[AI 法律 8] AI 法遵與企業治理:AI 治理框架、董事責任、第三方審查

企業建立 AI 治理，可以直接借用美國 NIST 的 AI 風險管理框架，再對齊我國法規與既有內控制度。框架本身不是法律，但提供了完整而通用的管理循環。

美國國家標準與技術研究院（NIST）於 2023 年發布「AI 風險管理框架（AI RMF）」，核心是四項功能：治理、映射、衡量、管理，構成持續循環的風險管理流程。

在台灣運用這套框架，有四個重點。第一，對齊本國法規：包括個資法、民國 115 年 1 月 14 日公布施行的人工智慧基本法，以及各目的事業主管機關的 AI 指引；人工智慧基本法第16條要求數位發展部推動風險分類框架，並由各目的事業主管機關訂定以風險為基礎的管理規範。

第二，整合既有治理：把 AI 風險管理納入既有的內部控制、風險管理與永續報告，不另起爐灶。第三，因應產業特性：金融、醫療、文化產業的 AI 風險各不相同。第四，依規模調整：中小企業可採簡化版，大型企業則需完整實施。

數位發展部的「公部門人工智慧應用參考手冊」從評估、導入到營運管理提供整體治理視角，雖以公部門為對象，私部門也可以參考其架構。

AI 已是公司的重大風險，董事會對 AI 的使用負有監督責任；沒有建立任何監督機制，日後可能被追究違反注意義務。

我國公司法第23條第1項規定，公司負責人應忠實執行業務並盡善良管理人之注意義務，違反致公司受有損害者，負損害賠償責任。「善良管理人之注意義務」是指以一般謹慎的專業經理人標準處理公司事務，對重大風險建立合理的監督機制，也包含在內。

美國法上另有「商業判斷法則」：董事在資訊充分、沒有利益衝突、出於誠信的情況下做成決策，即使結果不佳，法院也不事後追究。但這個保護有界線，董事若明知重大風險卻不採取合理監督，仍可能被認定違反義務。

AI 涉及的風險包括法律責任（個資、消費者保護、智財）、聲譽（演算法偏差、不當輸出）、財務（系統失靈）與策略（技術依賴）。董事會可以從四件事落實監督：定期審議 AI 治理報告（例如每季一次）、核准重大 AI 投資與部署、監督 AI 風險管理單位的運作、建立重大 AI 事件的通報與處理機制。

美國德拉瓦州法院在 1996 年 Caremark 案確立的見解常被引用：公司若完全缺乏合理的監督系統，或董事有意識地忽視已知的風險警訊，可能構成監督義務違反，股東可以提起代表訴訟。在我國，繼續六個月以上、持有已發行股份總數百分之一以上的股東，也可以依公司法第214條請求監察人對董事起訴，監察人不起訴時得自行為公司起訴。

建議上市櫃公司在董事會層級設立 AI 治理相關的功能性委員會，或把 AI 治理納入既有的風險管理委員會；定期由負責單位報告 AI 應用現況、風險評估與合規狀態，並在會議紀錄中明確記載討論內容，作為已盡監督責任的證明。

內部 AI 使用政策是治理框架落實到第一線的工具。一份完整的政策至少要涵蓋四個層次：資料、模型、輸出、稽核。

文件形式上，可以分成三層：總體政策（原則性文件，由董事會核准）、執行細則（具體操作，由管理階層核准）、員工指引（簡化版，供員工日常使用）。三層互相搭配，政策才能從董事會落實到每一位員工。

多數企業的 AI 來自外部廠商，選廠商前的盡職調查（在簽約前有系統地查核對方背景與風險），決定了日後出事時能不能追究、資料能不能取回。

查核項目可以分成六類。廠商背景：設立國家、營運與財務狀況、客戶與案例。技術能力：模型架構、訓練資料來源、效能指標、第三方驗證。安全與合規：資訊安全認證（例如 ISO 27001）、個資法遵循、跨境傳輸、稽核紀錄。

法律狀況：涉訟情形、過去爭議、智慧財產權利狀況。持續性風險：服務終止後的資料處理、模型變更通知、移轉到其他廠商的難易度。責任分配：契約責任條款是否合理、保險投保情形、賠償上限。

用於核心業務的 AI 服務，可以採用「三道防線」審查：第一道由業務部門初步篩選，第二道由法遵與資安部門深入評估，第三道由內部稽核或外部專家最終審查。中小企業沒有完整內部資源時，可以委請律師、資安專家、會計師組成臨時審查小組。

AI 治理不必一步到位，可以依企業規模與風險分階段推進。下圖是常見的五階段劃分。

金融、醫療等受高度監理的領域，以及涉及重大權益的關鍵 AI 應用，應持續朝第五階段努力，並留意主管機關依人工智慧基本法訂定的管理規範。

過去企業比的是誰能用 AI 做得最快，接下來比的是誰能用 AI 做得最可信。客戶、合作夥伴、投資人與主管機關，都會越來越重視企業的 AI 治理。

建議企業不要等到出事才建立治理，也不必追求一次到位的完美架構，而是從務實的階段開始，持續累積制度與文化。每一份內部政策、每一次審議紀錄、每一場員工訓練，都是企業在 AI 時代的信任資本。

常見問題