AI出错时，企业拿得出什么证据，证明自己管得住？ 2026年3月3日，保险业公会修正《保险业运用人工智能系统自律规范》（下称AI自律规范），可将其要求整理为上线前、开发导入、上线后与定期查核四个环节。 笔者先前谈过AI治理的原则，也谈过如何厘清谁负责；原则有了，责任有人扛，下一关就是证据。 AI自律规范适用于与消费者直接交互且影响交易权益、提供客户服务且影响交易权益，或对营运有重大影响的AI应用，例如网络投保、自动理赔。 一般企业不必遵循，但可借镜其设计，管控AI带来的风险。

上线前：留下评估与各单位意见 依AI自律规范，提供服务前应以风险为基础创建管理与定期查看机制，并视风险大小，由具AI专业的独立第三人出具评估报告，内容涵盖数据品质、模型品质、系统安全性，以及公平性、透明性与可解释性。 资安、法遵与风控单位也要就数据治理、消费者权益保障与非预期事件的应变措施提出意见。 哪些AI应列为高风险？ 笔者建议至少涵盖两类：一是营运内核系统，即AI一旦出错或停摆，就冲击内核业务、大量客户权益或公司信誉者，如保险业的核保与理赔决策；二是涉及巨量个资的系统，一旦外泄或误用，影响范围广。 企业可再依自身业务补充判准。 高风险AI应用，都应留有一份上线前评估纪录，载明用途、数据源、风险等级与各单位意见。

这份纪录，就是业务单位为何核准、管理单位如何挑战的证据。 开发与导入：留下文档与轨迹 自行开发或优化AI系统，应保存必要的技术文档与纪录，包括影响决策的重要数据、模型或算法，确保必要时可被查验；自行或委托研发时，也应提出可解释性报告。 使用第三方AI系统，则应确认业者留存运算轨迹，并以契约明订双方权责。 直接采用现成AI服务的企业，未必拿得到同等文档，因此采购时就要问清楚：供应商能留存哪些纪录？ 是否配合查核？ 这个问题在签约前不问，出事后就只能自己承担。 上线后：留下监控与处置纪录 AI上线不是终点。 规范要求持续监控运作结果，并创建资安防护，防范黑客攻击、恶意软件等威胁。

笔者建议，监控不能只是「有在看」，而要留下异常事件、处理过程与改善结果的纪录；没有纪录，管理就无从证明。 定期查核：验证证据是否可信 规范还要求将AI相关事项纳入内控内稽制度，并定期查核。 证据存在，不等于证据可信，它的价值在于让独立于业务之外的人也能检验：内部稽核、外部评估者，乃至主管机关。 合理的分工是：业务单位与风控、法遵、资安等管理单位，负责产生并保存证据；内部稽核独立查核证据是否完整、控制是否确实运作（即三道模型中的第一、二道防线负责产生与保存证据，第三道防线负责独立验证）。

对尚未创建机制的企业，笔者建议从三件事起步：为高风险AI(如：直接影响客户权益、公平待客或重要决策的AI)创建上线前评估纪录；在采购与开发阶段，确认技术文档与运算纪录可以取得；每年由内部稽核或其他独立单位，抽查证据是否完整、控制是否运作。 成熟的AI治理，不保证AI永不出错，而是出错时，企业能及时发现、有效控制、追究责任并持续改善。 治理的底气，不在宣称管得住，而在被检验时拿得出来。 ＊作者为国立中正大学企业管理学系博士研究生