AI 法規企業要怎麼配合？台灣基本法落地的5項紀錄

台灣目前沒有一張對所有企業一體適用的 AI 導入清單。《人工智慧基本法》先確立政府推動人工智慧研發與應用的七項原則，數發部在 2026 年 7 月 7 日訂定的風險分類框架，則把治理工作拆成盤點、識別、評估、應對四步。人工智慧基本法官方頁面與風險分類框架公告都指向同一個實務結論：企業現在要先把 AI 用在哪裡、碰哪些資料、誰能覆核、出錯怎麼停留下紀錄。

這個差別會直接影響導入預算。把七項原則放進簡報，不能替代測試資料、權限設計與事件處理；把每個 AI 應用做成可追溯的工作底稿，才接得上採購、資安、法務與業務。若團隊仍在比較模型能力，先看站內AI 模型選型的成本、資料與部署評估；若要把工具接進實際流程，可再對照AI 工作流的資料、權限與人工覆核設計。

台灣 AI 法規走到哪？先分清法源、框架與手冊

《人工智慧基本法》在官方說明中列出永續發展與福祉、人類自主、隱私保護與資料治理、資安與安全、透明與可解釋、公平與不歧視、問責七項核心原則，並把風險分類、評估驗證、資料開放共享列為後續落實方向。數發部的 AI 基本法說明描述的是政府推動 AI 的治理基礎，企業不能直接把這個頁面當成一份通用申報表。

風險分類框架在 2026 年 7 月 7 日公告生效。框架內容明定它是跨部會的共同評估標準，最終治理執行權責仍由各目的事業主管機關負責，再轉成具法律拘束力、能直接執行的領域規範。這表示金融、醫療、教育、勞動或公共服務的 AI，後續要各自對照所屬規範與既有法律。

數發部的公部門人工智慧應用參考手冊服務對象是政府機關，手冊本身不能自動變成民間企業的法定義務。不過，手冊把模型用途、資料品質、版本、輸出、權責、人工監督、資料最小化和回報機制拆成檢核項目，對企業設計內控很有用。9 月 30 日數發部又公告兒少、人權、性別影響評估報告 2.0 版，政策仍在累積風險情境與評估方法的階段。

我的判斷是，2026 年 10 月企業最該做的是建立可更新的治理底稿，並指定一個人或一個跨部門小組維護它。等到主管機關把風險要求寫進產業規範，團隊才有資料可以快速對照，不必從零補件。

第一項紀錄：一張 AI 應用清冊

風險判斷的起點不是模型名稱，是應用情境。每一列至少寫下業務目的、輸入資料、輸出內容、使用者、受影響對象、是否影響權益或資源分配、供應商與模型版本、人工覆核者，以及模型失效時的替代流程。

這張表對應數發部風險分類框架的第一步「盤點應用情境」，也對應公部門手冊建置前要記錄模型目的、用途與方法論的檢核項目。風險分類框架要求先掌握現有或未來可能導入的 AI 場景；手冊第 4.1 節則把模型用途、資料品質與建置前測試放進風險管理清單。

以客服摘要、履歷排序、授信輔助、內部知識搜尋為例，四者都可能使用大型語言模型，受影響的人、錯誤後果和人工處理時間完全不同。清冊把這些差異留下來，採購單位才知道該買的是摘要工具、決策輔助，還是需要更高強度驗證的系統。

第二項紀錄：風險矩陣，先記影響再挑模型

風險矩陣至少要有四欄：可能受影響的權益或資產、事件發生可能性、影響程度、控制措施。再加上負責人、驗收門檻、覆核方式與停用條件，矩陣才會從評分表變成可執行的管理單。

數發部框架的四步是盤點情境、識別風險、評估影響、規劃應對。AI 應用影響評估頁面也採風險導向方式，從風險情境的可能性與影響程度提出應對方向。企業可以借用這個結構，自己訂出低、中、高影響的門檻，但要把它標成內部管理方法，不能宣稱這就是台灣通用的法規分級。

我會把「影響誰」放在「模型多準」前面。內部會議摘要錯一個日期，和履歷篩選漏掉一名合適求職者，所需的測試深度、人工核准權限與客訴處理都不一樣。影響程度拉高時，團隊應同步提高測試集代表性、覆核者權限與回復速度。

第三項紀錄：資料流與個資理由

企業要替每種輸入資料寫出來源、蒐集目的、使用目的、保存期間、處理地區、接收者、權限角色與刪除或停止使用的條件。若資料進入外部 API，還要把供應商是否保存提示與輸入、是否拿來訓練、管理者能否刪除、跨境處理在哪裡發生寫進採購與資安文件。

個人資料保護法把記錄、輸入、儲存、檢索、刪除、輸出、連結和內部傳送都列入個人資料的「處理」；法律也要求蒐集、處理或利用不得逾越特定目的的必要範圍，並與蒐集目的有正當合理關聯。企業把履歷、客服錄音、會員行為或員工資料送進模型時，資料流文件要能回答「為何需要這筆資料」與「誰能看到輸出」。

醫療、健康檢查、基因等資料在個資法第 6 條有更高限制；法規全文列出法律明文、履行法定義務、研究去識別化或書面同意等例外。這也是醫療 AI 不能只看模型準確率的原因，資料合法性與最小化要在測試前先過關。若要看醫療場景的法規對照，站內已有醫療高風險 AI 在台灣的法規比對。

公部門手冊把資料安全拆成合法性、目的限制、透明度與個人權利、資料最小化、儲存限制、安全性六個方向。手冊資料安全章節可作為企業設計資料盤點表的起點，真正適用的法律仍要依資料類型、業務角色和主管機關判定。

第四項紀錄：測試、人工覆核與停用條件

測試文件要記錄測試資料怎麼來、涵蓋哪些族群與例外、採用什麼指標、通過門檻是多少、誰判讀失敗案例，以及輸出何時必須交給人處理。對生成式 AI，還要保存提示模板、檢索來源、格式要求與人工修改率；對分類或排序系統，則要保存誤判、漏判、不同群體的差異與申訴結果。

數發部手冊要求建置前測試模型，確認產出符合預期用途；它也要求使用者有人工監督、建立回報管道，並對各階段做審核驗證。手冊風險管理與倫理檢核清單提供了這些欄位的原始脈絡。

上線前至少要先寫好三個停用條件：錯誤率超過門檻、輸入資料品質偏離測試範圍、供應商更新後回歸測試未通過。停用後要能切回人工或舊版流程，並指定誰有權核准重新上線。這些是流程設計判斷，手冊提供的是檢核方向，門檻數字仍要由企業依用途、成本與可承受風險訂定。

第五項紀錄：版本、稽核與事件回復

每次輸出至少要能追到模型版本、提示或規則版本、輸入資料來源、輸出內容、產出時間、人工覆核者、最終採用結果與後續處置。涉及個資時，紀錄可以採雜湊、索引或最小必要欄位保存，避免為了稽核又複製一份完整敏感資料。

公部門手冊第 4.1.4 項要求記錄各模型版本、選擇的資訊類型與來源、模型輸出和預期用途；同一章也要求建立權責劃分、內部審查、監控與使用者回報機制。手冊風險管理清單已把這些工作拆成建置前、建置中與建置後的欄位。

事件紀錄不能只寫「模型回答錯誤」。個資法第 12 條要求，個資被竊取、竄改、毀損、滅失或洩漏時，應通知當事人；符合一定通報範圍時還要向主管機關通報，並記載事實、影響、因應措施與保存紀錄。個資法第 12 條讓企業知道事件文件至少要能回答發生什麼、影響哪些資料、採取哪些措施、何時恢復服務。

供應商更新模型、提示規則或資料處理條款時，這份紀錄就是回歸測試的入口。沒有版本與輸出基線，團隊無法判斷結果變差來自模型、資料、權限或流程改動，也無法把責任交給正確的處理者。

我的導入順序：先做一個能回復的最小流程

企業不必等待完整 AI 法規專章才開始治理。第一輪可以只選一個使用情境，完成五件事：建立應用清冊、畫資料流、完成風險矩陣、用固定案例做測試、讓人工覆核與回復流程真的跑過一次。

接著把供應商合約、模型版本、輸出紀錄和事件通報放在同一個專案資料夾，設定模型更新或資料範圍改變時的重驗條件。這個順序把法規語言轉成產品、流程與資訊架構的工作，也保留未來對接個別產業規範的空間。

常見問題

《人工智慧基本法》會直接要求所有企業做同一套文件嗎？
目前數發部官方說明以政府推動 AI 的七項原則與治理配套為主，風險分類框架也說明最終規範由目的事業主管機關負責。企業應先依自身業務、資料類型與既有法規建立紀錄，再追蹤所屬產業的具體要求。

企業導入 AI，第一張表該寫什麼？
先寫 AI 用在哪個業務、輸入與輸出是什麼、誰使用、誰受影響、使用哪個供應商與模型版本。再補上人工覆核者、驗收門檻、停用條件與資料保存方式，這張表才足以支援後續風險判斷。

模型更新後要不要重新驗收？
只要模型版本、提示模板、資料來源、權限或輸出用途有變，就應依變更影響決定重驗範圍。公部門人工智慧應用參考手冊要求記錄模型版本、資料來源、輸出與預期用途，企業可用這些欄位建立回歸測試入口。