不遵守歐盟人工智慧法案（EU AI Act）的代價可能極為高昂——非常高昂。根據違規情況，罰款最高可達全球年度營業額的 7% 或 3,500 萬歐元，以較高者為準。該法規已於 2024 年 8 月生效，並將於 2026 年 8 月全面適用，關鍵義務在此過程中已陸續生效。
對許多組織而言，2026 年標誌著人工智慧法規從「意識」轉變為「當責（Accountability）」的關鍵時刻。過去只需持續關注的法規，如今已成為董事會、監管機構和客戶期望組織能夠理解並具體展示的標準。
挑戰不僅在於理解法規，更在於理解它在實務上的意義。哪些組織受到影響？「高風險人工智慧」是否適用於您的系統？監管機構期望看到什麼樣的證據？以及如何將法律要求轉化為結構化且禁得起考驗的作法？
歐盟人工智慧法案引入了以風險為基礎的方法來規管人工智慧。人工智慧系統對人們的權利、安全或機會的潛在影響越大，對其施加的義務就越嚴格。在其核心，該法案將人工智慧的使用劃分為不同類別——從違禁實務到高風險系統，再到具有透明度要求的低風險使用案例。它同時也為通用人工智慧模型制定了義務，反映出這些技術現今在各行各業中被廣泛使用的現狀。
在實務層面上，該法案主要執行四件事：
這種架構意味著該法案的適用範圍遠超乎技術供應商。它影響著在歐盟境內開發、部署、整合、採購或依賴人工智慧系統的組織——且通常是以他們最初未意識到屬於受管轄範圍的方式進行。
一個常見的假設是，歐盟人工智慧法案主要影響大型科技公司。實際上，合規風險往往取決於人工智慧的「使用方式」，而非「誰建造了它」。人工智慧現已融入日常業務流程中，出現在招聘工具、信用決策、醫療支援系統、客戶互動以及內部工作流程中。在許多情況下，組織使用人工智慧的方式早已落在法案的管轄範圍內，卻未曾正式意識到這一點。
這在以下領域特別相關：招聘與人力資源管理、包含信用或保險評估在內的財務決策、醫療保健與診斷、教育與評估、公共服務或基礎設施，以及依賴生成式人工智慧的面向客戶工具。
重新審視這個問題的一個實用方法是自問：人工智慧支援的決策目前在哪裡已經開始影響個人的結果？這通常就是監管風險開始的地方。
人工智慧法案分階段實施，但到了 2026 年 8 月，大部分條款將全面適用。屆時，組織預期必須對自身的人工智慧藍圖及其治理方式有清晰的了解。這並不代表每個流程都必須完美無瑕，但這確實意味著組織應該能夠展示：
等到執法變得顯眼才採取行動是一種高風險的做法。當監管機構提出質疑時，預期中結構化的解答早已必須存在。
對許多組織而言，不確定性往往由此開始。人工智慧系統是否被視為高風險，與其說是取決於技術本身，不如說是取決於它的「使用方式」。當系統影響到可能實質改變人們生活的決策——例如就業、財務取得、醫療保健、教育、安全或法律地位時，即屬於此類別。
在實務中，這通常包括用於以下流程的人工智慧：篩選或評估求職者、評估信譽或保險風險、支援臨床或醫療決策、評估學生或培訓成果，以及優先取得基本服務。這些並非小眾的邊緣案例，而是許多組織的核心營運流程。同時，並非每項人工智慧應用都具有相同的份量。回答一般查詢的聊天機器人，與影響招聘或放款決策的系統有著天壤之別。兩者的區別在於其「影響力」。
組織經常低估的是：一旦「實用的自動化」開始塑造現實世界的結果，它會以多快的速度變成「受管轄的決策支援」。這就是為什麼分類必須保持一致、有據可查且可審查——而不是只做一次且從未受到挑戰的非正式判斷。
如果您正開始評估組織內部如何治理人工智慧，本檢查清單提供了一個結構化的起點。它能協助您識別人工智慧的使用位置、評估目前的治理方法，並了解符合 ISO/IEC 42001 可能需要具備的條件。
當涉及高風險人工智慧時，法規的焦點隨之轉變。它不再僅僅關於模型本身，而是關於模型周圍的「治理系統」。監管機構感興趣的是組織是否能展現控制力，這包括如何識別風險、如何記錄決策、如何維持監督，以及若出問題時將如何處理事件。
這通常要求組織處理以下領域：
綜合來看，這些並非孤立的要求，而是構成了一個治理架構。
合規在實務上，与其說是證明某個模型有效，不如說是證明周圍的組織處于掌控之中。
該法案同時也定義了一組有限的違禁人工智慧實務。雖然範圍狹窄，但它們帶有最嚴重的罰款。組織應能夠證明在治理過程中已對其進行評估並予以排除。
與此同時，通用人工智慧帶來了另一層責任。許多組織依賴嵌入在第三方工具中的人工智慧功能，而非自行建構模型。
這引出了關於供應商監督、透明度、文件化以及如何在下游管理上游風險的實務問題。在實務中，治理不能在採購時就停止，它必須延伸到日常營運中人工智慧的實際使用方式。
在各行各業中，關於人工智慧的討論已經轉變。它不再僅由創新驅動，而是日益受到當責機制的塑造。領導團隊正在提出以下問題：
這些純粹不是法律問題，而是治理問題。
已經在運作結構化管理系統的組織通常具有優勢。它們習慣於定義職責、維護文件並展現控制力。當前的挑戰在於將同樣的紀律延伸至人工智慧領域。
歐盟人工智慧法案定義了組織需要應對的事項，但它並未規定內部治理應如何建構。
這正是管理系統方法發揮價值的地方。它們提供了一種方法，將職責、流程和控制措施整合為一致且可重複執行的模式。
在實務中，結構化的人工智慧治理方法結合了：明確定義的角色與職責、完整的人工智慧系統與使用案例清單，以及一致的分類與風險評估方法。它還包含由文件化政策支援的生命週期控制，以及用於監控、升級和持續改善的機制。
對許多組織而言，ISO/IEC 42001正逐漸成為此領域實用的框架。它為管理人工智慧系統提供了一種結構化且可稽核的方法。保持區別的清晰非常重要：
對大多數組織而言，出發點並非對每個模型進行深入的技術審查，而是「清晰度」。實務的做法通常遵循簡單的進程：
首先，建立可視性。繪製組織內部人工智慧的使用地圖——包括內部系統、第三方工具，以及可能未立即顯現的嵌入式功能。
接著，確立所有權。明確定義誰負責監督、風險評估和文件化。若缺乏明確的當責機制，治理往往流於形式。
然後，評估風險暴露。識別高風險或禁止使用問題可能出現的地方。這很少純粹是技術工作——它需要法律、合規、風險和營運團隊的共同參與。
最後，開始使治理制度化。將政策、控制措施和流程對齊到一致且可重複執行的模式中。
目標並非一開始就做到完美，而是具備「禁得起考驗的能力（Defensibility）」——能夠證明人工智慧系統已被理解、風險已受到評估，且治理正以結構化的方式落實。
歐盟人工智慧法案不僅是一項法規的演進，更是對組織成熟度的考驗。為 2026 年準備最充分的組織，不見得是擁有人工智慧功能最先進的組織，而是那些能清楚展現這些功能如何被治理的組織。
他們將能夠說明：
對許多人而言，問題不再是人工智慧治理是否需要制度化，而是能否自信地展現出來。與其從頭開始，不如將焦點轉向擴展現有的管理系統，以反映今日人工智慧實際被使用的方式——以一種結構化、透明且能在關鍵時刻清楚證明的模式進行。
如果您想了解歐盟人工智慧法案如何適用於您的組織，以及在實務上合規的人工智慧治理方法為何，請聯繫您當地的 DQS 辦公室展開交流。
