公司在每個 AI 系統裡是提供者還是部署者？貼牌、改用途會改變法律責任嗎？
| 角色 | 是誰 | 主要義務 |
|---|---|---|
| 提供者 | 開發 AI 系統並以自己的名義投入市場或提供使用 | 高風險：第 9 至 17 條、符合性評估、歐盟符合性聲明、CE 標誌、登錄 |
| 部署者 | 在業務上使用 AI 系統 | 高風險：依使用說明使用、指派具備能力的人員監督、紀錄至少保存 6 個月 |
依第 25 條第 1 項，下列情況會被視為高風險 AI 的提供者：
- (a) 在已上市的高風險系統貼上自己的名稱或商標（契約另有分配者除外）
- (b) 做實質修改
- (c) 改變預期用途使其成為高風險，例如用於員工排班與績效相關決策
台灣企業即使在歐盟沒有據點，只要把 AI 系統投入歐盟市場，或輸出在歐盟使用，也在範圍內（第 2 條第 1 項）。判定紀錄寫進 AI 系統清冊，法律分類的最終意見由律師出具。
向 AI 供應商採購，或把 AI 功能賣給客戶，合約要約定什麼？
- 第 25 條第 4 項：高風險 AI 系統的提供者，與供應 AI 系統、工具、服務、元件或流程的第三方，應以書面約定必要的資訊、能力、技術存取與其他協助，讓提供者能完全履行義務；AI 辦公室可制定並建議自願採用的範本條款。前言第 90 點說明，範本條款的目的是促進價值鏈上的合作。
- 第 25 條第 2 項：原提供者要與新的提供者合作，但原提供者明確表示不得改為高風險用途者除外。
- 部署者的需求：要依提供者的使用說明使用、保存紀錄至少 6 個月，並在發現風險時通知提供者（第 26 條）；合約要確保拿得到使用說明、日誌與聯絡窗口。
判斷框架：誰是提供者寫清楚；技術文件、測試證據與日誌的提供範圍；模型更新的通知；事件通報的配合時限；責任上限與補償。可接受的條件由法律顧問依個案判斷。
AI 出錯造成損害，公司要負什麼責任？罰鍰有多高？
行政罰鍰（第 99 條，取其高者；中小企業取兩者中較低者）：
| 違反 | 上限 |
|---|---|
| 第 5 條禁止規定 | 3,500 萬歐元或全球年營業總額 7% |
| 提供者、部署者等義務，及第 50 條透明度 | 1,500 萬歐元或 3% |
| 回應要求時提供不正確資訊 | 750 萬歐元或 1% |
民事賠償：EU AI Act 本身沒有民事賠償規定，歐盟執委會的問答也說明 AI Act 不創設刑事犯罪或賠償請求權。執委會已撤回《AI 責任指令》提案；AI 造成的損害主要依新《產品責任指令》(EU) 2024/2853（涵蓋軟體與 AI 系統，適用於 2026 年 12 月 9 日起上市的產品）與各會員國侵權法處理。
合約怎麼分配責任、是否需要估列準備，由法律顧問與簽證會計師依個案判斷。
員工把客戶資料或公司機密輸入生成式 AI，法務要管什麼？
- AI 素養：第 4 條自 2025 年 2 月 2 日起適用；經規則 (EU) 2026/1744 修正後，提供者與部署者要採取措施支持員工的 AI 素養，不要求保證個人達到特定程度。執委會說明不需要證書，可保留內部訓練紀錄，並讓員工知道幻覺等特定風險。
- 內部使用規範：訂明哪些資料不能輸入，例如機密與個人資料，並做教育訓練；只使用一般生成式 AI 工具、不涉及高風險用途時，這通常就足夠。
- 營業秘密：把機密輸入外部 AI 服務前，要確認合約對資料使用與保存的約定；合理保密措施要能從規範、訓練簽收與存取紀錄看得出來。
AI 服務條款是否允許供應商使用輸入資料、資料授權是否合法，最終要由法務或律師判斷。
AI 發生嚴重事件，要通報主管機關嗎？法務在通報中扮演什麼角色？
- 提供者（第 73 條）：向事件發生地會員國的市場監督機關通報，最遲在知悉後 15 日；廣泛性侵害等情形最遲 2 日；有人死亡最遲 10 日；可先送不完整的初報。
- 部署者（第 26 條第 5 項）：監控高風險系統的運作，發現風險或嚴重事件時通知提供者。
- 執委會已就第 73 條發布指引草案與通報範本並徵詢意見。
法務要事先決定：公司在每個系統的角色、誰判斷是否屬於嚴重事件、對外說明與對提供者或客戶的通知由誰核定，以及判斷紀錄怎麼保存。服務頁的做法是把上市後監控與重大事件通報程序，併入既有的資安事件流程。
台灣人工智慧基本法要求什麼？ISO 42001 證書能當作已盡義務的證明嗎？
- 台灣：《人工智慧基本法》2026 年 1 月 14 日公布施行，中央主管機關是國科會；條文多數規範政府，對企業的具體要求主要透過各目的事業主管機關依風險訂定的管理規範與產業指引落實，行政院要求在 2028 年 1 月前訂定。數位發展部 2026 年 7 月 7 日發布 AI 風險分類框架 1.0 版，可作為盤點參考。
- ISO 42001 的界線：它是可驗證的 AI 管理系統標準，但不是 EU AI Act 的調和標準，驗證不產生第 40 條第 1 項的符合性推定。截至 2026 年 10 月，唯一刊登於歐盟公報的 AI Act 調和標準是 EN 18286:2026（AI 品質管理系統，支援第 17 條）。
- 能證明什麼：ISO 42001 留下的 AI 系統清冊、風險與影響評估、人類監督與事件紀錄，是說明治理有在運作的證據；能否作為法律上的抗辯，由法律顧問依個案判斷。
積穗科研怎麼協助法務長處理 EU AI Act 與 ISO 42001？
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們。
- 誰主導：副總、董事級顧問全程親自輔導、不外包，顧問持有 ISO 42001 主導稽核員資格；積穗科研是顧問公司，不發證
- 角色與風險分級：盤點全組織的 AI 系統，判定角色與風險等級，並把判斷紀錄寫進 AI 系統清冊
- 三份核心文件：AI 系統清冊、AI 風險與影響評估、EU AI Act 義務矩陣（依角色列出每條義務、負責人、證據與到期日），每一欄標示條文出處
- 上市後監控：建立上市後監控與重大事件通報程序，併入既有資安事件流程
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行
- 時程（服務頁所列）：高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月
- 第一步：第一次機制診斷免費
深入：EU AI Act 輔導、ISO 42001 導入輔導、EU AI Act 顧問怎麼選、改用途與貼牌時的角色判定、第三方 AI 的證據
其他角色怎麼看這項服務
同一角色的其他服務
- 法務長看 ISO 37001：代理商行賄、檢舉調查與合約條款怎麼管？
- 法務長看營業秘密保護：員工帶料、提告與證據保全要先準備什麼？
- 法務長看 GDPR 與 ISO 27701：處理者契約、跨境傳輸與調查怎麼應對？
- 法務長看 EU CRA：製造商責任、通報義務與 ODM 合約怎麼分？
- 法務長看 NIS2：管轄、個人責任、主管機關調查與客戶條款怎麼處理？
- 法務長看 DORA：第 30 條合約、稽核權與退出條款怎麼談？
- 法務長看 ERM：法遵風險怎麼進風險地圖、怎麼證明法遵制度有效？
- 法務長看 TISAX：車廠合約、參與條款與評估結果分享怎麼處理？
- 法務長看 ISO 27001：客戶資安條款、稽核權與事件責任怎麼談？
官方來源
- Regulation (EU) 2024/1689 AI Act（EUR-Lex）
- Regulation (EU) 2026/1744 Digital Omnibus on AI（EUR-Lex）
- European Commission AI Act Service Desk：Article 25
- European Commission AI Act Service Desk：Recital 90
- European Commission AI Act Service Desk：Article 73
- European Commission：AI Literacy - Questions & Answers
- 總統府公報：人工智慧基本法
- 數位發展部：人工智慧風險分類框架