第一類錯誤與第二類錯誤

第一類錯誤（Type I Error）又稱為「偽陽性」（False Positive），指當風險實際不存在時，系統錯誤地判定為存在；第二類錯誤（Type II Error）則稱為「偽陰性」（False Negative），指當風險實際存在時，系統未能偵測到。這兩個概念源自統計學假設檢定理論，在風險管理中，Type I Error 代表過度警報導致資源浪費，Type II Error 則代表漏報導致實際損失。根據 ISO 31000:2018 風險管理框架，風險評估必須具備可靠性與可重複性，而這兩類錯誤直接影響風險評估的「可靠性」與「適當性」判斷。在 AI 風險模型中，這兩類錯誤的權衡（trade-off）決定了模型設計的偏向性，對企業治理具有直接衝擊。

實務應用可分為三個步驟：第一步，定義風險情境與決策門檻。企業需依據 ISO 31000 第 6.4.3 條「風險評估」要求，明確定義何為「風險存在」的判定標準。第二步，設計檢測機制。例如在資訊安全領域，NIST SP 800-53 的控制措施中，防火牆誤報（Type I Error）與實際攻擊未被偵測（Type II Error）是兩種不同風險等級的事件。第三步，建立風險容忍度與權衡機制。根據企業風險偏好（Risk Appetite），若漏報成本極高（如法規違規），則應調低 Type II Error 的容忍閾值。例如 GDPR 第 33 條要求 72 小時內通報資料外洩，這意味企業必須將 Type II Error 的控制優先度置於 Type I Error 之上，以避免監管機構的巨額罰款。

台灣企業常見挑戰包括：第一，數據品質不足。許多中小企業缺乏歷史風險數據，導致統計模型難以設定正確的判定閾值，建議導入 ISO 42001 AI 管理系統標準進行數據治理。第二，法規合規壓力。台灣個資法第 27 條要求企業採取適當安全措施防止外洩，若因 Type II Error 導致外洩事件未被及時偵測，將面臨行政罰鍰。第三，人才缺口。缺乏具備統計基礎的風險管理人才。建議企業應建立跨部門風險委員會，結合法務、IT 與業務單位共同審視風險模型參數，並定期進行壓力測試（Stress Testing）以驗證模型在極端情境下的錯誤率控制能力。

Type I and Type II Errors 與多項國際標準直接相關。ISO 31000:2018 風險管理框架要求風險評估具備「可靠性」，這意味企業必須量化其風險模型中的錯誤類型與發生機率。NIST SP 800-30 風險評估指南提供了系統性評估方法，協助企業在 AI 與資訊系統中設定誤報與漏報的容忍限度。GDPR 第 32 條要求實施適當技術與組織措施確保資料安全，這要求企業在設計偵測機制時，必須將 Type II Error（未偵測到外洩）的風險降至可接受範圍。此外，ISO 42001 AI 管理系統標準針對 AI 系統的風險評估，同樣要求企業明確說明如何管理模型決策的錯誤風險。