香港人工智能總會發布AI管治指引：AI代理列高風險　企業90天內須建立基礎管治

香港人工智能總會（AIHK）日前發布《企業及機構負責任採用人工智能指引》，為機構提供一套實務的AI管治框架，協助其在AI應用由員工日常工具迅速擴展至可在系統內執行操作的AI代理（AI Agent）之際，建立有效的治理機制。這份自願性指引由AIHK及其安全及管治委員會制訂，委員會匯聚來自香港大學、香港科技大學、香港浸會大學及嶺南大學等院校的學者，將廣泛的AI管治及風險考量整合為單一參考基準。

指引指出，目前大量機構已採用人工智能，但相應管治框架未能跟上步伐：各監管機構的指引相對分散，不少機構對AI哪些用途需要更嚴格控制、一旦出錯應由誰承擔責任等問題感到迷茫，導致應用不是停滯於試點階段，就是在缺乏安全防護下盲目擴展。指引正是針對這一「僵局」而設。

三大優先事項

指引為剛起步或期望加強AI管治的機構列出三大優先事項：

一、董事局及行政管理層面設立明確問責制，並涵蓋第三方AI科技供應商。 指引建議由董事局監督，指定一名行政人員負責推行AI應用，並建立全機構通用的AI應用中央登記冊。值得留意的是，指引明確指出向供應商採購AI並不能轉移機構的使用責任，機構部署前須對供應商進行盡職審查。對於大量採用外購AI工具的香港企業而言，這個提醒尤其重要——部署及使用的責任最終仍落在企業自身。

二、按風險級別採取相應管控措施，特別關注AI代理。 每個AI使用個案需歸類至三個風險級別：例如內部文案草擬工具的管控要求，會遠低於影響信貸審批、招聘或醫療決策的系統；而連接至機構內部系統的AI代理，應至少列為「高風險」級別處理。AI代理能代表機構執行多步驟任務，管治因此不能只審核最終產出，還須監督代理實際採取的行動——同一工作流程內，代理可能運用敏感數據、使用第三方軟件、生成涉及知識產權問題的內容，甚至衍生交易，一旦早期出錯，問題可能在人介入前已逐步擴大。

三、階段性推行，90天內啟動。 機構毋須先建立成熟的管治機制才開始使用AI。指引制定四階段路線圖，機構可先由90天內可建立的基礎管治着手——包括明確問責制、獲批工具清單及數據使用許可——再逐步推進至全面規模化應用及獨立第三方驗證。

指引亦設專章探討AI代理風險，建議任何難以逆轉的行動均須先經人手批准，例如付款、合約承諾或對外通訊。在現行要求之外，指引亦提出自願性質的進一步措施，包括對接ISO/IEC 42001國際標準，以及主動標示AI生成內容。

政府層面的管治推進

這份指引並非孤立的行業倡議，而是與本港政策方向互相呼應。指引建基於《個人資料（私隱）條例》及數字政策辦公室的《人工智能道德框架》，並參考歐盟、美國、英國、中國內地、日本、南韓及新加坡等市場的國際做法。政府較早前公布，數字辦正於政府內部試行AI Agent，並會按實際應用經驗，於2027年與香港人工智能研發院發布適用於全社會的AI Agent安全管理指引。

換言之，企業現時自願採用的管治框架，未來很可能成為法規或官方指引的基礎。及早建立合規慣例，既可降低營運風險，亦能避免日後監管落實時需要大規模調整。

對香港企業的啟示

AIHK創辦人兼主席陳文理表示，指引的目標是「推動知情、可問責的風險承擔，而非追求零風險，讓機構能負責任地擴展AI」。這與矯枉過正、因噎廢食的管控思維形成對比——管治不是為了阻礙AI應用，而是讓企業有信心地加快採用。

對香港企業而言，實際行動有三步：一是立即盤點機構內正在使用的AI工具與AI代理，並建立中央登記冊；二是明確問責，指定專責人員並檢視第三方供應商合約中的責任條款；三是優先處理高風險場景，凡是連接內部系統、可執行付款或對外通訊的AI代理，應先行設定人為審批機制，再逐步擴大應用範圍。

結語

AI代理正從「會對話的工具」演變為「會幹活的員工」，管治框架必須同步升級。AIHK這份指引的價值，在於把分散的監管要求轉化為一套香港企業可以立即執行的實務框架。在監管環境持續演變的背景下，率先建立負責任的AI管治，既是風險管理，也是競爭優勢。