一句話說明

AI 治理是一套讓組織能負責任地開發、部署和監控 AI 系統的政策、流程和控制機制。

什麼是 AI 治理？

你的公司開始用 AI 了。行銷部門用 ChatGPT 寫文案，客服團隊上了 AI 聊天機器人，IT 部門開始測試 RAG 知識庫，老闆想用 AI 做營收預測。

問題來了：誰負責確保這些 AI 不會做出歧視性的決策？出了錯是誰的責任？AI 用了什麼資料？員工私下用了哪些 AI 工具公司知道嗎？

AI 治理（AI Governance）就是要回答這些問題的框架。它包含一套政策（什麼可以做、什麼不行）、流程（怎麼評估風險、怎麼上線）和控制機制（怎麼監控、怎麼稽核），確保組織在使用 AI 的同時管理好風險。

跟傳統 IT 治理不同的是，AI 系統的行為有不確定性。傳統軟體是寫什麼就做什麼，AI 的輸出有隨機性，可能產生 幻覺、偏見或不當內容。這意味著治理框架不能只管技術面，還要管 AI 的行為面。

為什麼需要 AI 治理？

幾個驅動 AI 治理的因素：

風險管理：AI 系統可能產生錯誤的決策、洩漏敏感資料、表現出偏見。沒有治理框架，這些風險是分散的、無人負責的。

法規合規：歐盟的 AI Act 已經在 2025 年開始分階段實施。台灣的「人工智慧基本法」已於 2026 年 1 月公布施行，由國科會擔任中央主管機關。不合規的企業可能面臨罰款。

商業信任：客戶和合作夥伴會問你的 AI 是怎麼管理的。特別是在金融、醫療、保險等受監管的產業，展示有治理框架是取得信任的前提。

Shadow AI 問題：員工自行使用未經批准的 AI 工具，可能把公司機密資料輸入外部服務。治理框架提供明確的使用規範和替代方案。

責任歸屬：當 AI 做出錯誤決策時，需要有明確的責任鏈。沒有治理框架，事情出了問題就變成互推責任。

AI 治理框架的組成

一個完整的 AI 治理框架通常包含以下幾個面向：

政策層

AI 使用政策：定義組織內什麼 AI 工具可以使用、什麼場景禁止使用 AI、什麼資料不能輸入 AI 系統。

AI 倫理原則：組織對 AI 使用的核心價值觀。例如：公平性、透明性、隱私保護、人類監督。

資料治理政策：哪些資料可以用來訓練或餵給 AI、資料分類標準、資料保留和刪除規則。

流程層

風險評估流程：每個 AI 項目上線前，需要做風險評估。常見的評估面向包括：安全風險、隱私風險、偏見風險、準確性風險、營運風險。

上線審批流程：AI 系統從開發到上線需要經過的關卡。越高風險的應用，審批層級越高。

事件回應流程：AI 出了問題（做出錯誤決策、洩漏資料、產生不當內容）時的處理 SOP。

變更管理：模型更新、prompt 修改、資料來源變更都需要有變更管理流程，確保不會引入新的風險。

組織層

AI 治理委員會：跨部門的委員會，負責制定 AI 政策和審核高風險 AI 項目。成員通常包括技術主管、法務、資安、業務代表。

AI 風險負責人：每個 AI 項目需要有明確的風險負責人。這個人負責確保風險評估完成、合規要求滿足、監控機制到位。

資料保護官（DPO）：如果 AI 系統處理個資，DPO 需要參與評估，確保符合個資法的要求。

CISO 角色：資安長需要確保 AI 系統的安全防護到位，包括 Prompt Injection 防禦、AI Guardrails 部署、AI Gateway 設定。

技術控制層

AI 系統登錄：組織內所有 AI 系統的清單，包括：系統名稱、用途、使用的模型、資料來源、風險等級、負責人。這是治理的基礎——你不知道有什麼 AI 在跑，就不可能管理它。

監控和日誌：記錄 AI 系統的輸入輸出、使用者、執行時間。用於稽核和事件調查。

模型效能追蹤：定期檢查 AI 的準確性、偏見指標，確保效能沒有隨時間退化。

紅隊測試：定期測試 AI 系統的安全性和穩健性。

國際法規趨勢

歐盟 AI Act

歐盟的 AI Act 是全球第一部全面的 AI 監管法規，根據風險等級對 AI 系統做分類管理：

不可接受風險：禁止使用。例如社會評分系統、利用人類脆弱性的 AI。

高風險：需要嚴格的合規要求。包括教育、就業、信用評分、執法等領域的 AI 系統。要求做風險評估、資料治理、人類監督、技術文件。

有限風險：需要透明度義務。例如聊天機器人要告知使用者他們在跟 AI 對話。

最低風險：不需要特別的法規要求。大多數的 AI 應用落在這個等級。

AI Act 在 2025 年 2 月起開始禁止不可接受風險的 AI，2025 年 8 月起通用型 AI（GPAI）模型需要遵守透明度義務，高風險 AI 系統的合規要求在 2026 年 8 月起生效。

美國

美國沒有統一的聯邦 AI 法規。2023 年的行政命令（EO 14110）曾對安全 AI 開發提供指引，但已於 2025 年 1 月被撤銷。各州開始自行立法，例如科羅拉多州的 AI 消費者保護法。NIST 的 AI 風險管理框架（AI RMF）仍是企業最常參考的自願性標準。

台灣

台灣的「人工智慧基本法」已於 2025 年 12 月 23 日經立法院三讀通過，2026 年 1 月 14 日公布施行。該法確立了七大基本原則（永續發展、人類自主、隱私保護、資安安全、透明可解釋、公平不歧視、問責），並指定國科會為中央主管機關。數位發展部已於 2026 年 7 月公布 AI 風險分類框架。企業除了遵循 AI 基本法，也需要參考既有的個資法、金管會 AI 指引及國際標準。

台灣使用情境

台灣企業導入 AI 治理時，有幾個特別的考量：

金融業的監管要求：金管會要求金融機構建立 AI 模型風險管理機制，包括模型驗證、監控、審計。銀行和保險公司如果用 AI 做信用評分或核保，需要有完整的模型治理流程，包括模型的可解釋性。

中小企業的務實做法：台灣的企業以中小企業為主。完整的 AI 治理框架對資源有限的中小企業來說太重了。務實的做法是從最基本的三件事開始：（1）制定 AI 使用政策、（2）列出在用的 AI 工具清單、（3）做基本的資料分類。

人才挑戰：同時懂 AI 技術、資安和法規的人才在台灣非常稀缺。很多企業的 AI 治理工作落在 IT 或法務身上，但這兩個角色各自只涵蓋一部分。建議組成跨部門的小組來處理。

國際客戶的要求：如果你的客戶在歐盟，你的 AI 系統可能需要符合 AI Act 的要求。如果客戶在美國，可能會問你有沒有參考 NIST AI RMF。即使台灣沒有強制法規，國際業務的需求可能驅動你做 AI 治理。

安全考量與限制

AI 治理本身也有一些需要注意的地方：

治理過重會拖慢創新：如果每個 AI 項目都要經過冗長的審批流程，企業的 AI 導入速度會大幅下降。治理的嚴格程度應該和風險等級成正比——低風險的 AI 應用不需要和高風險的走同樣的流程。

治理框架需要持續演進：AI 技術發展太快，去年的治理框架今年可能就不適用了。例如 AI Agent 和 Multi-Agent 系統帶來了新的風險類型，治理框架需要跟著更新。

文件化不等於落實：很多企業有漂亮的 AI 政策文件，但實際執行面落差很大。治理框架必須搭配實際的技術控制（例如 AI Gateway 紀錄每一次 API 呼叫），光靠政策文件沒有用。

Shadow AI 的治理挑戰：員工用自己的帳號使用 ChatGPT 來處理工作，這個行為在技術上很難完全阻止。治理的重點應該是提供好用的企業級替代方案，而不是單純禁止。

跨境資料的複雜性：AI 供應商的伺服器通常在境外。使用這些服務是否構成個資的國際傳輸？需要跟法務確認，特別是處理敏感個資的場景。

怎麼開始？

如果你的企業還沒有 AI 治理框架，以下是建議的啟動步驟：

  1. 盤點現況：列出組織內目前在用的所有 AI 工具和系統（包括員工自行使用的）。這是第一步，也是最重要的一步。

  2. 制定 AI 使用政策：至少要涵蓋：哪些 AI 工具可以使用、什麼資料不能輸入 AI、違規的後果。政策不需要很長，一到兩頁就好，重點是讓所有員工都看過。

  3. 做基本的風險分類：把 AI 應用按照風險等級分類。客戶面的 AI（聊天機器人、自動回覆）風險高；內部的輔助工具（翻譯、摘要）風險低。高風險的先做詳細評估。

  4. 指定負責人：每個 AI 項目至少要有一個負責人，知道系統在做什麼、用了什麼資料、出問題找誰。

  5. 建立最小的審批流程：高風險的 AI 項目在上線前至少要通過資安和法務的審查。低風險的可以先上線後備查。

  6. 開始監控和記錄：至少記錄 AI 系統的使用頻率、錯誤率、使用者回報的問題。不需要一開始就做到完整的 AI observability，但基本的使用數據要有。

  7. 定期回顧：每季回顧一次 AI 治理的狀況。有沒有新的 AI 工具上線？有沒有新的風險？政策需不需要更新？

知識檢測

讀完文章後，測試一下你對這個主題的理解。

常見問題

小公司也需要 AI 治理嗎？

需要，但規模可以很輕量。小公司不需要成立 AI 治理委員會，但至少需要：一份 AI 使用政策（告訴員工什麼資料不能丟進 ChatGPT）、一份在用的 AI 工具清單、一個負責人知道公司的 AI 使用狀況。這三件事加起來可能只需要花一個下午來整理。

AI 治理和資料治理有什麼關係？

資料治理是 AI 治理的基礎。AI 系統的品質取決於資料的品質——如果你不知道你有什麼資料、資料分類是什麼、誰有權限存取，你就沒辦法管理 AI 的資料使用。很多 AI 治理的問題其實是資料治理沒做好。

哪些國際標準可以參考？

常用的參考標準包括：ISO/IEC 42001（AI 管理系統標準）、NIST AI Risk Management Framework（AI 風險管理框架）、新加坡的 AI Verify 框架。其中 ISO/IEC 42001 是可認證的標準，如果你需要對外展示 AI 治理的成熟度，可以考慮取得認證。

AI Act 會影響台灣企業嗎？

如果你的 AI 系統服務歐盟的使用者，或者你的客戶是歐盟企業，答案是會。AI Act 的管轄範圍包括在歐盟市場提供 AI 系統的企業，不限於在歐盟設立的公司。即使沒有直接受管轄，參考 AI Act 的風險分類方法來建立自己的治理框架也是好的做法。

參考資料