台灣的 AI 風險分類框架：你的 AI 落在哪一格

先講一句：這篇不是法律意見。後半段的燈號判斷法是我自己整理的，不是官方分級；重大的事找律師。

數位發展部的「人工智慧風險分類框架」在 7 月 7 日發布了 v1.0。我把 23 頁讀完，第一個感想是：它寫得很完整，但不是寫給你用的。它的規範主體是各部會，企業只是「參考」；它列了三大類 20 項風險，卻沒有告訴一家 30 人的公司「我們用 AI 篩履歷，到底算不算高風險」。

可是它有兩樣東西非常好用。一個是判斷原則：不考慮你現有的任何防護措施，問這個用法有沒有可能造成嚴重危害，嚴重危害指六種：國家安全、基本權利、生命安全、財產保障、社會秩序、生態環境。另一個是附錄 2 的「嚴重危害例示表」，雖然註明只是例示，但它把抽象的風險落成了很具體的畫面：招募和入學的系統性差別待遇、信用評等被拒卻沒有申訴管道、AI 代理自己執行未經授權的金融交易。

我照這兩樣東西，整理出一套企業自己就能判斷的方法。

第一題：AI 的結果會不會直接決定
        某個人的權益、安全或錢？
          是 → 紅燈（高風險候選）
          否 ↓
第二題：結果會不會直接到外面的人手上，
        或 AI 會自己動手（寄出、下單、改系統）？
          是 → 黃燈（對外或會動手）
          否 → 綠燈（內部草稿）

兩個問題，三個燈號

第一題抓的是框架說的「嚴重危害」最常見的入口。對照附錄 2 的例示，企業最容易碰到的就是這幾種：決定誰被錄取、誰的申請通過、誰拿到多少錢、誰的身體要怎麼處理。只要 AI 的輸出會直接影響這種決定，就先標紅，不管你們有沒有人在看。

這裡要特別說「不管有沒有人在看」。框架的原則是判斷風險時不算防護措施，我很同意，理由很實際：「有人覆核」在忙的時候，很容易退化成按確認鍵。框架自己也把「過度依賴」列成一項風險。先承認它本來多危險，再談你的覆核要做到什麼程度，順序不能反。

第二題分開的是兩種不同的麻煩。結果直接到客戶手上，錯了會被看見、被截圖；AI 自己動手，錯了往往收不回來。這兩種都還不到「嚴重危害」，但已經不能當內部草稿看待。

常見用法對照表

下面是我把中小企業最常見的 AI 用法，各自跑一遍兩個問題的結果。風險編號對應框架表 1，方便你回頭查原文。

我的判斷是，多數中小企業跑完，綠燈和黃燈會佔大多數，紅燈通常只有一兩個，而且往往落在人資或財務那一兩個流程。這就是重點：你不需要為所有 AI 用法寫文件，你需要把那一兩個紅燈找出來。

紅燈用法要做的四件事

框架在「應對風險」那一節列了很多工具，我挑出企業現在就做得到、而且不用花錢的四件。

寫一張盤點表。框架附錄 1 的三欄（用途、用了什麼技術、會影響誰）照抄，我建議自己再加兩欄：出錯時誰受害、他怎麼申訴。後兩欄寫不出來，就是你該先補的地方。

覆核要留下理由，不是按鈕。人看過 AI 的建議之後，要寫一句為什麼同意或不同意。寫得出理由的覆核才是覆核，只按確認的是蓋章。

給受影響的人一個出口。框架在管理措施裡寫了「申訴及救濟機制」。對企業來說就是一句話：被 AI 判斷影響的人，要找得到一個真人問「為什麼」。

每季抽查一次。從紅燈用法裡抽 20 筆，比較 AI 的判斷和人最後的決定差在哪。差很多，代表 AI 不可靠；完全沒差，要小心覆核已經變成蓋章。

黃燈只要兩個習慣：對外的東西標示 AI 生成，會動手的代理留紀錄。綠燈照常用。

跟你有什麼關係

把公司裡每一個 AI 用法列出來，用下面這段請 AI 幫你先跑一輪燈號，再自己逐條確認：

我會給你一份公司裡的 AI 用法清單。請逐項用兩個問題判斷燈號：
第一題：AI 的結果會不會直接決定某個人的權益、安全或錢（例如錄取、審核、計價、健康建議）？是 → 紅燈。
第二題：結果會不會直接到公司外面的人手上，或 AI 會自己執行動作（寄出、下單、改系統）？是 → 黃燈；否 → 綠燈。
判斷時不要考慮「有人會覆核」，覆核是之後的應對措施。
輸出表格：用法｜燈號｜判斷理由（一句）｜出錯時誰受害｜他現在有沒有地方申訴。
最後把紅燈的項目另外列出來，每項提醒我要補的是：盤點表、覆核理由、申訴管道、季抽查，哪幾項還沒有。
清單：（貼上）

有一件事我不打算裝懂：各部會之後會怎麼把框架變成有罰則的規範，現在沒人知道，也可能有我的燈號沒涵蓋到的行業特殊要求。但方向已經清楚了，先把紅燈找出來的公司，規範來的時候不會手忙腳亂。

框架寫給各部會，但它的原則企業用得上：不算防護，問會不會造成嚴重危害。我把它整理成兩個問題、三個燈號。會直接決定別人權益、安全或錢的是紅燈，對外或會自己動手的是黃燈，其他是綠燈。多數公司只需要把那一兩個紅燈找出來，補上盤點表、覆核理由、申訴管道和季抽查。

站內延伸

• 歐盟和台灣法規的整體方向 → 歐盟踩煞車、台灣剛起步
• 會動手的代理怎麼寫邊界 → 交辦時沒寫不准做什麼
• 篩選類工作怎麼用 AI 才穩 → 找方法AI 履歷初篩

來源： 數位發展部：人工智慧風險分類框架 v1.0（2026-07-07 版本與日期、規範主體為目的事業主管機關、表 1 風險類型 20 項與編號、3.3.2 不考慮現有措施的固有風險原則、3.3.3 六種嚴重危害、3.4.1 管理措施中的申訴及救濟機制與可追溯紀錄、附錄 1 盤點表三欄、附錄 2 嚴重危害例示：招募與入學差別待遇、信用評等無申訴、救助金審核缺乏公正程序、代理未經授權金融交易、醫療自動化決策延誤）；全國法規資料庫：人工智慧基本法（第 16 條原文）。燈號判斷法與對照表為作者依上述原則自行整理，非官方分級。本文非法律意見。