歐盟 AI 法案（EU AI Act）
檔案下載：https://claire-chang.com/wp-content/uploads/2025/10/ST-5662-2024-INIT_en.pdf
從2019年到2024年，各國開始陸續推出AI相關管理原則、規則及法規，其中歐盟 AI 法案（EU AI Act）是全球第一個全面性、強制性的 AI 法規，不像美國、日本、台灣大多數還停留在「指導原則」或「政策草案」。它規定了 風險等級分類（不可接受、高風險、有限、低風險），並明確列出每一級需要遵守的義務，例如：合規文件、透明度、人為監督、罰則。
一旦通過，廠商如果要進入歐盟市場，就必須遵守，否則會面臨高額罰款（最高可達全球營業額的 7%）。
歐盟 AI 法案四個風險等級
歐盟的 AI 法案（EU AI Act） 中，把 AI 系統依風險程度分為四個等級：不可接受風險（Unacceptable Risk）、高風險（High Risk）、有限風險（Limited Risk）、低／極小風險（Minimal / No Risk）。
| 風險等級 | 法規文字 / 規範 | 主要義務或處置 | 範疇概述與例子 |
|---|---|---|---|
| 不可接受風險（Unacceptable Risk） | 明令禁止使用（Article 5） | 一律禁止市場投放或使用 | 涉及操控、剝削、社會評分、實時公共場所人臉辨識等功能的 AI 系統被視為對人權或社會構成嚴重威脅，如用 AI 操控思想、用弱點操控、社會評分等。 (artificialintelligenceact.eu) |
| 高風險（High Risk） | 需受監管、合規義務（Chapter III） | 必要的文件、風險評估、透明性、人為監督、符合性評估等義務 | 被列在 Annex III 的應用與在受安全法規控制產品中的 AI 系統屬於此類。例：生物辨識、關鍵基礎設施、自動化招聘、信用評分、教育考試評估、公共服務等。 (artificialintelligenceact.eu) |
| 有限風險（Limited Risk） | 有義務進行標示、告知使用者（如 Article 50） | 透明性義務（需讓使用者知道自己在與 AI 互動） | 如聊天機器人、內容生成工具（不是在高風險用途下）等。使用者要被告知正在與 AI 互動。 (lowenstein.com) |
| 低／極小風險（Minimal / No Risk） | 幾乎沒強制義務 | 可自由使用（但仍要遵守一般法律規範） | 一般 AI 應用、垃圾郵件過濾、影像後製輔助工具等屬於此級。法律上不會因為這些用途強加額外義務。 (lowenstein.com) |
不可接受風險包括以下例子：
- 社會評分 (Social Scoring): 禁止公共或私人機構使用AI系統對個人進行通用目的的社會評分。法案認為這種做法可能導致歧視性結果，並對個人造成不利或不公的待遇。
- 情緒識別 (Emotion Recognition): 禁止在工作場所和教育機構中使用情緒識別系統。這項禁令的目標非常明確，旨在保護員工和學生的隱私與尊嚴。然而，法案也設有例外，允許出於醫療或安全原因使用此類技術。
- 無差別抓取臉部圖像 (Untargeted Scraping of Facial Images): 禁止為了建立或擴展臉部辨識資料庫，而從網際網路或閉路電視（CCTV）畫面中無差別地抓取臉部圖像。此舉旨在遏制大規模監控的基礎設施。
- 工作與教育場所的情緒識別：禁止在工作場所和教育機構使用 AI 系統推斷自然人的情緒，但出於醫療或安全原因的系統除外（例如監測飛行員疲勞狀態）。
- 基於敏感特徵的生物分類：禁止利用生物特徵數據推斷個人的種族、政治觀點、工會成員資格、宗教或哲學信仰、性生活或性取向，並對其進行分類。此禁令不包括執法領域對合法獲取數據集的標記或過濾。
- 個人預測性警務：禁止僅基於對自然人的剖析或評估其人格特質，來評估其犯罪風險的 AI 系統。但用於支持人類評估個人是否涉入犯罪活動的系統則不在此限。
- 執法部門的即時遠端生物辨識：原則上禁止執法部門在公共可及空間使用「即時」遠端生物辨識系統。僅在極少數嚴格定義的例外情況下，並經司法或獨立行政機關授權後方可使用。
高風險系統的例子：
- 生物辨識與分類： 遠端生物辨識系統（包括「事後」辨識）、基於敏感特徵的生物分類系統及情緒識別系統。
- 關鍵基礎設施的管理與運營： 用於道路交通、水、瓦斯、暖氣和電力供應等關鍵基礎設施安全組件的 AI 系統。
- 教育與職業培訓： 用於決定入學、評估學習成果或在考試中監測作弊行為的系統。
- 就業、勞工管理與自僱： 用於招聘、晉升或解僱決策、分配任務及監控員工表現的系統。
- 基本服務的取得與使用： 用於評估獲得公共援助、信貸評分、健康與人壽保險風險定價，以及緊急應變服務調度的系統。
- 執法： 用於評估個人風險、評估證據可靠性或進行犯罪剖析的系統。
- 移民、庇護與邊境管制： 用於評估尋求庇護者或簽證申請者風險、審查申請或在邊境進行身份識別的系統。
- 司法行政與民主程序： 用於協助司法機關研究和解釋事實與法律，或影響選舉結果的系統。
了解你的 AI 系統的風險層級
高風險的 AI 產品可能為與會影響相關人員的權益的領域。如果只是公司內部知識庫，員工自己查詢、學習，屬於 輔助性工具，並沒有直接影響「職涯發展」「升遷決策」「資格審查」，通常 不會被視為高風險。
但如果系統輸出結果被用來「決定誰能升遷、誰能參加專案、誰要接受懲戒」，那就可能觸碰到 職涯與專業資格決策，屬於高風險範疇。
我們可以根據以下角度來判定它屬於哪個風險等級：
影響範圍與決策權重
- 若 AI 會自動替代人的關鍵決策（例如自動選擇客戶、訂單拒絕或處理） → 有可能落在 高風險。
- 若只是輔助、生成文字、摘要、報表等 → 通常是 有限風險 或 低風險。
是否涉及個人資料 / 敏感資料 / 隱私
- 若 AI 要處理客戶資料、個資、貨主資料等，並對這些資訊做評估、分類、決策 → 風險較高。
- 若僅處理公開資料／匿名化資料 → 風險可能屬於低／有限。
可解釋性與可控性
- 如果 AI 系統的決策過程不透明、難以人工監督，那麼該系統傾向落在高風險。
- 如果是比較易於理解、且人工可以介入修正的系統，風險較低。
法律與監管環境
- 若當地或客戶所在國對某些用途（如信用評估、生物辨識）已有限制或法規，AI 在這些用途上的風險會被視為高。
- 若是純內部輔助用途，不對外公開或不與法令敏感用途掛鉤，那可能屬於有限或低風險。
法案第29a條引入了「基本權利影響評估」（Fundamental Rights Impact Assessment, FRIA）的概念。這意味著特定機構（如政府機關、銀行、保險公司）在部署這些高風險AI系統之前，必須強制性地評估該系統對公民基本權利的潛在衝擊。以下為問卷範本，以協助相關機構履行此項評估。
高風險系統的主要義務
高風險 AI 系統的供應商必須確保其系統在投放市場前符合以下強制性要求：
- 風險管理系統： 建立並維護一個貫穿 AI 系統整個生命週期的持續性風險管理系統。
- 資料與資料治理： 用於訓練、驗證和測試的資料集必須高品質、具代表性，並盡可能完整且無錯誤，同時應採取措施識別和減輕潛在的偏見。
- 技術文件： 準備詳細的技術文件，證明系統符合要求，並供主管機關審查。
- 紀錄保存： 系統應能自動記錄事件（日誌），以確保其運作的可追溯性。
- 透明度與使用者資訊： 向部署者提供清晰完整的使用說明，使其能夠理解系統的能力、限制並進行適當使用。
- 人類監督： 系統的設計應確保能由自然人進行有效監督，包括內建「停止」按鈕等干預機制。
- 準確性、穩健性與網路安全： 系統應達到與其預期目的相稱的準確性、技術穩健性及網路安全水平，能抵禦錯誤、故障及惡意攻擊。
有限風險 AI 系統的透明度義務
對於風險較低的特定 AI 系統，法案第四章第 52 條規定了透明度義務，以確保人們能夠做出知情的決定：
• 與人類互動的系統： 如聊天機器人，必須告知使用者他們正在與 AI 系統互動，除非這一點在當時情境下顯而易見。
• 情緒識別或生物分類系統： 部署者必須告知受其影響的自然人該系統正在運作。
• 生成式 AI 內容：
- AI 系統生成的合成內容（如音訊、圖像、影片）應被標記為人工生成或操縱，以便能夠被偵測。
- 部署者使用 AI 系統生成或操縱的圖像、音訊或影片內容，若構成「深度偽造」（deepfake），必須明確揭露其為人工生成。此義務不適用於明顯的藝術、創意或諷刺性作品。
- 若 AI 生成的文本是為了向公眾傳播公共利益相關事項而發布，也必須揭露其為人工生成，除非經過人工審查且有法人或自然人對其內容承擔編輯責任。
風險評估重點方向
| 區塊 | 問題或欄位方向 | 說明 / 目的 |
|---|---|---|
| 系統用途與流程描述 | – 該 AI 系統將在什麼流程中使用？ – 使用頻率、時間範圍？ | 用來讓評估者了解 AI 的應用範圍，以判斷潛在風險。 |
| 受影響對象 | – 哪些自然人或群體會受到影響？ – 是否有脆弱族群？ | 評估哪些權利可能被影響，以及影響程度。 |
| 風險識別 | – 哪些基本權利可能受到侵害？（如隱私、尊嚴、非歧視、言論自由等） – 每種風險的可能性與嚴重性？ | 必須明確列出可能風險與對應權利。 |
| 人為監督 / 控制措施 | – 有哪些人工監督機制？ – 什麼情況人類可以介入？ | 要確保即使 AI 做出決策，也有人能校正或阻止錯誤。 |
| 緩解措施與治理安排 | – 若風險發生，有哪些補救措施？ – 投訴機制、內部治理機制等安排？ | 評估者要看到公司有合理的措施來減輕影響。 |
| 更新與再評估機制 | – 若情況變動是否需重新評估？ – 與先前評估是否可重用？ | 法案允許在類似情況下重用，但若有變動須更新。 (AI Act) |
| 與 GDPR / DPIA 的銜接 | – 是否已有資料保護影響評估 (DPIA)? – 哪些欄位可重用？ | 法案允許把 DPIA 的部分結果納入 FRIA 中。 (aoshearman.com) |
高風險 AI 系統合規要求總覽
一、治理與管理架構
1. 風險管理系統（Article 9）
- 持續迭代：建立、實施、文件化並持續更新。
- 核心任務：
- 風險識別與評估（正常使用與可預見誤用）。
- 採取設計與技術措施減少風險。
- 無法消除的風險 → 設計緩解與控制措施。
- 定期測試與審查有效性。
- 特別考量：必須考慮兒少與脆弱群體。
- 對應的方法論或框架：
- ISO/IEC 42001:2023（AI Management System，首個 AI 專屬管理系統標準）
- ISO 31000（風險管理原則與架構）
- ISO 14971（醫療器材風險管理，若是醫療應用 AI）
2. 品質管理系統（Article 17）
- 完整 QMS：涵蓋政策、程序、指示。
- 重點要素：
- 合規策略（含系統修改管理）。
- 系統設計與開發控制。
- 數據管理程序。
- 上市後監控（Article 61）與事故通報（Article 62）。
- 對應的方法論或框架：
- ISO/IEC 42001:2023（內建品質與合規要求）
- ISO 9001（通用品質管理系統）
- ISO/IEC 27001（資訊安全管理系統，特別是數據安全部分）
- ISO/IEC 23894（AI 風險管理指導）
二、數據與可追溯性
3. 數據與數據治理（Article 10）
- 品質要求：數據必須相關、具代表性、完整、減少偏見。
- 環境脈絡：考慮地理、行為、功能環境差異。
- 特殊數據：為偏見校正可例外處理 GDPR 第 9 條的敏感數據，但須符合保護措施。
4. 技術文件（Article 11）
- 投放市場前需完成並持續更新，內容包含：
- 系統概況與用途。
- 開發過程、演算法、資源、數據與測試描述。
- 風險管理與上市後監控規劃。
5. 記錄保存（Article 12）
- 全生命週期日誌：必須能自動記錄運作事件，用於風險追蹤與監管。
三、設計與性能要求
6. 透明度與資訊提供（Article 13）
- 使用說明：包含提供者資訊、系統性能限制、風險情境、人為監督措施。
7. 人為監督（Article 14）
- 確保人類可有效監督，避免自動化偏差。
- 操作者可隨時干預、停止、覆蓋輸出。
- 遠端生物辨識 → 至少兩名專業人員核實結果。
8. 準確性、穩健性與網路安全（Article 15）
- 系統必須具備高彈性與防禦能力。
- 特別防範：數據投毒（data poisoning）、對抗性攻擊（adversarial attacks）、反饋循環偏差。
四、市場合規義務
9. 合格評估與宣告（Article 43, 48, 49）
- 投放市場前須經 合格評估（內部或第三方）。
- 提供者需出具 符合性宣告，並貼附 CE 標誌。
10. 註冊與資訊義務
- 歐盟資料庫登錄：高風險系統必須登錄。
- 公共機關或提供公共服務者：必須在使用前註冊。
- FRIA（Article 29a）：公共機關、銀行、保險等需先完成 基本權利影響評估。
台灣現行已經落實或在推動的 AI／相關法規與政策
| 領域 | 名稱 / 文書 | 性質 / 強制力 | 內容重點 |
|---|---|---|---|
| 公部門 AI 應用 | 行政院及所屬機關（構）使用生成式 AI 參考指引 | 指引性質 | 要求公部門在使用生成式 AI 時要遵守資通安全、個人資料保護、著作權、侵害人格權等規定。 (nstc.gov.tw) |
| 公部門 AI 應用 | 公部門人工智慧應用參考手冊（草案） | 草案 / 參考 | 數位發展部提供給各機關作為 AI 應用的參考，包含 AI 應用原則、風險考量、落地策略等。 (moda.gov.tw) |
| 基本法草案 | 人工智慧基本法草案 | 草案 | 希望建立 AI 的基本原則、風險管理框架、保障個人資料與隱私、鼓勵創新。 (join.gov.tw) |
| 金融業專門指引 | 金融業運用人工智慧 (AI) 指引 | 行政指導性質 | 為金融機構導入 AI 時提供風險管理、透明性、合規控制等具體建議。 (fsc.gov.tw) |
| 金融業規範 | 金融機構運用人工智慧技術作業規範 | 業界自律 / 規範性 | 針對銀行業，訂定 AI 實際運用時的風險控管、個資保護、模型治理、透明揭露等規範。 (ba.org.tw) |