AI 治理是企業在導入生成式 AI 時，用來決定「誰可以用、拿什麼資料用、出錯誰負責」的一整套規則與流程。許多公司的現況是：同仁早就在用 ChatGPT、Gemini、Claude 寫信、做簡報、整理會議紀錄，主管卻說不出公司到底允許哪些工具、哪些資料不能貼進去。等到客戶資料被貼上公開的 AI 服務，或 AI 產出的錯誤數字被寫進報價單，才發現沒有任何規範可以追溯。2026 年 1 月《人工智慧基本法》公布施行、7 月數位發展部發布「人工智慧風險分類框架」，台灣的 AI 法規正式有了骨架。這篇文章用企業看得懂的語言，整理 AI 治理的定義、台灣與國際的法規框架、常見 AI 風險，以及一套中小企業也做得到的五步落地流程。
AI 治理是什麼？先搞懂定義與三個層次
AI 治理（AI Governance）指的是組織為了讓 AI 被安全、合法、可問責地使用，所建立的政策、角色分工、風險管理流程與監督機制。治理的對象涵蓋員工日常使用的生成式 AI 工具，也涵蓋公司自行開發或採購、嵌入在業務系統裡的 AI 功能。
AI 治理常被誤以為只是資訊部門的事，實際上它橫跨法務、資安、人資、業務單位與高階主管。原因很簡單：AI 的風險多半發生在「使用現場」，例如業務把客戶名單丟進 AI 整理、行銷用 AI 生成的圖片做廣告、HR 用 AI 篩履歷。這些決定都不是 IT 單獨能掌握的。
AI 治理的三個層次
企業可以把 AI 治理拆成三層來看，每一層要回答的問題不同：
| 層次 | 要回答的問題 | 典型產出 |
|---|---|---|
| 策略層 | 公司為什麼用 AI？哪些業務優先？可接受多少風險？ | AI 政策宣言、導入優先順序、風險胃納 |
| 管理層 | 誰核准工具？資料怎麼分級？出事誰處理？ | AI 使用規範、工具白名單、資料分級表、事件通報流程 |
| 執行層 | 員工每天怎麼用才安全？產出怎麼查核？ | 操作守則、提示詞範本、教育訓練、使用紀錄與稽核 |
只寫策略層、沒有執行層的公司最常見，結果是政策寫得很漂亮，同仁照樣用個人帳號處理公司文件。反過來，只有執行層的禁令、沒有策略層支持，員工會覺得公司只會說「不准」，轉而私下偷用，形成下文會提到的 Shadow AI。
AI 治理和資訊安全、個資保護差在哪
AI 治理和既有的資安管理、個資保護有重疊，但多出幾個 AI 才有的議題。資安管的是系統與資料不被入侵、竄改；個資保護管的是個人資料的蒐集、處理與利用是否合法；AI 治理除了這兩塊，還要處理「AI 產出是否正確」「決策過程能否解釋」「是否有偏見或歧視」「生成內容的著作權」這些新問題。
舉例來說，一份由 AI 生成的市場分析報告，就算資料沒外洩、沒用到個資，只要裡面的數字是 AI 編出來的，被主管拿去做投資決策，一樣會造成損失。這就是數發部框架中所列「錯誤或誤導訊息」與「過度依賴與不安全使用」的風險類型。
以 AI 峰哥的企業內訓經驗來看，多數公司卡關的地方不在法條，而在「沒有人被指派負責」。AI 峰哥（阿峰老師）建議先指定一位 AI 治理窗口，哪怕是兼任，也要讓同仁知道工具要申請找誰、出問題要通報誰，治理才有起點。
台灣 AI 法規現況：人工智慧基本法與 AI 風險分類框架
台灣的 AI 法規在 2026 年進入新階段。企業不必背每一條條文，抓住兩件事就夠：「法律要求政府做什麼」以及「接下來各產業主管機關會怎麼管」，後者才會直接落到企業身上。
人工智慧基本法：公布日、主管機關與七大原則
依全國法規資料庫資料，《人工智慧基本法》於 2025 年 12 月 23 日經立法院三讀通過，2026 年 1 月 14 日由總統公布，全文 20 條，自公布之日起施行。第 2 條明定中央主管機關為國家科學及技術委員會（國科會），涉及各目的事業主管機關職掌者，由各目的事業主管機關辦理。
第 4 條列出政府推動 AI 研發與應用應遵循的七大原則：
- 永續發展與福祉
- 人類自主
- 隱私保護與資料治理
- 資安與安全
- 透明與可解釋
- 公平與不歧視
- 問責
這七項原則雖然是寫給政府的，但企業內部的 AI 政策直接拿來當骨架非常好用。例如「隱私保護與資料治理」原則中提到尊重企業營業秘密、避免資料外洩、採用資料最小化原則，正好對應企業 AI 使用規範中「哪些資料不能輸入 AI」的條款。條文逐條解讀與企業影響，可以看這篇人工智慧基本法重點與企業影響。
數發部 AI 風險分類框架：20 種 AI 風險怎麼分
基本法第 16 條要求數位發展部參考國際標準，推動與國際接軌的 AI 風險分類框架，再由各目的事業主管機關據此訂定「以風險為基礎」的管理規範。數發部在 2026 年 7 月 7 日發布人工智慧風險分類框架 v1.0，把 AI 風險分成三大類、20 個子類型：
| 大類 | 子類型（節錄） | 企業日常可能遇到的情境 |
|---|---|---|
| A：AI 系統本身之技術設計缺陷（8 項） | 安全漏洞與攻擊、缺乏透明性、影響隱私與違反個資法規、侵害智慧財產權疑慮、不公平歧視、錯誤或誤導訊息 | AI 生成內容與他人著作近似、AI 摘要捏造數字 |
| B：部署後操作及人機互動問題（6 項） | 過度依賴與不安全使用、生成違法內容、詐欺與深偽濫用、用於網路攻擊、AI 自主代理之授權外行為 | 員工未查核就採用 AI 建議、AI Agent 存取超出授權的系統 |
| C：社會結構與環境衝擊（6 項） | 不平等加劇與就業品質下降、創作價值受損、環境傷害、認知作戰與資訊主權 | 自動化影響職務設計、生成內容大量取代原創 |
框架的操作流程是四步驟：盤點應用情境、識別風險、評估風險、應對風險。評估時以「客觀固有風險」為原則，也就是先不考慮現有防護措施，只要該應用可能對國家安全、人民基本權利、生命安全、財產、社會秩序或生態環境造成嚴重危害，主管機關就應認定為基本法第 17 條所稱的高風險 AI 應用。
框架的規範對象是各目的事業主管機關，但它在「給產業界的閱讀建議」中，請企業優先閱讀 AI 風險類型表。換句話說，企業現在就可以拿這張表當內部風險盤點的清單，等主管機關的管理規範出來時，手上已經有對應的資料。
接下來兩年的時程：企業該盯哪幾件事
基本法第 18 條要求政府在施行後兩年內完成法規的制定、修正或廢止。國科會在 2026 年 5 月行政院院會的施行規劃報告中也提到，各目的事業主管機關將在兩年內視需求訂定風險管理規範，並協助產業自訂指引。截至本文查證日（2026 年 10 月），尚未查到各主管機關依第 16 條正式發布的產業管理規範，企業可以留意自己所屬產業的主管機關（例如金融業的金管會）後續公告。
金融業其實早一步有參考依據：金管會在 2024 年 6 月 20 日發布金融業運用人工智慧（AI）指引，屬行政指導性質，對應治理及問責、公平性、隱私保護、系統穩健、透明可解釋與永續發展六項核心原則。其他產業可以把它當作「主管機關未來可能怎麼要求」的參考範本。
AI 峰哥（阿峰老師）補充：法規還在補細節的這兩年，正是企業建立內部治理的最佳時機。等規範正式上路才開始盤點，往往要同時處理「既有的違規使用」和「新規定的落差」，成本會高很多。
國際 AI 治理框架：企業可以借用的三套工具
台灣的風險分類框架明確提到參考國際標準。企業若有海外客戶、供應鏈稽核需求，或想讓內部治理更有系統，可以從以下三套國際工具挑一套當參考：
| 框架 | 發布單位與時間 | 性質 | 適合誰 |
|---|---|---|---|
| 歐盟 AI Act | 歐盟，2024 年 8 月 1 日生效 | 具法律拘束力，四級風險分類 | 產品或服務銷往歐盟的企業 |
| NIST AI RMF 1.0 | 美國國家標準暨技術研究院，2023 年 1 月 | 自願性框架，Govern、Map、Measure、Manage 四大功能 | 想建立內部風險管理流程的企業 |
| ISO/IEC 42001:2023 | ISO 與 IEC，2023 年 12 月 | 可驗證的 AI 管理系統標準 | 需要第三方驗證、已導入 ISO 27001 的企業 |
歐盟 AI Act 把風險分為不可接受、高風險、透明度風險、最低風險四級，禁止性行為與 AI 素養義務自 2025 年 2 月 2 日起適用。歐盟執委會官網資料顯示，高風險規定的適用期限已因 AI Omnibus 調整，附件三所列高風險系統延至 2027 年 12 月 2 日。值得台灣企業注意的是「AI 素養義務」，代表歐盟要求部署 AI 的組織確保員工具備足夠的 AI 知識，教育訓練在國際上已經被視為治理的一部分。
NIST AI RMF 的四大功能很適合當內部流程的分工：Govern 建立文化與權責、Map 盤點情境、Measure 評估風險、Manage 處理風險。它和數發部框架的四步驟幾乎可以一對一對照，企業不用兩套並行。
企業最常見的 AI 風險：五大類型與實際情境
把 20 個風險子類型對照到一般企業（非 AI 開發商）的日常使用，最常遇到的是以下五類。每一類都有對應的支撐文章深入說明。
1. 資料外洩：機密與個資被貼進公開 AI 服務
這是企業最在意、也最常發生的 AI 風險。IBM 在 2025 年的《資料外洩成本報告》中指出，五分之一的受訪組織曾因 Shadow AI 發生資料外洩，Shadow AI 程度高的組織平均多付出 67 萬美元的外洩成本。三星在 2023 年也因工程師把內部原始碼上傳 ChatGPT，對員工使用生成式 AI 祭出限制。
降低這類風險的關鍵，是讓員工有安全的工具可用。以 ChatGPT 為例，OpenAI 官方說明 ChatGPT Business 與 Enterprise 方案預設不使用企業資料訓練模型，個人免費版則需要使用者自行到設定中關閉訓練選項。不同方案在管理功能、稽核與資料保存上差異很大，詳見AI 資安風險與 ChatGPT 資料外洩防範。
2. Shadow AI：員工私下使用未核准的 AI 工具
Microsoft 與 LinkedIn 的 2024 年工作趨勢指數調查顯示，78% 的 AI 使用者會自己帶 AI 工具上班，中小企業比例更高達 80%。當公司沒有提供工具、也沒有規範，員工就會用個人帳號、免費版本處理公司資料，管理者完全看不到。這類「影子 AI」的成因、風險與管理方法，在Shadow AI 是什麼有完整說明。
3. 錯誤資訊：AI 幻覺被當成事實
生成式 AI 會產生看似合理但不正確的內容，數發部框架把它列為「錯誤或誤導訊息」風險。行政院的公部門生成式 AI 參考指引也明定，不得以未經確認的 AI 產出直接作為行政行為或決策的依據。企業版的對應做法是在使用規範中寫清楚「哪些產出必須由人查核、誰負責查核」。
4. 智慧財產權與著作權疑慮
AI 生成的文字、圖片可能與他人著作實質近似，框架列為「侵害智慧財產權疑慮」。行銷、設計、出版相關部門要特別留意，對外發布的 AI 生成內容應保留人工審稿紀錄，必要時標示 AI 輔助產出。
5. AI Agent 越權：自動化代理做了沒被授權的事
隨著 AI Agent 能自動呼叫工具、讀寫系統，框架新增了「AI 自主代理之授權外行為」風險類型。企業若開始用 AI 串接郵件、CRM、雲端硬碟，就要設計權限邊界與人工確認點。關於 Agent 的基本概念，可以參考Agentic AI 是什麼。
以 AI 峰哥的企業內訓經驗來看，五類風險中，前兩類靠「規範加工具」就能大幅降低，後三類則要靠「員工判斷力」。這也是為什麼 AI 治理一定要搭配教育訓練：規範告訴員工不能做什麼，訓練才讓員工知道怎麼做才對。
AI 治理怎麼落地？中小企業也能做的五個步驟
大型企業可以成立 AI 治理委員會、導入 ISO 42001；中小企業資源有限，可以參考數發部框架的四步驟，再加上一個「教育訓練」步驟，用三到六個月建立最小可行的治理機制。
步驟一：盤點 AI 使用情境
先弄清楚公司裡「誰在用、用什麼工具、處理什麼資料」。可以用匿名問卷搭配部門訪談，問題不要用「你有沒有偷用 AI」這種會讓人防衛的問法，改問「你最常用 AI 幫忙做哪些工作」。
| 盤點欄位 | 範例 |
|---|---|
| 使用部門與人員 | 業務部 8 人、行銷部 5 人 |
| 使用工具與帳號類型 | ChatGPT 個人免費版、Gemini、Canva AI |
| 處理的資料類型 | 客戶名單、報價單、內部會議紀錄 |
| 產出用途 | 對外提案、內部報告、社群貼文 |
步驟二：識別與評估風險
拿數發部的 AI 風險類型表逐項對照每個使用情境，標出「有涉及」的風險，再評估影響程度。建議用簡單的高中低三級即可，重點是找出「處理客戶個資」「對外發布」「影響決策」這三種高風險情境。
步驟三：訂定 AI 使用規範與工具白名單
根據風險評估結果，寫出公司的 AI 使用規範。規範至少要包含適用範圍、核准工具清單、資料分級與禁止輸入事項、產出查核責任、揭露原則、違規處理與通報流程。行政院 2023 年函頒的公部門生成式 AI 參考指引是很好的參考骨架，規範架構與範本可以看企業 AI 使用規範怎麼寫。
步驟四：提供安全工具與技術控管
只有規範、沒有工具，員工會繼續用個人帳號。企業應評估採購企業版或團隊版 AI 服務，搭配單一登入、管理後台、使用紀錄等功能，讓「合規的路」比「偷用的路」更好走。
步驟五：教育訓練與定期檢視
規範發布後一定要搭配訓練，內容包括規範說明、資料分級判斷練習、AI 產出查核方法，以及各部門的實際應用示範。人工智慧基本法第 7 條也要求政府推動各級學校、產業與公務機關的人工智慧與倫理教育，AI 素養已經是政策方向。規範建議每半年檢視一次，因為 AI 工具與法規更新速度都很快。
AI 峰哥（阿峰老師）建議：步驟五最容易被省略，卻最影響成效。只發一份 PDF 規範給全公司，多數同仁不會讀；用一場半天的工作坊，讓每個部門拿自己的真實工作練習「哪些能丟給 AI、哪些要先去識別化」，規範才會變成習慣。
AI 治理的角色分工：誰該負責什麼
治理落地最怕「人人有責、無人負責」。以下是中小企業可參考的最小分工，職稱可依公司規模合併：
| 角色 | 主要責任 | 中小企業可由誰兼任 |
|---|---|---|
| AI 治理負責人 | 核准政策、決定風險胃納、資源分配 | 總經理或營運主管 |
| AI 治理窗口 | 維護規範與工具白名單、受理申請與通報 | IT 主管或管理部主管 |
| 資安與法務 | 評估工具資安條款、個資與著作權風險 | 外部顧問或法務 |
| 部門種子人員 | 推廣最佳做法、收集部門需求與問題 | 各部門對 AI 最熟悉的同仁 |
| 人資／訓練窗口 | 規劃 AI 教育訓練、納入新人訓練 | HR 或訓練窗口 |
部門種子人員是許多公司忽略的角色。治理規範若全由 IT 撰寫，常常和業務現場脫節；有種子人員把一線的使用情境帶回來，規範才寫得出「業務在報價時可以怎麼用 AI」這種具體條款。想了解主管在 AI 轉型中的角色，可以延伸閱讀中高階主管 AI 轉型指南。
想讓 AI 治理真的落地？讓 AI 峰哥帶團隊從規範練到實作
AI 治理的終點是讓同仁「放心地用、正確地用」，讓大家敢用也用得對。規範、工具、訓練三件事缺一不可，其中最難的是讓幾十、上百位同仁在日常工作中真正改變習慣。
AI 峰哥（黃敬峰，阿峰老師）擁有超過 10 年企業培訓經驗，2022 年起深入研究生成式 AI，依 AI 峰哥官網資料，累計超過 300 場培訓與演講、滿意度 4.7 以上，曾為裕隆日產、士林電機、國泰人壽、精誠資訊等企業與單位授課。企業內訓可以依產業情境客製，把貴公司的 AI 使用規範、資料分級與實際工作流程放進課堂演練，課堂上就產出可用的提示詞範本與操作守則。若需要從 AI 導入規劃開始陪跑，也有企業 AI 導入與變革管理顧問服務，可參考半導體與電信業 AI 內訓工作坊案例。
- 了解企業內訓與顧問方案：AI 峰哥企業內訓與顧問服務
- 直接諮詢課程安排：LINE 諮詢 AI 峰哥
常見問題 FAQ
Q1：AI 治理和 AI 法規有什麼不同？
AI 法規是政府訂定、具有法律效力的規定，例如台灣的人工智慧基本法、歐盟 AI Act。AI 治理則是企業自己建立的內部管理機制，範圍更廣，包含法規遵循，也包含工具選擇、資料分級、教育訓練等法規沒有細寫的部分。企業做好 AI 治理，就是在為未來的法規要求提前準備。
Q2：中小企業沒有法務和資安人員，要怎麼開始 AI 治理？
可以從最小可行版本開始：指定一位治理窗口、做一次 AI 使用情境盤點、寫一頁式的 AI 使用規範、採購一套企業版 AI 工具，再辦一場全員教育訓練。AI 峰哥的企業內訓常協助中小企業把這幾步濃縮在課程中完成，課堂上就產出規範草稿與部門操作守則。
Q3：人工智慧基本法對一般企業有罰則嗎？
人工智慧基本法以原則和制度架構為主，條文中沒有直接針對企業的罰則規定。實際的管理要求會由各目的事業主管機關依第 16 條，在施行後兩年內陸續訂定以風險為基礎的管理規範。企業應關注所屬產業主管機關的公告，並先依數發部 AI 風險分類框架完成內部盤點。
參考資料
- 全國法規資料庫：人工智慧基本法
- 國科會：人工智慧基本法三讀通過
- 行政院第 4004 次院會：國科會人工智慧基本法施行規劃新聞稿
- 數位發展部：AI 風險分類框架
- 數位發展部：人工智慧風險分類框架 v1.0 PDF
- 金管會：發布金融業運用人工智慧（AI）指引
- European Commission：AI Act
- NIST：AI Risk Management Framework
- ISO：ISO/IEC 42001:2023
- IBM：2025 Cost of a Data Breach Report 新聞稿
- Microsoft：2024 Work Trend Index
- OpenAI：Enterprise privacy
