資安長面對 EU AI Act：AI 系統的資安、紀錄與人類監督要準備什麼？

資安長要先盤點什麼，才知道公司哪些 AI 系統受 EU AI Act 規範？

• 適用範圍：把 AI 系統投入歐盟市場，或 AI 系統的輸出在歐盟使用，即使在歐盟沒有據點也在範圍內（第 2 條第 1 項）。
• 每個系統判定兩件事：角色（提供者、部署者、進口商或經銷商）與風險等級（第 5 條禁止、附件 I／III 高風險、第 50 條透明度）。
• 角色會改變：在第三方 AI 系統貼上自己的名稱或商標、做實質修改，或改變用途使其成為高風險，依第 25 條第 1 項視為提供者。
• 適用日期（數位綜合法案 (EU) 2026/1744 修正後）：附件 III 高風險系統 2027 年 12 月 2 日、附件 I 產品 2028 年 8 月 2 日；第 50 條透明度義務自 2026 年 8 月 2 日起已適用。

判定理由寫進 AI 系統清冊。角色改變時要做什麼

高風險 AI 的資安要求（第 15 條），和公司現有的資安控制有什麼不同？

第 15 條要求高風險 AI 在生命週期內維持適當的準確性、穩健性與資安，能抵禦未經授權的第三方利用弱點改變其用途、輸出或效能。和一般資安控制不同的是，它點名 AI 特有的攻擊，技術措施在適當時應能預防、偵測、回應、解決與控制：

ISO 27001 的控制可以當底，AI 特有的測試要另外補。同時屬 CRA 數位產品的 AI 系統，符合 CRA 第 12 條者，視為符合 AI Act 第 15 條的資安要求。

人類監督要設計到什麼程度？資安長要確認哪些「攔停」機制？

第 14 條要求高風險 AI 設計成能由自然人有效監督。依第 14 條第 4 項，被指派監督的人要能夠：

• 了解系統的能力與限制，監控運作並偵測異常；
• 意識到過度依賴輸出的傾向（自動化偏誤）；
• 正確解讀輸出；
• 在任何情況下決定不使用，或忽略、推翻、回復系統的輸出；
• 透過「停止」按鈕或類似程序介入或中斷，讓系統在安全狀態下停止。

部署者端，第 26 條第 2 項要求把人類監督指派給具備必要能力、訓練與權限的自然人。資安長要確認三件事：攔停權限在誰身上、攔停後如何回復、有沒有演練紀錄。AI 能退款或改單時，人工介入點要設在高影響操作之前。延伸閱讀：模型每月更新、AI 能改單，誰能核准、攔停與回復

AI 系統的日誌要記什麼、保存多久？

• 提供者端：第 12 條要求高風險 AI 在系統生命週期內，技術上能自動記錄事件（日誌），用來識別可能構成風險或實質修改的情況、支援上市後監控，以及部署者的運作監控。
• 部署者端：第 26 條第 6 項要求在日誌受其控制的範圍內保存，期間與預期用途相稱，至少 6 個月；歐盟或會員國法律（特別是個人資料保護法規）另有規定者從其規定。

資安長的工作，是把 AI 日誌納入既有的日誌管理與存取控制，訂出保存期限；日誌含個人資料時，保存期限與最小化原則要和法務一起決定。

AI 出了嚴重事件，要怎麼併入現有的資安事件通報程序？

第 73 條要求已投入歐盟市場的高風險 AI 提供者，向事件發生地會員國的市場監督機關通報嚴重事件：

必要時可先送不完整的初報，再補完整報告。部署者依第 26 條第 5 項監控運作，必要時通知提供者。

做法：把 AI 嚴重事件和 GDPR、NIS2、DORA、EU CRA 的通報時限並列在同一個事件分類步驟裡。歐盟執委會已就第 73 條發布指引草案並徵詢意見，最終內容以執委會公告為準。

董事會報告要怎麼呈現 EU AI Act 的曝險與準備進度？

• 罰則（第 99 條，取較高者；中小企業取較低者）：違反第 5 條禁止規定最高 3,500 萬歐元或全球年營業總額 7%；違反其他義務與第 50 條最高 1,500 萬歐元或 3%；提供不正確資訊最高 750 萬歐元或 1%。
• 證書的界線：EU AI Act 沒有獨立證書；ISO/IEC 42001 不是調和標準，驗證不產生推定符合。
• 報告內容：AI 系統清冊與風險等級、各系統適用日期、第 15 條測試與第 14 條監督演練結果、AI 事件紀錄。

上市櫃公司可併入《上市上櫃公司資通安全管控指引》第 37 條定期向董事會或管理階層的資安報告；非公開發行公司不受此指引規範，可自願參考。

積穗科研怎麼協助資安長處理 EU AI Act？

• 先分級：AI 系統風險分類診斷，再依風險等級規劃合規路徑
• 三份核心文件：AI 系統清冊、AI 風險與影響評估、EU AI Act 義務矩陣
• 一套證據：ISO 42001 管理系統逐條對照第 9 至 17 條補齊差異，與 ISO 27001、27701 共用骨架
• 法定程序：技術文件、符合性評估與歐盟資料庫登錄；重大事件通報併入既有資安事件流程
• 時程（服務頁所列）：高風險 AI 合規通常 6–9 個月，整合 ISO 42001 認證 9–12 個月
• 誰主導：副總、董事級顧問全程親自輔導、不外包；第一次機制診斷免費

深入：EU AI Act 輔導、EU AI Act 顧問怎麼選、AI 證據與 27001 共用、資安長角色頁