風險基礎分類

Risk-based Classification（風險基礎分類）是AI治理的核心方法論，其核心邏輯是「風險越高，管控越嚴」。根據歐盟AI法案（EU AI Act）第27條及ISO 42001第6.1.2條的風險評估要求，AI系統被分為四個等級：不可接受風險（禁止）、高風險（嚴格管控）、有限風險（透明度義務）及最低風險。此分類方式與ISO 31000的風險處理原則一致，強調風險管理應與組織目標及外部環境相適應。在AI治理框架中，這意味著企業不能對所有AI應用採取相同標準，而應依據風險等級分配對應的資源、技術控制與監控機制，以確保AI系統的安全性、可靠性與可追溯性。這與傳統IT風險管理不同之處在於，AI風險具有動態性，需要持續監測而非一次性評估。

實務導入可分為三個具體步驟：第一步，依據EU AI Act Annex III及ISO 42001第6.1.2.2條進行AI風險識別，涵蓋模型偏差、資料偏見、系統性錯誤及對人類決策的影響。第二步，對識別出的風險進行等級分類。例如，用於醫療診斷輔助的AI屬於高風險類別，需符合第9章的強制性要求；而用於撰寫行銷文案的生成式AI則屬於有限風險類別。第三步，依等級設計控制措施。高風險AI需建立符合ISO 42001第8.4條的AI影響評估機制、人工監督機制及技術文件要求。企業應建立定期審查流程，確保AI系統在部署後仍符合其原始風險分類的管控標準，並在模型漂移或新情境出現時重新評估風險等級。

台灣企業導入AI風險基礎分類面臨三項主要挑戰。首先是法規對接問題：台灣目前尚無AI專屬法規，企業需參照EU AI Act及NIST AI RTO框架進行自願性合規，建議建立「法規追溯矩陣」對應國際標準。其次是技術能力差距：中小型企業缺乏進行AI風險量化的專業人才，可透過與學術機構合作或採用第三方驗證工具來彌補。第三是資料治理基礎薄弱：AI風險與訓練資料品質高度相關，企業應優先建立符合ISO 42001第8.4.3條的資料治理政策。建議企業採取「先合規、後擴展」策略，優先處理高風險AI應用場景，並在6-12個月內建立完整的AI風險管理體系，以應對未來可能出現的本地立法趨勢。

Risk-based Classification直接對應以下國際規範：EU AI Act（2024年正式通過）將AI系統分為四級風險架構，是目前最完整的法律分類依據。ISO/IEC 42001:2023是首個AI管理系統國際標準，其第6.1.2條明確要求組織進行AI風險評估與處理。NIST AI RTO（AI風險管理框架）提供了風險識別、治理、測量與管理四大功能領域的實務指引。此外，GDPR第22條關於自動化決策的規定，與AI風險分類中的「對人權與基本權利影響」直接關聯。企業在設計AI系統時，應整合上述標準建立統一的風險評估語言，確保AI治理與現有資訊安全管理（如ISO 27701）無縫接軌。