觀點投書：AI治理要能被驗證：企業如何留下管理證據

AI出錯時，企業拿得出什麼證據，證明自己管得住？2026年3月3日，保險業公會修正《保險業運用人工智慧系統自律規範》（下稱AI自律規範），可將其要求整理為上線前、開發導入、上線後與定期查核四個環節。筆者先前談過AI治理的原則，也談過如何釐清誰負責；原則有了，責任有人扛，下一關就是證據。

AI自律規範適用於與消費者直接互動且影響交易權益、提供客戶服務且影響交易權益，或對營運有重大影響的AI應用，例如網路投保、自動理賠。一般企業不必遵循，但可借鏡其設計，管控AI帶來的風險。

依AI自律規範，提供服務前應以風險為基礎建立管理與定期檢視機制，並視風險大小，由具AI專業的獨立第三人出具評估報告，內容涵蓋資料品質、模型品質、系統安全性，以及公平性、透明性與可解釋性。資安、法遵與風控單位也要就資料治理、消費者權益保障與非預期事件的應變措施提出意見。

哪些AI應列為高風險？筆者建議至少涵蓋兩類：一是營運核心系統，即AI一旦出錯或停擺，就衝擊核心業務、大量客戶權益或公司信譽者，如保險業的核保與理賠決策；二是涉及巨量個資的系統，一旦外洩或誤用，影響範圍廣。企業可再依自身業務補充判準。

高風險AI應用，都應留有一份上線前評估紀錄，載明用途、資料來源、風險等級與各單位意見。這份紀錄，就是業務單位為何核准、管理單位如何挑戰的證據。

自行開發或優化AI系統，應保存必要的技術文件與紀錄，包括影響決策的重要資料、模型或演算法，確保必要時可被查驗；自行或委託研發時，也應提出可解釋性報告。使用第三方AI系統，則應確認業者留存運算軌跡，並以契約明訂雙方權責。

直接採用現成AI服務的企業，未必拿得到同等文件，因此採購時就要問清楚：供應商能留存哪些紀錄？是否配合查核？這個問題在簽約前不問，出事後就只能自己承擔。

AI上線不是終點。規範要求持續監控運作結果，並建立資安防護，防範駭客攻擊、惡意軟體等威脅。筆者建議，監控不能只是「有在看」，而要留下異常事件、處理過程與改善結果的紀錄；沒有紀錄，管理就無從證明。

規範還要求將AI相關事項納入內控內稽制度，並定期查核。證據存在，不等於證據可信，它的價值在於讓獨立於業務之外的人也能檢驗：內部稽核、外部評估者，乃至主管機關。合理的分工是：業務單位與風控、法遵、資安等管理單位，負責產生並保存證據；內部稽核獨立查核證據是否完整、控制是否確實運作（即三道模型中的第一、二道防線負責產生與保存證據，第三道防線負責獨立驗證）。

對尚未建立機制的企業，筆者建議從三件事起步：為高風險AI(如：直接影響客戶權益、公平待客或重要決策的AI)建立上線前評估紀錄；在採購與開發階段，確認技術文件與運算紀錄可以取得；每年由內部稽核或其他獨立單位，抽查證據是否完整、控制是否運作。

成熟的AI治理，不保證AI永不出錯，而是出錯時，企業能及時發現、有效控制、追究責任並持續改善。治理的底氣，不在宣稱管得住，而在被檢驗時拿得出來。 （相關報導： 觀點投書：洋流隆捲風─當政客忙著刷存在感，人民仍在等待答案 ｜ 更多文章 ）

＊作者為國立中正大學企業管理學系博士研究生