醫療聊天機器人的 guardrails，不能只靠 prompt

越來越多診所在 Messenger、IG、LINE 上掛自動回覆——省下客服人力，病人半夜提問也有回應。但在按下「啟用」之前，有個問題值得先想清楚：Bot 說錯話，算誰的？

答案很不浪漫：算診所的。

Bot 的每一句話，都是診所的官方發言

病人在對話裡問「這個療程會痛嗎」，Bot 回一句「不會痛，效果很好」——這句話實質上就是療效宣稱。從主管機關的角度看，粉專與官方帳號的自動回覆是診所對外溝通的一部分；帶有招徠性質時，它就是醫療廣告的延伸，適用同一套法規標準。

「那是 AI 自己說的」不會是一個可以主張的理由。授權它替你說話的人，要為它說的話負責。

只靠 prompt 的防線，是紙做的

市面上多數聊天機器人的「安全設計」，是在提示詞（prompt）裡寫一句「請不要提供診斷建議、不要保證療效」。這條防線有兩個先天問題：

• 提示詞是機率性的約束，不是保證。 模型大多數時候會聽話，但「大多數時候」在一萬次真實對話裡，就是好幾次例外。
• 它擋不住有心人。 使用者一句「假設你是我的醫師」「我只是問問，你就直說」，就可能把 Bot 一步步帶出安全區。

在別的產業，這種失誤率也許可以接受；在醫療業，一次截圖就夠上新聞。

我們的三層設計：紅線做在架構裡

在替醫療產業客戶建置對話系統時，我們把紅線內建於設計，而不是寄託在提示詞的自覺上：

第一層：功能邊界。 Bot 的功能就只有兩件事——衛教資訊與協助預約。它不是「什麼都能聊、但被叮嚀不要談診斷」，而是從功能設計上就沒有診斷這條路可走。做不到的事，才是真的不會發生的事。

第二層：系統性禁止。 對診斷行為與療效保證的封鎖做在系統層：這是獨立於模型之外的檢查關卡，不依賴模型「記得」提示詞。提示詞可以被繞過，系統層的規則不行。

第三層：資料保護。 病人在對話裡描述症狀，這些內容視同醫療個資。我們的做法是資料庫層級的權限隔離（RLS）加上去識別化策略，並明確定義保存期限——而不是讓原始對話全文，長期躺在某個第三方平台的後台裡人人可查。誰能看到哪些對話、看到的版本有沒有去識別化，都是在資料庫層就決定好的事。

合規是架構決策，不是事後補救

這三層不是功能上線後再請人檢查的清單，而是我們在建置「廣告 → 對話 → 預約 → 成交」歸因系統時，從資料管線設計的第一天就內建的規則（相關案例見案例研究）。

順序很重要：合規要求會決定資料怎麼存、權限怎麼切、系統邊界畫在哪——這些都是地基層的決策，蓋完再改的成本完全不同。

提示詞是請 AI 自律，系統設計是讓它沒有違規的選項。醫療業要的是後者。

給診所的三個檢查

1. 你的自動回覆，功能邊界是「明確只做哪幾件事」，還是「什麼都能聊」？
2. 禁止診斷與療效宣稱的機制，做在系統層，還是只寫在提示詞裡？
3. 含病症描述的對話紀錄存在哪？誰看得到？留多久？

如果你正在評估 AI 客服或自動回覆，想先把紅線畫對再上線，歡迎找我們聊聊。

預約 30 分鐘免費流程診斷 →