員工都在用生成式 AI，總經理要先管什麼？
先確認 EU AI Act 是否適用：AI 系統投入歐盟市場，或 AI 的輸出在歐盟使用，台灣公司也在範圍內（第 2 條第 1 項）。
適用時，第 4 條 AI 素養義務自 2025 年 2 月 2 日起已適用。經規則 (EU) 2026/1744 修正後，提供者與部署者要「採取措施支持」員工及代表公司操作 AI 的人員的 AI 素養，不要求保證個人達到特定程度。歐盟執委會的問答說明：不需要證書，可以保留內部訓練紀錄，並應讓員工知道特定風險，例如幻覺。
即使不適用，總經理也該做兩件事：訂好內部使用規範（哪些資料不能輸入，例如機密與個人資料），以及做教育訓練。
公司用 AI 篩履歷或做信用評估，總經理要承擔什麼？
招募與信用評分屬於附件 III 的高風險 AI。依數位綜合法案（規則 (EU) 2026/1744），附件 III 系統的高風險義務自 2027 年 12 月 2 日起適用。
公司若是部署者（在業務上使用別人的 AI 系統），要做的是：
- 依提供者的使用說明使用
- 指派具備能力的人員做人類監督
- 紀錄至少保存 6 個月
- 部署信用評估、壽險或健康險定價系統者，要做基本權利影響評估（第 27 條）
若是自己開發並以公司名義提供，就是提供者，義務更重，要完成符合性評估。只在台灣內部使用、不涉歐盟時，服務頁也建議：涉及人事決策、信用評估等高風險場景，仍應建立治理機制。
EU AI Act 罰鍰有多高？AI 出錯造成損害，公司要賠嗎？
行政罰鍰（第 99 條，取其高者；中小企業取兩者中較低者）：
| 違反 | 上限 |
|---|---|
| 第 5 條禁止規定 | 3,500 萬歐元或全球年營業總額 7% |
| 提供者、部署者等義務，及第 50 條透明度 | 1,500 萬歐元或 3% |
| 回應要求時提供不正確資訊 | 750 萬歐元或 1% |
民事賠償：EU AI Act 本身沒有民事賠償規定；歐盟執委會已撤回《AI 責任指令》提案。AI 造成的損害，主要依新《產品責任指令》(EU) 2024/2853（涵蓋軟體與 AI 系統，適用於 2026 年 12 月 9 日起上市的產品）與各會員國侵權法處理。
是否需要估列準備、怎麼在合約中分配責任，由法律顧問與簽證會計師依個案判斷。
ISO 42001 值得投資嗎？和 EU AI Act 有什麼差別？
兩者性質不同：
| ISO/IEC 42001 | EU AI Act | |
|---|---|---|
| 性質 | 可驗證的 AI 管理系統標準 | 歐盟法規，依風險課予義務 |
| 證書 | 由依 ISO/IEC 42006 取得認可的驗證機構發證 | 沒有獨立證書；高風險 AI 要完成符合性評估 |
| 關係 | 不是 AI Act 的調和標準，驗證不產生推定符合 | 符合性評估、歐盟資料庫登錄、授權代表、第 50 條透明度，證書不能替代 |
投資價值在於：一套管理制度承接 AI Act 要求的風險管理、紀錄與人類監督流程，客戶詢問 AI 治理時能提出 AI 系統清冊、風險評估與控制紀錄。服務頁所列時程：已有 ISO 27001 者通常 4–6 個月可達驗證，從零開始約 6–9 個月；高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月。
AI 治理由誰負責？要向董事會報告什麼？
先建立三份文件，責任才有地方落：
- AI 系統清冊：全公司有哪些 AI 系統（自建與採購），每一個的角色與風險等級，判斷紀錄寫進清冊。
- AI 風險與影響評估：一份文件同時對應第 9 條風險管理、第 27 條基本權利影響評估與 ISO 42001 的風險與影響評估。
- EU AI Act 義務矩陣：依角色列出每條義務、負責人、證據與到期日。
第 6 條第 3 項的排除（附件 III 系統主張不是高風險）要書面評估並登錄，不以口頭認定。
向董事會報告時，可把 AI 列入既有風險管理政策：上市上櫃公司風險管理實務守則第 18 條的風險類別含法遵風險與資訊風險。此守則適用於上市櫃公司；非公開發行公司不受此規範，可自願參考。
台灣的人工智慧基本法對公司有什麼要求？
《人工智慧基本法》於 2026 年 1 月 14 日公布施行，中央主管機關是國科會。條文多數規範政府；對企業的具體要求，主要會透過各目的事業主管機關依風險訂定的管理規範與產業指引落實，行政院要求在 2028 年 1 月前訂定。
總經理現在可以做的是：
- 用數位發展部 2026 年 7 月 7 日發布的 AI 風險分類框架 1.0 版，盤點與評估公司的 AI 應用
- 追蹤所屬產業主管機關的管理規範
- 用 ISO 42001 建立的 AI 系統清冊與風險評估，同時對應台灣與歐盟的要求，不必做兩套
積穗科研怎麼協助總經理處理 EU AI Act 與 ISO 42001？
積穗科研由副總、董事級顧問全程親自輔導、不外包，顧問持有 ISO 42001 主導稽核員資格；積穗科研是顧問公司，不發證，驗證由你選定的驗證機構執行。
- 先分級再投入：盤點全組織的 AI 系統，判定角色（提供者或部署者）與風險等級，依風險規劃成本效益最高的路徑。
- 三份核心文件：AI 系統清冊、AI 風險與影響評估、EU AI Act 義務矩陣，每一欄標示條文出處。
- ISO 42001 與 AI Act 共用一套證據：以 ISO 42001 為組織面的治理骨架，逐條對照 AI Act 補齊差異，與 ISO 27001、27701 共用骨架。
- 上市後監控：建立上市後監控與重大事件通報程序，併入既有資安事件流程。
延伸閱讀：EU AI Act 輔導、ISO 42001 導入輔導、EU AI Act 顧問怎麼選、ISO 42001 顧問怎麼選、預算與時程。
其他角色怎麼看這項服務
同一角色的其他服務
- 總經理導入 ERM：董事會、內控聲明與個人責任要先釐清什麼？
- 總經理看 ISO 37001：海外代理商行賄，公司與個人要負什麼責任？
- 總經理看 ISO 27001：客戶要證書、董事會要報告，先決定什麼？
- 總經理看 ISO 22301：廠區停擺幾天還撐得住？RTO 由誰拍板？
- 總經理看營業秘密保護：員工帶料跳槽，公司要先證明什麼？
- 總經理看 EU CRA：歐洲訂單、罰則與誰負責，現在要決定什麼？
- 總經理看 NIS2：第 20 條管理機構責任、罰則與歐洲客戶要求
- 總經理看 GDPR 與 ISO 27701：罰則、跨境傳輸與誰負責
- 總經理看 TISAX：歐洲車廠訂單、評估等級、時程與投資怎麼決定？
- 總經理推數位轉型：投資效益、租稅優惠、資安與營運中斷怎麼管？
- 總經理推 AI 轉型：第一個場景、投資效益與責任歸屬怎麼決定？
官方來源
- Regulation (EU) 2024/1689 AI Act（EUR-Lex）
- Regulation (EU) 2026/1744 Digital Omnibus on AI（EUR-Lex）
- European Commission AI Act Service Desk：Article 113
- European Commission：AI Literacy - Questions & Answers
- European Commission：Liability for defective products
- 總統府公報：人工智慧基本法
- 數位發展部：人工智慧風險分類框架
- 證交所：上市上櫃公司風險管理實務守則