当 AI 开始影响求职、信贷、医疗、教育与政府服务，真正的问题已不再只是「AI 能不能用」，而是「谁决定、谁负责、人民如何理解与救济」。 国内已经有了基本法的方向，下一步要做的，是把原则变成可运行的制度。 ​从「AI 能做什么」走向「AI 可以决定什么」​ 生成式 AI 已快速进入日常生活。 履历筛选、信用评分、医疗辅助、学习评量、客服与政府服务，都可能出现 AI。 这代表 AI 的影响已从「提高效率」跨入「分配机会、形成判断与影响权利」的领域。 因此，AI 法律与伦理的内核问题也改变了。 当 AI 影响工作机会、信用条件、医疗照护、教育资源或公共服务时，谁应负责？ 当事人能否知道 AI 参与决策？

结果错误或带有偏误时，是否有人工覆核与申诉救济的机会？ 全球 AI 治理正从伦理宣示走向制度实作。 透明、公平、隐私、安全与问责，必须逐步转化为风险评估、数据治理、信息揭露、人类监督、事故通报与救济进程。 AI时代的制度准备。 （作者提供） 台湾已经有「基本法」，但真正的考验才开始 国内《人工智能基本法》已创建人本、透明、公平、安全与问责等治理方向，并涵盖永续福祉、人类自主、隐私与数据治理、资安、可解释、公平不歧视及问责。 这是必要起点，也宣示 AI 不能只以准确率、速度与成本衡量，更须尊重人格、保护数据并留下责任链。 然而，基本法的价值在于创建共同语言与治理方向。 下一步真正困难的是：哪些 AI 属高风险？ 上线前如何测试？

谁保存纪录、事故向谁通报？ 外部模型的提供者、部署者与用户如何分责？ 人民受不利影响时，又如何要求说明、覆核或救济？ 换句话说，国内现在已经从「要不要管 AI」进入「怎么把 AI 管好」的阶段。 法律不能只停留在抽象原则，而必须走进金融、医疗、教育、劳动、政府服务等具体场景。 欧盟经验：不是所有AI 都用同一把尺 欧盟《AI Act》值得借镜之处，在于采取风险分级。 不同用途与影响程度的 AI，不应承担相同义务。 低风险工具保留创新空间；涉及教育、就业、信用评估、关键基础设施、司法、移民等高风险情境，则提高风险管理、数据治理、纪录、人类监督、准确性与资安要求。 其背后是基本法律思想：管制强度应与可能损害相称。

若不分风险，可能让小型创新者承担过高成本，也可能让影响基本权利的系统只靠自律。 治理应把监管资源放在「高影响、高不可逆、高信息不对称」的场景。 (欧盟与国内比较如下图) AI治理规范比较表。 （作者提供） 第一个建议：高风险AI必须从「清单」走向「场景」 国内置立风险分类时，不宜只列产业名称。 「金融 AI」中，整理会议纪录与决定是否核准授信，对人民权益的影响完全不同；「教育 AI」协助产生教材，与决定入学、分班或奖助资格，也不能等量齐观。 更可行的方式是以「用途＋影响」判断风险：是否影响重大权利或机会？ 错误是否难以回复？ 当事人是否难以知道或挑战算法判断？ 是否大规模处理敏感数据？ 答案越多为「是」，治理强度就应越高。

对高风险 AI，应逐步创建上线前影响评估、数据品质与偏误测试、人工覆核、操作纪录、重大事件通报、定期再评估及外部稽核。 这些要求也是降低企业诉讼、声誉与营运风险的保险。 第二个建议：公部门应该比民间更早做到「可说明、可申诉」 政府使用 AI 与一般商业服务不同。 当 AI 协助判断补助、福利、教育资源、执照许可或执法排序时，背后链接的是公权力；人民不是单纯「用户」，而是可能受行政决定影响的权利主体。 公部门导入 AI 前至少应回答：系统影响谁？ 可能造成何种不利后果？ 谁能介入或推翻机器判断？ 人民如何知道、质疑并取得救济？ 若没有答案，再高的准确率也不足以证明制度已准备好。 国内可进一步制度化公部门 AI 风险评估。

凡可能重大影响个人权利的系统，都应留下基本权影响评估纪录、创建人工覆核、公开必要信息并提供可近用的申诉窗口。 政府先做到，才有正当性要求企业遵循。 第三个建议：深伪伤害的不只是个人，而是社会信任 深伪不只是「真假难辨」的技术问题。 仿冒声音可成为诈欺工具，伪造影像可能侵害人格与名誉，非自愿亲密影像可能造成性剥削，伪造企业主管或公共人物发言也可能影响金融市场、选举与公共秩序。 其内核法益是人格、财产、隐私与公共信息信任。 治理不宜只要求「AI 生成内容要标示」，而应分级处理：一般合成内容清楚揭露；金融、医疗、广告、儿少与公共议题提高验证要求；涉及诈欺、冒名、性剥削或公共安全时，创建快速处理、证据保全与执法衔接。

真正值得警惕的是，当社会充斥真假难辨的内容，人们最后可能不是「相信假的」，而是「什么都不再相信」。 这种信息信任的崩解，才是深伪对民主与市场最深层的风险。 第四个建议：训练数据不能只有「能不能用」的二分法 生成式 AI 的训练数据争议，反映创作、隐私、产业竞争与创新的冲突。 全面禁止可能限制研究与本土模型发展；完全放任又可能使创作者、新闻业者与数据主体失去控制与收益基础。 未来需要的不是「全部可以」或「全部不可以」，而是可操作的数据治理，例如授权模式、权利保留与退出标记、集体授权试点，以及可供查看的治理纪录。 企业不必公开商业机密，但至少应能说明数据源、权利处理与风险控制进程。

对企业而言，关键不只是模型参数，而是能回答：数据从哪里来？ 权利如何处理？ 发生争议时能否追溯？ 从法理看AI：真正要保护的是「人的可决定性」 从法理看，AI 治理不是反对自动化，而是避免人被自动化结果完全支配。 隐私保障个人对数据与生活领域的控制；公平保障机会平等；透明与可解释保障知情与质疑；人类监督与申诉救济则确保个人仍可要求「由人重新看一次」。 因此， AI 时代最值得强调的法益，可以概括为「人的可决定性」。 科技可以协助判断，但不能让人失去理解、选择、拒绝、修正与救济的空间。 AI 可以提高行政与企业效率，但效率不能成为剥夺进程保障的理由。

台湾下一步：把七项原则变成七种能力 国内已经有基本法的原则，下一阶段不妨把抽象原则转成组织真正具备的治理能力：能辨识风险、能管理数据、能测试偏误、能留下纪录、能安排人工监督、能处理事故，也能让受影响的人提出异议与获得救济。 AI 治理不只是法务或信息部门的工作。 董事会与高端管理层须创建风险胃纳，业务单位界定用途，信息与资安管理模型与数据，法遵与法务设计责任与救济，稽核则确认制度是否真正运作。 政府应优先完成高风险 AI 场景分类、角色责任、影响评估、事故通报、深伪处置、公部门基本权影响评估与申诉救济；企业则应创建 AI 清册、用途分级、数据治理、第三方模型管理与事件应变。 越早创建治理能力，未来合规成本反而越低。

结语：AI 的竞争力，最后仍取决于信任 AI 的长期竞争力不只来自更大的模型、更快的芯片或更多算力。 当 AI 进入金融、医疗、教育、政府与生活，社会是否愿意使用，取决于人们是否相信：数据不被滥用、系统不任意歧视、错误有人负责、重大决定可以理解，权利受损时仍有救济。 所以，AI 治理真正要解决的，不是「如何阻止科技前进」，而是「如何让科技前进时，人仍然站在制度的中心」。 国内已经有了原则性的起点。 接下来最重要的工作，是把原则写进流程、把责任放进组织、把救济留给人民。 当创新可以被说明、被监督、被追责，信任才会累积；而信任，才是 AI 时代最难拷贝、也最有价值的基础建设。 ＊作者为东吴法学院兼任副教授，本文由鑫传媒提供，授权转载。