心理咨询记录里写着来访者的心理健康状况、家庭关系和风险线索，比一般的客户资料敏感得多。把这些记录从纸本、文档搬进软件之前，咨询师需要先问清楚四件事：记录存在哪里，一次咨询的材料是否归在同一份档案里，调用 AI 时送出了什么，哪些决定留在咨询师手里。

英国 NHS 的数字健康技术评估框架 DTAC（Digital Technology Assessment Criteria）也从这些问题入手：它先要求供应商说明产品的用途、使用者和数据流向，再从临床安全、数据保护、技术安全、互操作和可用性几个方面提供证据。美国心理学会（APA）2024 年发布的 AI 工具评估清单，也逐项询问数据存在哪里、是否加密、是否用于训练模型、是否提供知情同意指引。下面逐项说明，并对照海外常用的 SimplePractice、Jane 和中国的咨记，各产品的做法均摘自其公开文档。

01 记录存在哪里

存放地点决定了来访者记录受哪里的法律约束。按《个人信息保护法》，向境外提供个人信息需要告知来访者并取得单独同意，并视情况订立标准合同、通过认证或申报安全评估。对中国咨询师来说，这一条往往直接决定一个系统能不能用。

三家的数据存放地分别是：

• SimplePractice（美国）：按 HIPAA（美国健康保险流通与责任法案）要求设计，服务器和备份都在美国。对中国咨询师来说，来访者记录存到了境外。

• Jane（加拿大）：按开户地区存放，加拿大、美国、澳大利亚、英国各有数据中心，其他地区的账号默认存放在加拿大。对中国咨询师来说，来访者记录同样存到了境外。

• 咨记（中国）：应用服务器、主数据库和会谈录音位于阿里云北京地域，记录留在境内。

海外系统并不回避这一点。SimplePractice 的帮助中心建议美国以外的执业者核对当地法规，并在知情同意书里告知来访者数据存放在美国。

存放地只是第一步。不管数据放在哪里，都还要问清传输和存储是否加密、账号怎样防盗用、谁能看到哪些记录、敏感操作有没有留痕。以咨记公开的说明为例：传输采用 TLS 1.2 及以上协议加密，数据库与录音以 AES-256 加密存储，数据库每日备份；密码以 Argon2id 等算法加盐哈希保存，登录限制尝试频率；访问按角色授权，导出、删除等敏感操作留存审计记录。底层的阿里云基础设施与通义千问企业级模型服务具备等保 2.0 三级、SOC 2、ISO 27001 和 ISO 42001 人工智能管理体系等认证。

02 一次咨询的材料是否归在同一份档案里

预约、初访资料、量表、知情同意、会谈记录和录音转写，如果散在表格、聊天记录和网盘里，咨询师会谈前要翻好几处，来访者要求导出或删除时也很难确认是否齐全。

这一项上三家的思路基本一致，都把材料收进同一份来访者档案，区别主要在来访者怎样提交材料。SimplePractice 通过客户门户发送初访问卷和知情同意书，来访者在线填写、电子签名；Jane 在来访者预约时自动发送初访表和同意书，签好的同意书带着时间戳进入档案；咨记由咨询师分享链接，来访者预约、填写初访资料和量表，知情同意书在线手写签名后归入档案，会谈记录和录音转写也归在同一处，可以沿时间轴回顾。

图 1 同一位来访者的预约、初访资料、量表、知情同意和会谈记录按时间排在一份档案里（示意图，来访者为演示数据）。

这一项最直接的核对方法是试用：挑一位演示来访者，走一遍从预约到会谈记录的流程，再做一次完整导出，看材料是否都在导出文件里。

03 调用 AI 时送出了什么

APA 的评估清单把「用户数据是否被用来训练底层 AI 模型」单列为一问。围绕 AI 功能，至少有三件事要问清。

谁调用，用哪家的模型，送出了哪些信息。 咨记的 AI 功能由服务端统一调用，不使用境外 AI 服务：个案洞察和智能摘要经阿里云企业 API 调用通义千问，录音转写使用阿里云语音识别。发送前，系统会对来访者的身份信息做去标识处理，例如以化名代替姓名、不发送联系方式等。

数据会不会用于训练。 Jane 在 AI助手 AI Scribe 的帮助文档中写明，不使用用户数据训练 AI。咨记所用的阿里云百炼在帮助文档中写明，使用按量付费 API 时不会将客户数据用于模型训练。这类承诺往往来自模型服务商的条款，选用时可以一并查看服务商原文。

录音留多久。 三家都把会谈录音当作临时材料。Jane 的录音默认在病历草稿生成后立即删除，备份中的副本一周后永久删除；SimplePractice 的 AI 记录工具 Note Taker 在生成转写后即删除会谈音频，这一点写进了它的默认知情同意书模板；咨记的录音只用于生成逐字稿，转写完成后会被删除，转写未成功时原始录音临时保留 3 天，便于重试。

图 2 咨询师发起 AI 功能，咨记服务端先做去标识，再调用阿里云上的通义千问或语音识别；结果返回到来访者档案，由咨询师核对后使用（示意图）。

04 哪些决定留在咨询师手里

这一项看三个环节。

AI 结果由谁定。 Jane 写明 AI Scribe 生成的是草稿，执业者要审阅、修改并签字确认；SimplePractice 在给心理咨询师的 AI 指南中强调，所有 AI 生成的笔记都要经咨询师审阅、修改和批准。咨记的个案洞察和智能摘要只供参考，由咨询师核对后使用；涉及风险的提示只作提醒，须由咨询师本人确认，系统不会自动对外发送任何信息。

来访者是否知情。 Jane 提示执业者在使用 AI Scribe 前征得来访者同意，来访者可以随时撤回；APA 的清单也会询问工具是否提供知情同意指引或同意书模板。咨记内置知情同意书和录音同意书，咨询师可以修改后发给来访者签署。模板只是起点，同意书怎么写、怎样向来访者说明 AI 的参与，仍由咨询师决定。

无法撤回的操作有没有把关。 导出完整数据、删除数据和注销账号都无法撤回，系统至少应当在操作前再确认一次身份。咨记在这些操作前要求输入密码或验证码。

图 3 导出完整数据前，需要输入密码或验证码（示意图）。

签约前可以问供应商的问题

1. 服务器和备份在哪个地域？如果在境外，出境需要的告知、同意和手续怎样完成？

2. 传输和存储是否加密？谁能看到哪些记录，敏感操作是否留痕？

3. 预约、初访资料、量表、同意书和会谈记录能否归在同一份档案，并完整导出？

4. AI 请求经过哪些服务商？发送前去掉了哪些身份信息？数据是否用于训练？

5. 录音和 AI 生成的内容保留多久，能否由咨询师自行删除？

6. AI 结果是否必须由咨询师确认？有没有可用的知情同意模板？

这些问题同样适用于评估文中提到的系统。无论最终选哪家系统，都值得在签约前逐条问清楚，并请供应商给出书面说明。

关于文中提到的系统

• SimplePractice：美国的执业管理软件，面向心理咨询师等健康与保健从业者，涵盖预约、记录、账单和客户门户，开发公司总部位于美国加利福尼亚州圣莫尼卡。

• Jane：加拿大的诊所管理软件，面向健康与保健从业者，涵盖预约、咨询档案、同意书和 AI 助手，开发公司总部位于加拿大不列颠哥伦比亚省北温哥华。

• 咨记：中国的心理咨询个案管理软件，面向心理咨询师和咨询机构，也提供面向咨询工作室、咨询中心的团队版。咨记由泊夜科技（上海）有限责任公司开发。

参考资料

1. NHS England：Digital Technology Assessment Criteria (DTAC)

2. 美国心理学会（APA）：Companion Checklist: Evaluation of an AI-Enabled Clinical or Administrative Tool，2024 年 10 月

3. 《中华人民共和国个人信息保护法》

4. SimplePractice 帮助中心与官网：Using SimplePractice from Canada；Default consent form templates；AI for therapists

5. Jane 帮助文档：Security FAQ；Consent Forms；AI Scribe: FAQ for Patients and Clients；AI Scribe: Setting a Recording Deletion Policy

6. 阿里云帮助中心：《什么是阿里云百炼》常见问题「阿里云百炼会用我的数据进行训练吗」