AI出錯時，企業拿得出什麼證據，證明自己管得住？ 2026年3月3日，保險業公會修正《保險業運用人工智慧系統自律規範》（下稱AI自律規範），可將其要求整理為上線前、開發導入、上線後與定期查核四個環節。 筆者先前談過AI治理的原則，也談過如何釐清誰負責；原則有了，責任有人扛，下一關就是證據。 AI自律規範適用於與消費者直接互動且影響交易權益、提供客戶服務且影響交易權益，或對營運有重大影響的AI應用，例如網路投保、自動理賠。 一般企業不必遵循，但可借鏡其設計，管控AI帶來的風險。

上線前：留下評估與各單位意見 依AI自律規範，提供服務前應以風險為基礎建立管理與定期檢視機制，並視風險大小，由具AI專業的獨立第三人出具評估報告，內容涵蓋資料品質、模型品質、系統安全性，以及公平性、透明性與可解釋性。 資安、法遵與風控單位也要就資料治理、消費者權益保障與非預期事件的應變措施提出意見。 哪些AI應列為高風險？ 筆者建議至少涵蓋兩類：一是營運核心系統，即AI一旦出錯或停擺，就衝擊核心業務、大量客戶權益或公司信譽者，如保險業的核保與理賠決策；二是涉及巨量個資的系統，一旦外洩或誤用，影響範圍廣。 企業可再依自身業務補充判準。 高風險AI應用，都應留有一份上線前評估紀錄，載明用途、資料來源、風險等級與各單位意見。

這份紀錄，就是業務單位為何核准、管理單位如何挑戰的證據。 開發與導入：留下文件與軌跡 自行開發或優化AI系統，應保存必要的技術文件與紀錄，包括影響決策的重要資料、模型或演算法，確保必要時可被查驗；自行或委託研發時，也應提出可解釋性報告。 使用第三方AI系統，則應確認業者留存運算軌跡，並以契約明訂雙方權責。 直接採用現成AI服務的企業，未必拿得到同等文件，因此採購時就要問清楚：供應商能留存哪些紀錄？ 是否配合查核？ 這個問題在簽約前不問，出事後就只能自己承擔。 上線後：留下監控與處置紀錄 AI上線不是終點。 規範要求持續監控運作結果，並建立資安防護，防範駭客攻擊、惡意軟體等威脅。

筆者建議，監控不能只是「有在看」，而要留下異常事件、處理過程與改善結果的紀錄；沒有紀錄，管理就無從證明。 定期查核：驗證證據是否可信 規範還要求將AI相關事項納入內控內稽制度，並定期查核。 證據存在，不等於證據可信，它的價值在於讓獨立於業務之外的人也能檢驗：內部稽核、外部評估者，乃至主管機關。 合理的分工是：業務單位與風控、法遵、資安等管理單位，負責產生並保存證據；內部稽核獨立查核證據是否完整、控制是否確實運作（即三道模型中的第一、二道防線負責產生與保存證據，第三道防線負責獨立驗證）。

對尚未建立機制的企業，筆者建議從三件事起步：為高風險AI(如：直接影響客戶權益、公平待客或重要決策的AI)建立上線前評估紀錄；在採購與開發階段，確認技術文件與運算紀錄可以取得；每年由內部稽核或其他獨立單位，抽查證據是否完整、控制是否運作。 成熟的AI治理，不保證AI永不出錯，而是出錯時，企業能及時發現、有效控制、追究責任並持續改善。 治理的底氣，不在宣稱管得住，而在被檢驗時拿得出來。 ＊作者為國立中正大學企業管理學系博士研究生