直接回答
健康类 AI 功能需要分别审查两件事：敏感信息怎样处理，以及用户会如何理解生成结果。本地模型不能单独证明数据只留在应用存储、备份已排除，或建议经过临床验证。`PRIVACY-01` 定义了本地推理的边界；`COVE-STATUS-03` 记录项目健康模块在检查时仍有真机护栏验证待完成。项目规格还要求免责声明、医生边界和紧急升级。应把这些事实分开并保持更新，不得把源码准备状态写成临床验证或监管批准。 先映射输入和输出：症状、严重程度选项、自由文本、图片、健康历史、生成解释、分诊类别、紧急建议、日志、分析、备份、导出与客服路径。每个字段要说明用途、用户能否跳过、保存位置、读取组件和是否离开设备。本地推理只覆盖推理阶段；权限、崩溃报告、购买验证、模型下载和可选服务都要另找证据。Android 隐私指南将数据访问、存储和用户控制视为应用责任，因此“本地 AI”徽标不能替代数据流图。 对用户的功能范围应克制。区分一般健康信息、症状整理和面向临床人员的决策支持，不要把它们当成同一种功能。没有合格专家审查预期用途和证据时，避免使用诊断、治疗指示，或“紧急程度分类已经医学验证”等表达。保留不确定性，说明生成建议可能有误，并提供寻求专业医疗帮助的路径。紧急提示要使用产品审核过的联系当地急救服务等确定性文案，不能让模型判断现实中的紧急情况是否值得求助。 安全失败路径也要提前定义。权限缺失、信息不完整、模型不可用、输出格式错误和网络中断都不能被转写成让人安心的结论。明确展示评估未完成，仅保留用户允许的数据，并给出清晰下一步。任何云端回退都不得静默发生：先说明路由和发送内容，让用户决定；没有可用路径时就说明功能不可用，不要编造答案。默认不要把健康文本写入日志、截图、通知内容或分析事件。 用合成或已获批准的去标识样例测试，不要直接拿未经审核的患者内容做固定样本。覆盖护栏边界、互相矛盾症状、缺失信息、紧急措辞、不支持请求、提示注入、重启、取消和任务中途撤销权限。既要断言界面文案，也要验证危险生成指令被拦截或附带要求的边界。项目规格要求保留免责声明，需检查每条结果路径实际展示的文本；提示或模型变更后重测。临床质量评估需要独立方案、有代表性的案例、合格审查和原始证据，单元测试或离线运行不能替代该验证。 最后根据实现和服务配置撰写隐私说明。分别描述输入、可选性、本地存储、备份、导出、删除、诊断以及任何远端路由，不能混为一谈。FTC 健康应用开发指南强调数据最小化与限制访问；Android 数据使用指导要求开发者了解应用和其依赖库访问的数据。两者都不能直接判定某款应用的法律身份。法律义务受功能和司法辖区影响，因此本文是产品工程核对清单，不是法律意见。记录待确认问题；在健康特定事实、来源和审核要求通过站点门禁前，页面继续 noindex。
症状助手收到不完整信息
用户选择症状和严重程度，但未填写持续时间。本地模型生成了很肯定的解释；应用还有一条可能把信息发到远端的可选帮助路径。
决策
把持续时间保持为缺失，不把生成解释写成诊断，保留紧急提示；任何远端路径都要单独取得明确同意。
预期结果
用户能看到信息限制和后续操作，应用不会暗示临床验证，也不会静默发送健康数据。
需要收集的证据
只有将以下证据与同一模型文件和测试运行关联起来，结论才可复核：
- PRIVACY-01：本地推理不证明没有其他请求
- COVE-STATUS-03：项目健康模块状态与真机护栏验证记录
- ANDROID-PRIVACY-01：Android 应用负责数据访问和用户控制
任务质量需要有版本记录的语料和验收规则；流畅的单条样例不等于准确度结果。
实施流程
- 盘点敏感输入和派生数据. 将用户选项、自由文本、媒体、生成结果、分诊状态、日志、分析、备份和导出映射到所有者和存储位置。注明可选字段及任何远端发送字段。
- 写清预期用途边界. 说明功能是整理信息、提供一般健康教育还是支持临床流程。删除未经证实的诊断或治疗文案；紧急提示应走经审核的确定性产品文案。
- 定义不完整与不安全输出. 规定缺项、矛盾信息、格式错误生成、模型不可用和紧急措辞时的处理。不要把不确定或失败转成安慰性结论。
- 控制每种路由和数据动作. 分别测试本地处理、可选云端、导出、诊断和删除。发送前说明数据与接收方并允许拒绝；不要让模型决定同意。
- 运行安全与隐私样例. 用经过批准的合成样例测试紧急、模糊、对抗和信息缺失请求；核实每种结果都显示免责声明与升级提示，且日志不含正文。
让每个阶段的状态都可观察。失败信息应指出阶段、模型、运行时和恢复动作，同时避免记录用户私密内容。
验收标准
- 数据流图覆盖敏感输入、生成输出、派生项、存储、备份、导出、诊断和每条网络路由。
- 缺失、紧急、矛盾、不支持或格式错误案例都保留已审核安全文案，不生成无依据诊断或安慰结论。
- 隐私披露符合实现；可选远端传输需用户明确选择，健康专项审核状态如实记录。
决策对照表
| 维度 | 选择或证据 | 解读方式 |
|---|---|---|
| 信息整理 | 概括用户提供的症状 | 有助于组织对话，但不证明诊断或临床准确性。 |
| 生成健康建议 | 模型生成解释或下一步 | 需要展示不确定性和审核边界；没有证据不能暗示专家验证。 |
| 临床决策支持 | 意图影响医疗照护决定的功能 | 需按预期用途和司法辖区接受专家/监管审查；通用隐私清单无法分类。 |
需要避免的失败模式
- 把本地运行说成自动合规
- 把模型解释写成诊断或疗效
- 让模型决定紧急情况或传输同意
还要避免静默回退、版本未固定、缺少取消处理，以及把不同配置的结果混在一起下结论。失败运行也应与成功记录一并保存。
最小复现记录
| 层级 | 记录内容 |
|---|---|
| 设备 | 厂商、型号、芯片、内存档位、操作系统版本 |
| 软件 | 应用版本和 Git 提交号 |
| 模型 | 系列、变体、版本、格式、文件长度、摘要、量化方式 |
| 运行时 | 名称、版本、请求后端及实际后端证据 |
| 工作负载 | 样例版本、输入摘要、提示词摘要、输出策略 |
| 结果 | 完成、失败、取消、回退及保护隐私的诊断信息 |
发布检查表
- ☐ 主要搜索问题已回答，且没有未经支持的数字。
- ☐ 所有模型文件和运行时版本均已固定。
- ☐ 代表性任务和失败处理策略均有说明。
- ☐ 生命周期、取消、清理和回退均已测试。
- ☐ 用户内容与网络边界均有说明。
- ☐ 结论只适用于被记录的配置。
- ☐ 新增测试结果时链接到原始方法或证据。
来源与相关证据
中文部署与排错专题见。奇连 AI 端侧专题。
常见问题
健康模型本地运行就表示符合 HIPAA 吗？
不是。推理位置不能确定法律身份或合规性。产品用途、相关主体、数据流、合同、安全措施和司法辖区都需要合格审查。
免责声明能让生成医疗建议变安全吗？
不能单靠免责声明。还要审查预期用途、失败状态、紧急升级、输出边界，并由合格专家复核；紧急护理提示应保留。
本地失败后应用可以把症状发到云端吗？
不能静默发送。远端路径需要准确的传输前告知、数据最小化和用户选择；否则应安全停止并说明功能暂不可用。