AI 風險要放在風險地圖哪一類？風控長要先建什麼？
- 先建清冊：AI 系統清冊要涵蓋自建、外購與員工自行使用的 AI 工具，記錄用途、資料、負責人與風險等級。
- 放進既有類別：《上市上櫃公司風險管理實務守則》第 18 條列出策略、營運、財務、資訊、法遵、誠信與其他新興風險。AI 治理通常放在其他新興風險，個別應用再依影響對到資訊、法遵或營運風險。
- 評估方法：可參考 ISO/IEC 23894 或美國 NIST AI 風險管理框架（治理、對應、量測、管理）。
- 不只看公司損失：還要評估 AI 對個人與群體的影響，例如定價或資格篩選長期不利於特定客群。
此守則供上市櫃公司參照；非公開發行公司不受此守則規範，可自願參考。
第一個 AI 應用場景怎麼選，才不會超出風險胃納？
好的起點通常目標明確、已有可用資料、失敗代價可以承受，例如品質檢測或設備預測性維護。依資料可得性、業務效益與風險可控性排序，而不是看技術新不新。
| 模式 | 要先問清楚的風險 |
|---|---|
| 採購成熟 AI 方案 | 資料存放在哪裡、供應商能否使用你的資料、日後能否退出 |
| 與技術供應商合作開發 | 模型與資料的權利歸屬、驗收標準、上線後誰維運 |
| 建立內部能力 | 人才培訓、資料基礎與治理流程 |
AI 若會影響對客戶或員工的決定、處理個人資料，或產品要進入歐盟市場，就需要正式的治理與風險評估。導入前先建立 KPI 衡量基準，效益才追得到。
AI 上線後，風控長要追哪些 KRI？
以下是可依 ISO/IEC 42001 監測要求設計的 KRI 方向，門檻由公司依風險胃納訂定：
- 模型表現：準確率與漂移是否超過門檻；分群表現，避免少數群體的錯誤被整體平均掩蓋
- 人工監督：高影響操作前是否有人工介入點；人工修正或推翻的比例（模型失準常被業務的人工修正掩蓋，正式指標仍顯示達標）
- 變更：外購模型更新時，是否知道現用版本、是否用同一套測試做回歸、無法回退時有無替代方案
- 事件：AI 事件件數與調查是否有負責人，避免研發、業務、資安互推
這些結果要送進管理審查與風險報告，不只留在 IT 部門。
用外購模型或委外開發，風險和責任能轉給供應商嗎？
不能全部轉移。把第三方基礎模型整合成自有產品時，你仍要對檢索資料、提示設計、工具串接與上線核准負責；委外開發時，資料、驗收、上線決策與事故處理仍是出資方的責任；員工用個人帳號處理公司工作，也屬組織要管的 AI 使用。
若在歐盟業務中使用高風險 AI 系統（部署者），EU AI Act 第 26 條要求依使用說明使用、把人類監督指派給具備能力、訓練與權限的人、監控運作並在必要時通知提供者，以及在可控範圍內保存日誌至少 6 個月。貼上自有品牌、實質修改或改變用途使其成為高風險時，依第 25 條第 1 項會被視為提供者。
供應商合約要寫明資訊提供、資料使用與退出安排。
AI 轉型的法規與責任曝險，怎麼放進衝擊評估？
| 來源 | 曝險 |
|---|---|
| EU AI Act 第 99 條 | 違反禁止規定最高 3,500 萬歐元或全球年營業額 7%；違反其他義務最高 1,500 萬歐元或 3%（取較高者） |
| 損害賠償 | EU AI Act 本身沒有民事賠償規定；執委會已撤回《AI 責任指令》提案；AI 損害主要依新《產品責任指令》(EU) 2024/2853（涵蓋軟體與 AI，適用於 2026 年 12 月 9 日起上市的產品）與會員國侵權法 |
| 台灣 | 《人工智慧基本法》2026 年 1 月 14 日公布施行，對企業的要求主要透過各目的事業主管機關依風險訂定的規範落實；數位發展部已發布 AI 風險分類框架 1.0 版 |
具體責任與適用判斷，請由法律顧問依個案評估。
AI 轉型的風險要怎麼向董事會或風險管理委員會報告？
把 AI 收進既有的報告節奏，不另開一條線：
| 守則條文 | AI 轉型怎麼放進去 |
|---|---|
| 第 13 條：董事會核定風險管理政策 | 政策範圍加入 AI 系統的使用與開發 |
| 第 14 條：風險管理委員會核定風險胃納 | 訂出 AI 的容忍度，例如哪些決定不得全自動 |
| 第 15 條：至少一年一次提報 | AI 清冊與風險等級、KRI、事件、投資效益與基準值比較 |
ESG 評鑑 G-18 要求由董事會層級功能性委員會督導風險管理，且至少一年一次向董事會報告，為 AA 題型，得分者總分另加一分。守則與 ESG 評鑑適用於上市櫃公司；非公開發行公司不受此規範，可自願參考。
積穗科研怎麼協助風控長處理 AI 轉型的風險治理？
- 治理先行：AI 系統導入前先建立 ISO 42001 AI 管理框架，包含 AI 倫理原則、AI 系統清單管理、AI 開發與採購的安全要求、演算法審查流程
- 四個步驟：AI 應用機會識別與風險評估、AI 治理架構建立、AI 系統導入與整合、監控優化與 EU AI Act 合規
- 成效可追蹤：導入前建立 KPI 衡量基準
- 時程（服務頁所列）：依 AI 成熟度與轉型範疇，輔導期通常 7 至 12 個月以上
- 誰主導：副總、董事級顧問全程親自輔導、不外包；第一次機制診斷免費
其他角色怎麼看這項服務
同一角色的其他服務
- 風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？
- 風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？
- 風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？
- 風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？
- 風控長看 ISO 27001：資訊風險怎麼和企業風險用同一把尺？
- 風控長看 AI 風險：ISO 42001 與 EU AI Act 要先決定什麼？
- 風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？
- 風控長看 NIS2：適用身分、罰則與管理機構責任怎麼評估？
- 風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？
- 風控長看 DORA：ICT 第三方與營運韌性風險怎麼放進風險地圖？