無論制定多麼精密的指南，在實際審查台上都會失去作用。在美國和歐洲透過法律和指南建立標準的同時，韓國可以說正在把預算投入到培養實際處理這些標準的人才上。

這種趨勢也給韓國製藥公司和生物新創公司帶來了實務上的課題。如果要向美國食品藥物管理局申請新藥，必須遵循美國的可靠性評估體系；如果要進軍歐洲，必須同時滿足人工智慧法的高風險分類和反思文件的原則；而在國內，則必須遵守數位醫療產品法和食品藥物安全處的指南。雖然這三個地區的規定所要求的文件格式和術語略有不同，但其底層的核心問題最終是相通的。如果國內企業從開發初期就按照國際標準累積驗證資料，以後同時向多個國家提交申請時，就能大幅減少重複製作相同資料的麻煩。

國際醫藥法規協和會 (ICH) 於 2026年 1月 29日 最終採納了探討基於模型的新藥開發一般原則的新指南 M15。這項工作創造了一種共通語言，讓各國監管機構在包含人工智慧在內的計算模型用於臨床試驗設計和劑量決定時可以參考。雖然目前還沒有單獨探討人工智慧的獨立國際醫藥法規協和會指南，但如果與 2025年 7月 23日 生效的臨床試驗設計原則 ICH E6(R3) 放在一起看，就可以知道各項指南正朝著同一個方向相互接軌。

美國的現代化法與可靠性評估體系、歐洲的人工智能法與反思文件、國際機構的優良機器學習實踐與上市後監測原則，以及韓國食品藥品安全處的法律與人力培養計劃，儘管各自名稱不同，但所要求的核心是統一的。這就是：人工智能給出的答案是否正確已不再是重點，重要的是人類必須能夠驗證並對達到該答案的過程負責。從法律人的觀點看，這並非陌生的要求。法庭長期以來一直要求檢驗證據的可信性，並將判斷依據記錄在案，如今這套做法正在轉移到實驗室、工廠和醫院的數據流程之中。

但是，法庭的做法與此有所不同。法庭是就已經發生的事件事後進行判決，而新藥監管屬於預防領域，必須在事故發生前建立嚴密的驗證程序。人工智能給出的結果在多大程度上能被人類理解和承擔責任，這個問題看起來將在新藥開發的每個階段被重複提出。

責任歸屬的標準至今尚無，為了填補這一空白，歐洲率先出現了相關動作。歐盟在2024年11月修訂並公佈了《產品責任指令》，規定軟體和人工智能系統應與有形商品相同視為製造品，並承擔嚴格責任。成員國應在2026年12月9日前將該指令轉化為國內法，受害患者不再需要單獨證明開發商的過失即可請求損害賠償。但是，該時期技術水準無法發現缺陷的開發風險抗辯也同樣適用於軟體，因此人工智能開發商也獲得了免除責任的新途徑。

韓國的《產品責任法》至今尚未明確將軟體納入製造品範圍，因此即使由人工智能設計的新藥發生事故，針對軟體本身的責任追究在法庭上仍有很大爭議空間。如果國內立法跟不上歐洲的步伐，同樣遭遇事故的韓國患者將面臨更重的舉證責任。

有關監管審查官是否具備驗證人工智能能力的問題，人事統計給出了更為冷酷的答案。美國衛生與公眾服務部在2025年4月1日一次性裁員食品藥物管理局3,500名職員，隨後有報導稱留下的審查官不得不承擔起同事原來的工作。這發生在該部門發佈基於風險的可靠性評估體系還不到三個月的時候。食品藥物管理局似乎是為了彌補這個缺口，在2025年12月1日部署了全員可用的代理式人工智能，該工具可以分擔上市前審查、審查結果驗證以及上市後監測的工作。

以人工智能補足審查人力不足的方式，似乎與「人工智能的判斷必須由人驗證」的原則相悖。韓國食品藥品安全處的處境也不寬裕。截至2025年11月，食品藥品安全處醫療產品審查人員為369人，相比美國食品藥物管理局的9,000人、歐洲藥品管理局的5,500人、日本醫藥品醫療器械綜合機構的1,300人，人員數量相差甚遠。食品藥品安全處正與行政安全部協商追加聘用295名審查官的方案，但其招聘信息網站自2021年起即處於停滯狀態，準備工作進展緩慢。

即便增加人力培養預算，如果坐在審查席上的人數本身就這樣稀少，各國詳細審查每一個人工智能模型的能力就會有很大差異，而且看起來會出現這樣的情況：有些公司會採取先向監管把關較鬆的國家提交申請的策略。