在何处运行临床 AI 通常被当作一个基础设施问题——是管理服务器的人需要操心的事，在所有临床决策 都已敲定之后很久才被处理。我们认为这把顺序弄反了。决定在患者所在之处、而非在某个遥远的地方 运行推理，首先是一项关于安全、隐私与信任的决定。技术安排是由它衍生出来的，而非它存在的理由。

临床 AI 应当在患者所在之处运行。当分析在本地进行时，敏感数据留在它应当所在之处，临床医生也得以 保有对一件他们能够审计的工具的掌控。仅这一句话便承载了大部分论点，但仍值得将各部分拆解开来， 因为其中每一项——安全、隐私、掌控——本身都是一个理由，而合在一起，它们都坚定地指向边缘与 pod。

边缘与 pod：让 AI 身处诊疗发生之地

我们的平台经过组织安排，使 AI 驻留于诊疗节点。边缘工具——EndoEdge、PathoEdge 与 TomoEdge ——置于临床工作开展之处，即内镜室、病理实验室、放射阅片室。各个 pod——EndoPod、PathoPod 与 TomoPod——在其背后提供信息系统与归档。两层皆可在本地或以混合方式部署，整套系统可从一家小诊所 一路扩展到一家大型医院。

这并非软件恰好被如此封装的偶然结果，而是认真对待”本地”所必然导出的形态。EndoPod 在内镜信息 系统之外提供实时内镜辅助，而这唯有当辅助就在操作过程中、就在那里，而非等待来自远端的响应时， 才说得通。PathoPod 将来自切片扫描仪的全切片图像，与面向解剖病理实验室的实验室信息系统结合在 一起，并附带一个用于教学与肿瘤专家委员会的网页查看器。TomoPod 是一套以 AI 为本的 RIS+PACS， 生成半自动报告，由放射科医生担任核实者与批准者。在每一种情形下，分析都发生在图像被生成与被 判读的地方，因为那正是它有用、且能被信任的地方。

安全是先于隐私的一个理由

人们很容易以为支持本地化 AI 的理由主要关乎隐私。隐私确实重要，我们稍后会谈到它，但在诊所里， 第一个理由是安全。

一个依赖远程连接的工作流，是一个把单点故障置于诊所掌控之外的工作流。连接会断开，服务会变慢， 远端系统会发生中断——而这些都不应能够打断诊疗。在本地运行推理使工作流保持韧性：工具在工作所在 之处完成它的工作，因此与外部世界之间链路上一时的问题，不会演变成一个临床问题。诊疗不依赖于远程 连接，这意味着当那条连接中断时，诊疗不会随之崩溃。

边缘与任何中心组件之间的交换，在设计上是异步的。信息按其自身的节奏在边缘与更广阔的系统之间流动， 而不是作为一项必须在临床医生能够继续之前得到满足的实时依赖。正是这一点，使韧性成为现实而非空想： 临床的当下永远无需等待一次往返。同步发生在工作的周围，而非工作的当中。

隐私作为场所的一种属性

本地化既是一项关乎安全的决定，也同样是一项关乎隐私的决定——但隐私方面的论点是有力的，而它之所以 最为有力，恰恰因为它是结构性的。当推理在本地进行时，医学中最敏感的数据——影像、报告、乃至病历 本身——都留在它应当所在之处，留在对其负有责任的机构内部。

这把隐私从一项政策，转变为系统运行所在场所的一种属性。不存在为了取得结果而把患者数据隐性地发往 某个遥远服务的情况，因为结果是在本地计算出来的。医学的其余部分早已依赖的那些标准——DICOM 与 HL7，以及符合 HIPAA 的处理方式——描述了数据如何流动、如何受到保护，而把计算保留在本地，意味着 由机构来决定那些数据驻留于何处，而不是在事后才发现它原来驻留在别的地方。数据驻留地成为客户的 选择：本地部署，或在边界划定于机构自身治理规定之处的混合方式。

临床医生保有掌控——并能审计工具

第三个理由是掌控，也正是它把平台的架构与其临床理念联系在一起。本地化 AI 把对一项决定负有问责 之责的人牢牢留在决策环路之中，因为工具是在他们的环境之内、按他们的条件、在他们能够看见并审计其 所作所为的地方运行的。

这种掌控在辅助被提供的方式中体现得最为明显。报告是 AI 辅助生成的，但人始终留在环路之中：TomoPod 的半自动报告让放射科医生担任核实者与批准者，而在内镜、病理与放射各领域，临床医生都会对系统所呈现 的内容加以确认、编辑，或予以推翻。唯有当 AI 确实处于临床医生的掌控之下时，这一切才是自洽的，而把 它放在本地运行，正是使之成立的一部分。一件你能够审计的工具，处在一个你所掌控的环境之中，便是一件 你能够负责任地依其建议而行事的工具。

基于网页的查看器在不损害这一原则的前提下扩展了这种掌控。临床医生可以通过浏览器审阅全切片图像或 检查——在肿瘤专家委员会上、出于教学目的，或仅仅是在远离扫描仪的地方——而底层的数据与计算始终 锚定在本地。访问视图与导出数据并不相同，将这两者分开正是本地化 AI 在越来越多的人需要查看这些工作 之时，仍然能够保持本地化的方式之一。

先有一项决定，然后才有一套架构

把这三个理由合在一起，本地化 AI 便不再像是一种部署偏好，而开始像是一种承诺。它使诊疗保持韧性， 因为工作流不取决于一条远程链路。它把数据留在它应当所在之处，因为隐私是由工作运行的场所所衍生的。 它也让临床医生保有对一件他们能够审计的工具的掌控，因为 AI 是在他们的环境之内运行，而非藏在别人的 API 之后。

这就是我们所构建的一切背后的原则：本地优先、辅助性、可审计。临床医生决断，工具予以支撑。我们把 AI 置于边缘与 pod 之中，可在本地或以混合方式部署，并非因为那是最易于运行它的地方，而是因为对于 那些其判断与问责正是整套系统赖以存在以为之服务的人们而言，那是正确的地方。