風險類別

風險類別（Risk Category）是一種將風險根據其嚴重性與發生機率等預設標準，進行系統化分級與歸類的方法。其核心目的在於實現差異化管理，讓組織能將有限的資源集中於處理最高等級的威脅。此概念在高度監管領域至關重要，例如歐盟《人工智慧法案》（AI Act, Regulation (EU) 2024/1689）將AI系統分為「不可接受」、「高」、「有限」與「最低」四種風險類別，並對「高風險AI系統」（如用於關鍵基礎設施或招募決策者）施加最嚴格的合規義務，包括強制性的合格評鑑與上市後監控。這與歐盟《醫療器材法規》（MDR, 2017/745）將醫材依風險分為Class I至III級的做法相似。在風險管理流程中，風險分類是介於風險分析與風險應對之間承先啟後的關鍵步驟，它將抽象的分析結果轉化為具體的管理優先級，明確指導後續應採取何種強度的控制措施。

企業應用風險類別主要遵循三步驟：首先是「建立分類框架」，企業需依據歐盟AI法案等外部法規與自身風險偏好，定義明確的分類標準，例如，將影響消費者基本權利或人身安全的AI應用，直接納入內部的高風險類別。第二步為「風險評估與歸類」，由法務、技術、產品等多方組成的跨職能團隊，對每一個AI系統進行全面評估，並依據框架將其歸入相應類別。例如，銀行開發的AI信用評分模型，依據歐盟AI法案附件三將被歸類為高風險。第三步是「執行差異化治理」，針對不同類別的AI實施強度相異的管理措施。高風險AI系統必須完成基本權利衝擊評估、建立風險管理系統並在歐盟資料庫註冊；而有限風險AI（如聊天機器人）僅需履行告知義務。透過此方法，企業能將合規資源效益最大化，確保高風險領域的審計通過率達100%，並將因AI失誤導致的重大合規罰款（最高可達全球年營業額7%）風險降至最低。

台灣企業導入風險類別面臨三大挑戰。第一，「法規適用性模糊」：台灣尚無AI專法，企業不確定該遵循何種標準，特別是對於產品外銷歐盟的廠商，常忽略歐盟AI法案的域外效力。對策是主動採納國際最佳實踐，將歐盟AI法案的分類框架內化為企業內部政策，並優先盤點具外銷潛力的產品線，預計3個月內完成高風險AI清單。第二，「跨部門專業知識斷層」：AI風險評估需法律、技術與業務單位協作，但各方語言與認知差異大，導致分類標準不一。解決方案是成立跨職能的AI治理委員會，引進外部專家提供教育訓練與中立評估方法論，並建立全公司統一的風險詞彙庫。第三，「資源與工具匱乏」：中小企業缺乏預算與人力建構系統化管理流程，多依賴人工處理。對策是採分階段導入，先從最高風險的AI應用著手，並善用治理、風險與合規（GRC）軟體工具，自動化評估與文件追蹤流程，降低人力成本與錯誤率。