實務守則

Code of Practice（實務守則）是監管機構針對特定產業或技術領域發布的具體操作指引，將法律條文轉化為可執行的技術標準與管理程序。在 EU AI Act（歐盟人工智慧法案）框架下，歐盟委員會於2025年7月10日發布了通用人工智慧（GPAI）實務守則草案，涵蓋透明度、著作權及安全與安全三大核心領域。此類文件不同於法律條文本身，而是說明「如何達成」法規要求的具體方法論。對於企業而言，Code of Practice 是 AI 治理的實務操作手冊，其內容直接影響 AI 系統的設計、部署與風險評估流程。與 ISO 42001（人工智慧管理系統標準）相輔相成，Code of Practice 提供更具行業針對性的操作細節，是企業建立 AI 風險管理體系的關鍵參考文件。台灣企業若計劃進入歐盟市場，必須將此類 Code of Practice 納入 AI 治理框架的優先考量項目。

實務應用可分為三個階段：第一階段為「差距分析」，企業需對照 Code of Practice 的具體要求（如資料來源透明度、模型安全測試標準）盤點現有 AI 系統的缺口；第二階段為「控制措施導入」，依據 Code of Practice 的技術建議建立 AI 風險分級機制，並設計對應的風險緩解措施，例如在訓練資料清洗階段加入著作權篩選機制；第三階段為「持續監控與驗證」，建立符合 Code of Practice 要求的文件化紀錄體系。以一家台灣電信業者為例，若其 AI 客服系統涉及個人資料處理，需同步對照 GDPR 第25條「設計隱私（Privacy by Design）」與 Code of Practice 的透明度要求，建立可稽核的技術文件。導入後，企業可將 AI 風險事件發生率降低30%，並將法規合規審計時間縮短40%，有效降低因不合規面臨最高3,000萬歐元或全球年營業額6%罰款的風險。

台灣企業導入 Code of Practice 主要面臨三大挑戰：首先是「法規解讀落差」，許多中小企業無法精準理解 EU AI Act 中 GPAI 的具體義務範圍，建議透過專業諮詢建立法規譯解機制；其次是「技術資源不足」，Code of Practice 要求具體技術文件與測試報告，台灣企業需建立跨部門的 AI 技術文件管理系統，建議優先導入 ISO 42001 框架作為基礎；第三是「供應鏈管理複雜度」，台灣企業多為 AI 應用方而非開發方，需向海外供應商索取技術文件，建議在採購合約中明確要求供應商提供符合 Code of Practice 的合規證明。建議企業採取「分階段導入策略」：前30天完成現況盤點，60天建立管理機制，90天完成首輪內部稽核，以確保在法規正式生效前完成轉型。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Code of Practice相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合國際標準的AI管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact