當企業大量使用生成式AI、AI模型與自動化決策系統，一個關鍵問題浮現：如果AI產生錯誤、個資外洩、模型偏誤，甚至造成重大營運或法令遵循風險，到底誰要負責？ 答案不能是「大家都有責任」。 2026年5月6日，金管會修正發布《金融控股公司及銀行業內部控制及稽核制度實施辦法》，第9條要求金融控股公司及銀行業建立「內部控制三道模型」，使各單位瞭解其在機構整體風險與內部控制架構中的職責與功能，並強化內部控制工作單位與內部稽核單位的溝通協調。 這項修法的法定適用對象為金融控股公司及銀行業，並非一般企業的AI專法；但其所揭示的責任分工、風險監督與獨立確信邏輯，仍可作為其他企業建構AI治理架構的重要參考。

從「三道防線」到「三道模型」 過去，內部控制常以「三道防線」理解：第一道負責管理風險，第二道提供監督與挑戰，第三道則由內部稽核提供獨立確信。 國際內部稽核協會(IIA)於2020年將「三道防線」重新定位為「三道模型」，強調治理機構、管理階層、風險與法令遵循等第二道功能，以及內部稽核之間的角色責任與協作。 2026年7月，IIA進一步發布立場聲明，強調問責、獨立性、協調、確信與建議如何共同支持有效治理。 三道模型不是依序交件的三個關卡，也不是第一道完成工作後，再交由第二道和第三道逐層接手；它是一套釐清責任、促進協作並維持獨立確信的治理架構。

在這套架構下，管理階層擁有並管理風險，第二道提供專業支持、監督與挑戰，第三道則以獨立、客觀的立場提供確信與建議。 協作不會消除責任，資訊共享也不能取代權責歸屬。 AI治理的責任分工 AI治理不能只靠單一部門，也不能用「大家都有責任」取代明確問責。 較完整的架構，是由治理機構負責監督與重大決策，管理階層及第一道角色負責日常使用與風險管理，第二道角色提供專業監督與挑戰，第三道角色提供獨立確信。 一、治理機構：負責監督與重大決策 董事會不必親自操作AI，但應負責治理監督、風險偏好及重大AI風險決策，並確保企業建立適當的AI治理架構、重大風險通報機制及清楚的決策權責。

高階管理階層則應將治理要求轉化為政策、資源、流程與控制，並對AI運用的管理結果負責。 重大AI風險應依其重大性及企業風險承受度，提報至具備決策權限的治理層級，作成接受、降低、限制或停止該項AI應用的判斷。 二、第一道角色：負責日常AI使用與控制 第一道角色包括實際使用AI的業務、資訊及其他營運單位，也是AI風險日常管理的第一責任主體。 第一道必須回答幾個基本問題：AI為何使用？ 誰可以使用？ 使用哪些資料？ 輸出是否需要人工覆核？ 發生錯誤時，誰可以停止、修正或撤回？ 重點風險包括模型、資料、作業、資安、個資、法令遵循及治理責任等面向。

生成式AI普及後，未經授權使用外部AI服務，或將公司機密、營業秘密及客戶資料輸入外部模型，已成為企業常見且容易被忽略的風險缺口。 若發生前述情形，可能造成資料外洩、個資違法利用或營業秘密侵害；若缺乏適當的輸出覆核，AI產生的錯誤內容也可能直接進入業務流程，進一步造成客戶、財務、營運或法令遵循風險。 三、第二道角色：提供監督與專業挑戰 風險管理、法令遵循、資安及個資保護等功能，並不是代替第一道管理風險，而是建立標準、提供監督、進行監測並提出專業挑戰。 組織運用AI時，應依個別使用情境採風險基礎方法評估，考量是否直接提供客戶服務或對營運有重大影響、個人資料使用程度、自主決策程度、系統複雜性、利害關係人影響及救濟選項等因素。

並要求組織依風險評估結果建立適當的風險管理與控制措施，以及定期審查機制；定期檢視時，還應確認AI系統是否符合原始使用目的及原定風險等級。 企業可以先辨識AI用途的風險等級，再決定人工覆核密度、資料使用邊界、監控方式、事件通報及退場機制。 四、第三道角色：提供獨立確信 內部稽核應以獨立、客觀及風險導向的立場，評估AI治理、風險管理與控制的設計及運作是否妥適有效。 內部稽核可以就AI治理提出建議、提供諮詢或協助辨識風險，但不應替管理階層核准AI用途、設定風險承受度、執行管理性控制或接受風險。 若內部稽核曾參與相關制度設計或提供管理性協助，後續查核仍應注意自我覆核風險，必要時安排適當的獨立覆核。

溝通協調不等於共同決策，更不等於內部稽核承擔管理責任。 第三道可以協助企業看見風險，卻不能取代管理階層作成治理判斷。 共同治理，不等於共同負責 成熟的三道模型不是第一道做完、交給第二道，再交給第三道，而是各自在權責範圍內同步運作，透過資訊共享、專業挑戰、獨立確信與缺失改善形成回饋。 真正的共同治理，不是把責任模糊化，而是讓責任有明確歸屬、風險資訊充分共享；權責不混淆，但專業可以相互挑戰；決策不外包，治理判斷必須可追溯。 第一道不能把責任推給第二道；第二道不能因提出監督意見，就取代第一道成為營運風險的所有人；第三道不能因熟悉業務，就取代管理階層決策。

三道模型追求的，不是以「大家負責」掩蓋責任歸屬，而是共同看見、相互挑戰，並由各責任主體對其職責範圍負責。 AI時代，需要可問責的治理 AI治理成熟度，不應只看企業導入多少AI、建立多少制度，而應檢視幾個更基本的問題： 誰承擔並管理AI風險？ 誰能提出專業挑戰？ 誰能提供獨立確信？ 治理機構能否取得可靠資訊，對重大AI風險作成明確且可追溯的判斷？ 明天召開高管會議時，不妨問問團隊：我們的AI應用，第一道、第二道與第三道真的各司其職了嗎？ 如果答案不清楚，即使企業已經建立AI政策、風險管理制度與稽核程序，治理仍可能只是「制度上存在」。 AI可以替企業分析、預測與決策，卻不能替企業承擔治理責任。

成熟的內控，不僅是制度化管理，更要在風險被共同看見時，仍然有人願意清楚說明：「這件事，我負責。 」 ＊作者為博士研究生