當 ChatGPT、Gemini、Claude 等生成式人工智慧（AI）逐漸成為企業日常營運的核心工具，AI 已不再僅是提升效率的技術手段，更深遠地影響了行銷、授信、投資、客服乃至於經營決策。這使得 AI 治理議題顯得迫在眉睫。然而，儘管多數企業積極投入導入 AI，真正建立AI治理制度並落實執行的企業仍屬少數。
企業真正的風險不在「沒有 AI」，而在「有 AI 卻沒有治理」。目前不少企業 AI 使用情境已經觸及客戶權益、個資保護、授信決策與內部機密，但整體治理制度卻停留在「交給資訊部門測測看」的水平，這已不是技術問題，而是公司治理的斷層。
證券期貨市場相關公會為協助業者安全且有效地管理新興科技，在 113 年 12 月 27 日發布《證券期貨市場相關公會新興科技資通安全管控指引》，其中第八章以 13 條條文專門處理「運用人工智慧安全控管」的要求。本文認為這份指引雖然是金融業的專業規範，但實際上是所有企業都可以參考的 AI 治理教科書，值得所有產業借鏡。
指引的核心精神，可以濃縮為八個治理關鍵：治理權責、風險分級、委外監督、公平性、資料隱私、安全穩健、透明可解釋，以及對生成式 AI 不可盡信、須防洩密的警示。以下分別轉譯成每個企業都能理解、也可以開始行動的八堂AI治理課。
第一課－治理權責：先問「誰負責」，再談「怎麼導入」
現在企業導入 AI 的典型路徑是：資訊部門或業務單位先買了工具、跑出了模型，治理制度則在上線之後才「補考」。指引要求組織應指定高階主管或設置專責委員會，負責 AI 的整體監督管理，並建立明確的內部治理架構與人才培育機制。換言之，治理應該是技術導入的前提，而不是事後補救。
實務上，一個簡單但殘酷的測試題是：「如果 AI 誤判導致重大客訴或違反法令，公司內部誰要負責？」若連這個問題都沒有答案，就代表 AI 治理架構尚未到位。
第二課－風險分級：不同風險等級的 AI，不能用同一套尺量
指引採取風險基礎的治理思維，要求組織依使用情境，綜合考量是否影響客戶權益、對個人資料的使用程度、AI 自主決策程度與系統複雜性等因素，再進行風險評估及分級。其後才能根據不同風險等級，設計相應的管控措施與定期審查機制。
舉例來說，負責整理會議紀錄的 AI 工具，和直接給出投資建議或授信決策的 AI 系統，兩者風險顯然不同。如果企業用同一套審查強度，要嘛造成低風險業務過度管制，要嘛讓高風險應用落入監管真空。第一步應該是盤點內部所有 AI 使用情境，依影響對象、自主程度與資料敏感度分級，建立一套「風險地圖」，再談如何管控。
第三課－委外監督：AI 委外不是責任外包，而是多了一層監督義務
許多企業的 AI 系統其實是由第三方廠商提供或以雲端服務方式使用。指引明確要求，當組織委外導入 AI 時，應審慎評估業者的專業能力與經驗，並在契約中納入資安、資料保護、責任範圍與罰則等條款，同時要求廠商留存執行紀錄，以便追蹤驗證。
關鍵在於：把 AI 系統外包出去，不代表 AI 治理責任也可一併外包出去。當客戶、董事會或主管機關問起「這個 AI 為什麼這樣判斷？」企業不能用一句「那是廠商的黑盒子」打發。委外，應被視為增加一層「供應鏈治理責任」，而不是責任切割的藉口。
第四課－公平性：演算法裡必須看得見人本精神
指引特別強調「公平性」原則，要求組織在演算法設計、資料蒐集與模型建置過程中，應採取以人為本、人類可控的措施，盡可能使用多元且具代表性的資料，避免僅依賴單一群體數據，以減少對特定族群的偏見。若涉及姓名、居住地、族群、宗教或生理特徵等敏感參數，更要就資安、法遵與風險管理面向進行必要性評估。
這對AI招募、AI信用評分、AI客服都極具參考價值，若 AI 招募工具因訓練資料偏差，系統性排除女性或特定族群履歷；部分信用評分模型，在不自覺情況下加深了財務弱勢的排除效果。這提醒企業：追求效率的同時，不能讓演算法默默複製甚至放大過去的偏見。治理的問題不只在技術，更在於誰對「公平」負責。
第五課－資料隱私：資料越多不代表更好，治理從「少」開始
在多數企業的直覺裡，「資料越多，模型越準」幾乎是一種信仰。指引卻再度強調老原則：資料最小化。組織在處理 AI 相關資料時，應建立適當保護措施，避免未經授權存取或洩露，並以達成目的所必要的最低範圍為限，避免過度蒐集敏感資訊。
從治理角度看，每多蒐集一筆資料，就多增加一項潛在風險。好的 AI 治理，不是盲目追求「資料全拿」，而是從源頭就問一個簡單的問題：「這筆資料，真的必要嗎？」當企業開始習慣在蒐集前問這個問題，資料隱私的風險就少一半。
第六課－安全穩健：把AI當成關鍵系統來防護
指引要求組織在模型建立與驗證階段，應注意所選用模型或演算法的安全性，採取資料品質處理、模型驗證與監控等措施，提高訓練品質、防止生成不適當資訊；同時應遵循資安規範，建立防護機制，持續監控AI系統運作結果。
這意味著，AI 不應只被當作一個「會聊天、會分析的工具」，而是必須被視為企業核心資訊系統的一環。當它開始影響客戶權益、財務決策或內部流程時，就應被納入資訊安全、內部控制與風險管理架構中，定期測試與更新。使用不安全且欠缺穩健的AI，會讓企業處於危險情況。
第七課－透明可解釋：讓使用者知道自己在跟誰互動
指引要求，當組織運用 AI 與消費者直接互動時，應清楚告知該互動係由 AI 自動完成，讓消費者了解適用情境並保有選擇權；若涉及金融交易等重大決策，組織更應理解 AI 如何做出判斷，提升模型的可解釋性。
對一般企業而言，這條原則的核心非常簡單：不要讓使用者誤以為自己在和真人互動，也不要讓內部決策者說不清楚 AI 的決策邏輯。當管理階層習慣用「系統算出來的結果」當作免責護身符時，其實已經把公司治理推向危險邊緣。可解釋性不是技術部門的專利，而是整個組織在建立信任時必須共同承擔的治理責任。
第八課－不盡信與防洩密：生成式 AI 不可盡信，更不能成為洩密管道
指引特別提醒，對生成式 AI 的使用應加強管控：組織不可完全信任其產出資訊，不得以未經確認的內容作為決策唯一依據；在缺乏管制機制之下，人員不得向生成式 AI 提供應保密或涉及機密業務、個人資料的資訊。
現實情況卻是：不少企業已經全面使用生成式 AI，員工每天把大量公司資料貼進各式大型語言模型，包括尚未公開的產品構想、客戶合約條款、內部會議紀錄等，但董事會和高階主管往往並不了解資料去向，也沒有明確的使用規範。企業必須清楚告知員工：生成式 AI 是輔助工具，不是免責保證，更不是可以隨意傾倒機密資料的儲存槽。
AI 治理能力，將是下一個公司治理分水嶺
企業未來最大的風險，不是落後於 AI 技術競賽，而是「有 AI 卻無治理」。當 AI 逐漸走進決策核心，這份原本為證券期貨業者設計的指引，實際上已經提出所有導入 AI 的組織都必須面對的共同考題：誰負責治理、如何分級風險、如何監督委外、如何確保公平性與資料隱私、如何維持系統安全穩健，以及如何讓決策透明與可被解釋。
AI 時代真正的競爭，不再只是演算法的速度，而是治理制度的成熟度。未來企業能否贏得市場、投資人與監理機關的信任，關鍵不在於「用了多少 AI」，而在於「是否建立一套可以被信任、被監督、也能被問責的 AI 治理制度」。真正危險的不是 AI 做錯決策，而是沒有人被設計來為那些決策負責。
當董事會與高階管理團隊開始主動把 AI 治理納入公司治理與風險管理的核心議程，而不再把它視為純技術議題時，企業才算真正踏出邁向負責任 AI 的第一步。擁有先進 AI 的企業很多，但真正能長期被信任的企業，將會是那些把 AI 治理能力視為核心競爭力的組織。
＊作者為中正大學企業管理學系博士研究生 （相關報導： 翁仲和觀點：你的下一位同事，可能不是人類 ｜ 更多文章 ）
