風險導向分類法

風險導向分類法（Risk-based Taxonomy）是風險管理領域中，依據風險的嚴重程度與發生可能性進行系統化分類的方法論。其核心邏輯是「風險與應對措施成正比」——風險越高，要求的控制措施越嚴格。此概念最早見於金融風險管理與安全領域，隨後被廣泛應用於資訊安全與AI治理。在AI治理脈絡下，它要求企業對AI應用進行情境化評估，而非一體適用相同標準。與傳統的「合規清單」不同，風險導向分類法強調的是動態調整與情境判斷，這與ISO 31000的風險識別原則高度一致。根據NIST AI RTO框架，分類法是建立AI風險管理系統（AI RMF）的基礎步驟，決定了後續風險評估的深度與廣度。值得注意的是，分類標準必須具備互斥性與完備性，避免同一AI系統在不同情境下被重複分類，造成資源浪浪費或監管真空。

實務導入通常分為三個階段。第一步是「情境定義」：企業需盤點所有AI應用場景，如HR篩選、客戶服務機器人、信貸決策引擎等。第二步是「風險等級映射」：對照EU AI Act Annex III（高風險AI清單）及臺灣個資法第20條（安全維護義務），將AI系統歸入對應風險等級。例如，涉及醫療診斷的AI屬於高風險，需進行演算法公平性測試；客服聊天機器人則屬低風險，僅需確保資料隱私。第三步是「差異化控制設計」：高風險系統需建立人工監督機制與資料偏誤監測。量化效益方面，導入此分類法後，企業通常可在12個月內將AI相關合規成本降低25%，同時將高風險AI事件發生率降低40%，並提升監管機構審查通過率達30%。

臺灣企業面臨三大挑戰。首先是「法規認知落差」：臺灣目前尚無AI專法，多依賴個資法與AI基本法草案，企業難以找到明確的分類標準。建議參考EU AI Act作為國際基準，以提前佈局。其次是「技術與業務的斷層」：IT部門理解技術風險，但業務部門不清楚AI系統的實際風險情境。解決方案是建立跨部門AI治理委員會，由法務、IT、業務三方協作。第三是「資源分配不均」：中小企業往往無法為所有AI系統建立完整風險控制。應採取分階段導入策略，優先針對高風險AI系統建立控制機制，其餘系統以輕量化文件化管理。建議企業在90天內完成初步分類盤點，並依風險等級設定KPI，確保資源精準投放。