AI 治理教學手冊（AI Governance Handbook） 版本：v5.0
適用對象：管理團隊 + 開發團隊
最後更新：2026-07-16
分類：企業內部標準文件（技術白皮書等級）
文件編號：GOV-AI-001
機密等級：內部使用
版本歷程 版本 日期 修訂內容 修訂人 v1.0 2026-05-06 初版發行 AI 治理委員會 v2.0 2026-05-06 全面更新法規對照、新增生成式 AI 治理專章、補充台灣《人工智慧基本法》與國際標準最新動態 AI 治理委員會 v3.0 2026-05-06 依據 EU AI Act 最新施行進度更新（含八大禁止實踐、GPAI Code of Practice 第三版）、補充金管會 AI 自律規範、強化 AI 素養與跨境治理章節、新增數位發展部評測指引落地實務 AI 治理委員會 v4.0 2026-07-02 重大法規更新：台灣《人工智慧基本法》2025 年 12 月三讀通過（修正七大原則與主管機關分工）、EU AI Act Digital Omnibus 修正案（高風險義務延至 2027/2028 年、新增二項禁止實踐）、GPAI Code of Practice 正式版、金管會「金融業運用 AI 指引」（2024/6）、《個資法》與《資安法》2025 年修正；新增 ISO/IEC 42005/42006、NIST 2025-2026 動態（America’s AI Action Plan、Cyber AI Profile）、OECD 負責任 AI 盡職調查指引專節、AIEC 十項評測面向修正 AI 治理委員會 v5.0 2026-07-16 逐章節查證修正：台灣《人工智慧基本法》已於 2026/1/14 公布施行（含 2 年落日條款）、國家 AI 戰略特別委員會已於 2026/5/21 正式成立、moda AI 風險分類框架四步驟落地說明、金管會擬議納入代理式 AI 指引動態、個資會籌備處現況澄清、資安法施行細節；修正 EU AI Act Article 50 透明度義務延期範圍之誤植；新增 ISO/IEC 42001 認證概況、NIST 2025-2026 動態細節、OECD HAIP 2.0；新增 4.4 模型風險管理生命週期、4.5 供應鏈第四方風險、7.2.6 AI Agent 失控風險、13 章生成式內容標記合規；更新 3.1 AI 工具世代資訊；修正 LaTeX 格式問題 AI 治理委員會 目錄 法規與標準對照表 1. AI 治理總體架構（Governance Framework） 1.1 AI 治理目標 1.2 三道防線（Three Lines of Defense） 1.3 AI 風險分類 1.4 與 IT Governance / Data Governance 關聯 2. AI 在 SSDLC 各階段治理 2.0 SSDLC 全景圖 2.1 Requirement（需求階段） 2.2 Design（設計階段） 2.3 Development（開發階段）— AI Coding 2.4 Testing（測試階段） 2.5 Deployment（部署階段） 2.6 Maintenance（維護階段） 3. AI Coding 工具治理 3.1 工具對照與管理 3.2 Prompt 管理（Prompt Governance） 3.3 輸出驗證（Output Validation） 3.4 Code Review 政策 3.5 禁止事項 3.6 AI Hallucination 控制 4. 公司 AI 治理章程（Policy） 4.1 AI 使用政策 4.2 AI 開發規範 4.3 資料使用規範 4.4 模型使用規範 4.5 第三方 AI 管理 5. 標準作業程序（SOP） 5.1 AI 開發流程 SOP 5.2 Prompt 使用 SOP 5.3 AI Code Review SOP 5.4 AI 產出驗證 SOP 5.5 AI 事件通報 SOP 6. 驗證與稽核機制（Validation & Audit） 6.1 AI 產出驗證方法（Test Strategy） 6.2 安全掃描（SAST / DAST） 6.3 AI 風險評估 6.4 稽核流程（Audit Checklist） 6.5 Logging & Traceability 7. AI 風險管理（Risk Management） 7.1 風險總覽 7.2 各風險詳細分析與控制 8. 技術落地架構（Architecture） 8.1 AI Gateway 架構 8.2 Prompt Registry 設計 8.3 Audit Log 系統 8.4 Secure Proxy 設計 8.5 DevSecOps 整合 9. 管理層決策建議（Executive Guide） 9.1 KPI / KRI 9.2 AI 成本控管 9.3 導入策略（Phase 1~3） 9.4 組織設計（AI Governance Team） 10. 生成式 AI 治理專章（Generative AI Governance） 10.1 生成式 AI 風險特論 10.2 大型語言模型（LLM）使用規範 10.3 AI Agent 與自動化工作流治理 10.4 生成式 AI 倫理框架 11. 附錄（Templates） 11.1 AI 使用申請表 11.2 Prompt Template 範例 11.3 AI Risk Assessment 表 11.4 Code Review Checklist（AI 產出專用） 12. AI 素養與教育訓練體系（AI Literacy & Training） 12.1 AI 素養框架 12.2 分層培訓體系 12.3 培訓成效評估 13. 跨境資料傳輸與多法域合規（Cross-border & Multi-jurisdiction） 13.1 跨境資料傳輸治理 13.2 多法域合規矩陣 13.3 國際合作與互認機制 檢查清單（Checklist） 法規與標準對照表 台灣法規 法規/標準 主管機關 核心要求 最新動態 與本手冊對應章節 《人工智慧基本法》 國科會（中央主管機關） AI 發展與治理基本原則、風險分級管理、產業推動、人才培育、資料治理；確立七大基本原則（永續發展與福祉、人類自主、隱私保護與資料治理、資安與安全、透明與可解釋、公平與不歧視、問責） 國科會 2024 年草擬、2025 年改由數位發展部推動立法作業，2025 年 12 月 23 日立法院三讀通過，2026 年 1 月 14 日總統公布施行，為台灣首部 AI 專法。法案訂有 2 年落日條款：各目的事業主管機關須於施行後 2 年內，依中央主管機關訂定之風險分類框架完成子法訂修；行政院已於 2026 年 5 月 21 日由行政院長卓榮泰親自召集正式成立「國家 AI 戰略特別委員會」，國科會將據以研擬《國家人工智慧發展綱領》提委員會審議 1, 4, 7, 10, 12 金管會「金融業運用AI核心原則與相關推動政策」 金管會 建立治理與問責機制、重視公平性及以人為本、保護隱私及客戶權益、確保系統穩健及安全、落實透明性及可解釋性、促進永續發展（六大核心原則）＋ 八項配套政策 2023 年 10 月發布，揭示六大核心原則與八項配套政策（含訂定 AI 指引、法規調適、監理科技、責成公會自律規範等）；金管會後續調查顯示已逾百家金融機構於智能客服、風控、行銷等業務導入 AI 1, 4, 7 金管會「金融業運用人工智慧（AI）指引」 金管會 依六大核心原則展開之操作性指引：涵蓋治理與問責（董事會與高階管理階層之監督責任）、AI 系統生命週期風險管理、資料治理與隱私保護、系統穩健性與安全性、透明性與可解釋性（含客戶告知）、委外與第三方管理 2024 年 6 月 20 日正式發布（2023 年 12 月草案公開徵詢後定案），為金融業 AI 治理最具體之遵循文件；採原則性、非強制性設計，並責成銀行、證券、保險等公會據以訂定自律規範與最佳實務守則。2026 年 5 月 7 日金管會主委彭金隆於立法院財政委員會表示，將修訂指引納入「可程式化 AI」「代理式 AI（AI Agent）」與風險分類機制，時程對標 EU AI Act 2026/8/2 全面生效——現階段屬研議中之修訂方向，尚未定案發布，企業應持續追蹤而非逕予採用 1, 4, 6, 7 《個人資料保護法》 個人資料保護委員會籌備處（尚未完成獨立設會） 資料蒐集/處理/利用之合法性基礎、安全維護義務、跨境傳輸限制、個資事故通知與通報義務 2023 年修正增訂獨立監督機關法源並成立個資會籌備處（2023/12/5 成立）；行政院 2025 年 3 月通過「個資會組織法」草案與個資法部分條文修正草案，個資法修正條文於 2025 年 10 月 17 日三讀、11 月 11 日總統公布（強化行政監管與檢查權限、明訂事故通知通報義務、調整罰則）。施行日期尚待行政院另定；「個資會組織法」尚未完成三讀，個資會現仍以籌備處型態運作，並非正式獨立機關。籌備處已於 2026 年 1 月預告施行細則修正草案及三項子法，內容含 72 小時資安事故通報與 DPO 設置要求 4, 7, 13 《資通安全管理法》 數位發展部（資通安全署執行） 資安防護基準、事件通報與應變、稽核評鑑、資安人員專職化、供應鏈安全管理 2025 年 8 月 29 日三讀、9 月 24 日總統公布修正，已於 2025 年 12 月 1 日正式施行：主管機關明定為數位發展部、公務機關原則禁止使用危害國家資安之資通產品、強化資安專職人員（資通安全長）配置與訓練、擴大稽核範圍至五院與地方政府、促進跨機關聯防；特定非公務機關未依規定通報之罰鍰由新台幣 30 萬元起、最高可處 1,000 萬元；資安署並同步修訂八項子法 5, 6 行政院「AI 新十大建設推動方案」 國發會/行政院 AI 基礎建設、算力提升、產業應用、人才培育、法制環境、國際合作 114 年至 117 年（2025-2028）推動中，包含建置國家級 AI 算力中心、推動 AI 人才培育計畫、建立 AI 沙盒機制；《AI 基本法》通過後成為其法制基礎 9 數位發展部「AI 風險分類框架」／AI 產品與系統評測中心（AIEC） 數位發展部（數位產業署） 風險分類框架採四步驟流程：應用盤點 → 風險辨識 → 風險評估 → 風險應變，作為跨機關共通語言，由各目的事業主管機關（如金管會）據以訂定領域拘束性規範；AIEC 提供 AI 系統可信賴性評測，涵蓋十項評測面向：安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私、資安 AIEC 為既有機制，於 2023 年 12 月啟動（非新設），參考 NIST、ISO 與歐盟規範提供評測服務；風險分類框架頁面 2026 年 3 月 23 日發布、2026 年 7 月 8 日更新，對應 PDF 版本（23 頁）可供企業對照盤點自身 AI 應用；規劃 2026 年推動國內產品通過國內外標準評測 6, 12 國科會「負責任 AI 研發指引」 國科會 AI 研發倫理規範、資料治理原則、利害關係人參與、風險評估方法論 供學研界與產業界遵循，強調以人為本的 AI 研發實踐；《AI 基本法》通過後與其七大原則銜接 10, 12 國際法規與標準 法規/標準 管轄範圍 核心要求 最新動態 與本手冊對應章節 EU AI Act（Regulation 2024/1689） 歐盟/具域外效力 AI 風險四級分類（不可接受/高/有限/最低）+ 通用目的 AI（GPAI）專章；明定禁止實踐清單 2024 年 8 月 1 日生效；2025 年 2 月起八大禁止實踐與 AI 素養義務適用；2025 年 8 月 2 日起 GPAI 義務適用（GPAI Code of Practice 正式版於 2025 年 7 月 10 日發布，含透明度、著作權、安全與資安三章，8 月 1 日獲執委會與 AI Board 認可）；Digital Omnibus 修正案於 2026 年 5 月 7 日達成三方臨時協議、6 月 16 日歐洲議會通過、6 月 29 日理事會最終批准：Annex III 獨立高風險系統義務延至 2027 年 12 月 2 日、Annex I 嵌入受監管產品之 AI 延至 2028 年 8 月 2 日，並新增二項禁止實踐（AI 生成未經同意之私密影像與兒少性剝削內容，2026 年 12 月 2 日生效） 1, 7, 10, 13 ISO/IEC 42001:2023 國際 AI 管理系統（AIMS）建立、實施、維護與持續改善之要求（條款 4-10，PDCA 架構）；為全球首個 AI 管理系統國際標準 2023 年 12 月正式發布，可作為第三方認證依據；全球認證數持續成長，2026 年春已逾 350 家組織取得認證（含 AWS、Microsoft、Anthropic、KPMG 等，惟無官方統一登錄、數字係彙整各驗證機構公開資訊），台灣已有認證機構提供服務；與 ISO/IEC 42005（影響評估）、42006（驗證機構要求）構成「建置—影響評估—驗證」完整標準包 1, 6 ISO/IEC 42005:2025 國際 AI 系統影響評估（AI System Impact Assessment）指引：於 AI 生命週期各階段評估對個人與社會之可預見影響，並與 AIMS、風險管理流程整合 2025 年 5 月發布，補足 ISO/IEC 42001 條款 6 與附錄所要求之影響評估方法論，為企業執行 AI 影響評估之主要國際參考。性質為指引文件，不可單獨作為認證依據，須與 42001 併同適用 6, 7 ISO/IEC 42006:2025 國際 對 AIMS 稽核與驗證機構之額外要求（稽核員能力、稽核時間、範圍界定），確保 ISO/IEC 42001 認證之公信力與一致性 2025 年 7 月發布，規範對象為驗證機構本身（非一般企業）；驗證機構須依此取得認可，企業選擇驗證機構時應確認其符合本標準，避免與 42005 之「企業自行適用」性質混淆 6 ISO/IEC 23894:2023 國際 AI 風險管理指引，與 ISO 31000 整合，提供 AI 特定風險識別與處理方法 2023 年 2 月發布，已成為各國 AI 風險管理實務之重要參考 7 ISO/IEC 38507:2022 國際 AI 使用之治理影響，為組織治理層提供 AI 治理指引 2022 年發布，與 ISO/IEC 42001 形成互補的治理標準體系 1, 9 ISO/IEC 25059:2023 國際 AI 系統品質模型，擴展 SQuaRE 系列至 AI 系統品質評估 2023 年發布，為 AI 系統品質量測提供標準化框架 6 NIST AI RMF 1.0 美國/國際參考 AI 風險管理四大功能：治理（Govern）、對應（Map）、量測（Measure）、管理（Manage） 2023 年 1 月發布；生成式 AI 風險概覽（NIST AI 600-1）2024 年 7 月發布。美國「America’s AI Action Plan」（2025 年 7 月）指示 NIST 修訂 AI RMF，具體修訂方向為移除錯誤資訊、DEI、氣候變遷等相關引用（非中性技術性調整，反映政策立場轉變），企業引用時應留意版本差異；Cyber AI Profile（NIST IR 8596）初稿於 2025 年 12 月公開徵詢，意見徵詢已於 2026 年 1 月 30 日截止，惟尚未定稿，將 AI 風險與網路安全框架（CSF 2.0）整合；2026 年 4 月發布之關鍵基礎設施 AI RMF Profile 目前僅為概念文件並徵集社群意見，尚非正式草案 7 OECD AI Principles 國際（38 國+夥伴國） 包容性成長、永續發展、以人為本、透明與可解釋、穩健安全、問責 2024 年 5 月更新修訂版，納入生成式 AI 與基礎模型考量；2025 年 2 月推出廣島 AI 進程（HAIP）透明度報告框架；HAIP 報告框架 2.0 於 2026 年 5 月 28 日發布，擴大適用範圍至完整 AI 價值鏈（不限於前沿模型供應商）並簡化中小企業申報流程 1, 9, 10 OECD 負責任 AI 盡職調查指引（Due Diligence Guidance for Responsible AI） 國際 將「負責任商業行為（RBC）」六步驟盡職調查框架套用於 AI 價值鏈：政策內嵌、風險識別與評估、停止/預防/減緩、追蹤成效、對外溝通、補救措施 2026 年 2 月 19 日發布，為企業（含 AI 供應鏈上下游）辨識並處理 AI 負面影響之實務指引，與 OECD 跨國企業指導綱領銜接（詳見第 4.5 節） 4, 7 UNESCO AI 倫理建議書 國際（193 國） AI 倫理四大價值：尊重人權、多元包容、和平公正、環境永續；十大原則 2021 年 11 月通過，2024 年進行首次全球執行狀況評估（Readiness Assessment），顯示約 60% 會員國已啟動相關立法 10 美國白宮 AI 政策 美國 以促進創新與維持 AI 領導地位為主軸之聯邦政策 EO 14110（2023/10）於 2025 年 1 月被 EO 14179「移除美國 AI 領導地位之障礙」取代；2025 年 7 月 23 日白宮發布「Winning the Race: America’s AI Action Plan」，聚焦加速創新、AI 基礎建設與國際外交安全三大支柱，並指示 NIST 修訂 AI RMF；聯邦層級鬆綁之際，州級 AI 立法（如科羅拉多州 SB24-205）持續推進，形成多層次監管環境 7 G7 廣島 AI 程序與行為準則 G7 國家 先進 AI 系統開發者的國際行為準則，含 11 項自願承諾 2023 年 10 月發布；2024 年 G7 峰會持續推動並擴大至非 G7 夥伴國參與；2025 年加拿大 G7 輪值主席持續深化 AI 治理議題 1, 9 新加坡 AI Verify 亞太 AI 系統可信賴性測試框架，涵蓋透明度、公平性等九大面向 持續更新，已成為亞太地區重要的 AI 治理參考框架 6 中國《生成式人工智能服務管理暫行辦法》 中國大陸 生成式 AI 服務提供者之義務、內容安全、資料標註要求 2023 年 8 月施行；後續陸續發布《人工智能安全治理框架》等配套規範 10, 13 1. AI 治理總體架構（Governance Framework） 1.1 AI 治理目標 本公司 AI 治理制度之目標：
...