建立治理及問責機制
指引重點
- 指定高階主管或委員會監督 AI 運用，明確界定各單位職責
- AI 風險管理整合進現有的風險管理與內部控制
- 部署前記錄模型目的與用途並進行測試
- 建立 AI 模型清單，含各版本、輸入來源、輸出與預期用途
- 持續監控與定期審查；高風險系統必要時由獨立第三人審查
落實做法
- 建立 AI 系統與模型清冊，每個應用指定負責人
- 上線前的測試與核准流程
該留下的紀錄
- 清冊與版本歷程、測試報告、核准與審查紀錄
〈金融業運用人工智慧（AI）指引〉由金管會於 113 年 6 月 20 日發布，屬行政指導性質，由總則與六章組成，六章分別對應六項核心原則。金融機構依自身 AI 系統的風險高低，自行決定控管措施與程度。
實務建議落實時可依下列順序進行：
風險高低由金融機構綜合各項因素自行判斷；指引所舉例子僅供說明，不是分級規範。
指引重點
落實做法
該留下的紀錄
指引重點
落實做法
該留下的紀錄
指引重點
落實做法
該留下的紀錄
指引重點
落實做法
該留下的紀錄
指引重點
落實做法
該留下的紀錄
指引重點
落實做法
該留下的紀錄
| 平台能力 | 對應指引 | 模組 |
|---|---|---|
| 推論前的權限與政策檢查、審批與雙人覆核 | 第一章 核准；第四章 控管 API 與模型使用 | Forge |
| 含個資的請求只能送往地端模型，模型回覆也經政策檢查 | 第三章 封閉型部署與資料保護 | Forge |
| 每次推論、知識庫查詢與工具呼叫寫入雜湊鏈稽核軌跡，證據包可離線驗證 | 總則 高風險系統的紀錄；第四章 記錄輸入；第五章 可追溯 | Forge |
| AI 任務可暫停交人審核、可緊急停止 | 第二章 人員介入與安全關閉 | Auro |
| 資料分級、保存期限與 AI 使用溯源 | 第三章 資料治理；第五章 資料來源 | SAGA |
| 源碼檢測、弱點掃描與 SBOM | 第四章 資安與 AI 資產追蹤 | Scanner |
| 多個 AI 應用共用同一套平台與推論資源 | 第六章 資源共享 | AURO NEXUS |
| 自有機房與公有雲台灣區域使用同一套平台，日後可搬移 | 總則 停止委託時的遷移機制 | AURO NEXUS |
AI 治理架構與負責主管、公平性評估方法、對客戶的揭露內容、替代方案與員工培訓，由貴機構依自身情況決定。平台提供的是控管措施的執行與紀錄；是否符合指引，由主管機關與貴機構法遵認定。
延伸閱讀：地端 LLM 閘道選型清單・資安與資料處理
本文依指引原文整理並改寫，條文以金管會公布的版本為準；標示「實務建議」的段落為奧洛的建議做法。
屬行政指導性質。金管會表示，金融業相關公會訂有 AI 自律規範者，可參考指引納入相關重點；未訂定者，建議金融機構參考指引導入、使用及管理 AI 系統。
金管會於 113 年（2024 年）6 月 20 日發布〈金融業運用人工智慧(AI)指引〉；六項核心原則則先於 112 年 10 月 17 日隨「金融業運用人工智慧(AI)之核心原則與相關推動政策」公布。
建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性、促進永續發展。指引的六章依序對應這六項原則。
指引列出六項考量因素：是否直接服務客戶或對營運有重大影響、使用個資的程度、AI 自主決策程度、系統複雜性、影響利害關係人的程度與廣度、救濟選項的完整程度；風險高低由金融機構綜合判斷。
金管會 AI 指引第三章指出，在無適當管控機制下，金融機構人員不得向生成式 AI 提供未經客戶同意提供的資訊；適當管控機制例如採用封閉型部署的生成式 AI 模型、確認系統環境安全性。
評估廠商專業與集中度風險、以書面契約明定責任與追索途徑、涉及客戶資料時簽訂資料保護條款、訂定停止委託時的資料或系統遷移機制，並要求廠商留存受託作業的書面或數位紀錄。