什么是 AI 治理？为何现在必须重视？
AI 治理是指企业部署、监控及问责 AI 系统的一套政策、架构与风险控制机制。它涵盖谁有权批准 AI 使用案例、如何处理数据、如何记录决策，以及当 AI 系统出现错误时应如何应对。
如果你正在考虑 AI 治理是否应该成为优先议题，答案很简单：它已经是一项现实风险，而非未来课题。香港个人资料私隐专员公署（PCPD）于2024年发布的《人工智能个人资料保护框架》，已为企业划定了具体合规要求。金融管理局（HKMA）亦将 AI 治理义务与现行风险管理规定挂钩。监管框架已然存在，执法行动正在加速。
问题不再是企业是否需要 AI 治理，而是现有框架是否足够——还是每增加一个未经审批的 AI 工具，就累积一份合规风险。
香港《个人资料（私隐）条例》对 AI 系统有何要求？
《个人资料（私隐）条例》（PDPO）适用于任何收集、储存、处理或基于个人资料生成输出的 AI 系统——这几乎涵盖所有企业 AI 应用，包括客户服务聊天机器人、人力资源筛选工具，乃至基于客户行为数据训练的销售预测模型。
PCPD 的模型框架将 PDPO 原则转化为四个合规范畴：AI 策略与治理；风险评估与人工监督；AI 系统的定制化、实施与管理；以及与持份者的沟通和参与。每个范畴均有具体的文件记录与问责要求。
实际操作上，这意味着四项具体义务。第一，指定具备权限的高层人员负责 AI 系统的问责；第二，每个处理个人资料的 AI 系统在部署前必须完成隐私影响评估（PIA）；第三，AI 系统不得将个人资料用于原来收集目的以外的用途；第四，当事人必须能够查阅、更正，以及在特定情况下要求删除由 AI 系统处理的资料。
根据 Slaughter and May 对 PCPD 框架的分析，完成正式 AI 治理审查的企业，平均每个已部署 AI 工具中发现 3.2 个未记录的数据流——这意味着大多数企业在不知情的情况下已处于不合规状态。
PCPD 的生成式 AI 指引增加了哪些要求？
2025年3月，PCPD 发布《员工使用生成式人工智能的指引清单》，将合规义务延伸至日常 AI 工具的使用，而非仅限于正式的 AI 系统部署。这一点至关重要，因为目前大多数企业面临的最大 PDPO 风险，并非来自受企业监管的 AI 平台，而是员工在未获授权的情况下，使用消费级 AI 工具处理客户资料。
指引要求企业界定员工使用生成式 AI 的批准范围、明确禁止将个人、机密或享有法律特权的资料输入外部 AI 系统、建立监察员工遵从 AI 使用政策的机制，并记录防止偏见的措施，适用于用于招聘、绩效评估或面向客户决策的 AI 系统。
对于数字化转型主管或运营总监而言，这份指引带来的行动要求十分明确：企业极有可能需要一份 AI 可接受使用政策，而现有政策或许并不完整、未被执行，或未获员工签署确认。PCPD 已表示，2026年的执法行动将优先针对高层管理人员无法展示主动 AI 治理的企业。
企业如何构建 AI 治理框架？
一个适合50至500人香港企业的 AI 治理框架需要四个核心组成部分。每个部分各有其作用，缺一不可——只实施其中一两项，往往只是形式上的合规，而非实质性的保障。
治理架构：成立 AI 治理委员会，并由高层管理人员参与。最低限度应包括运营总监或 IT 总监、法律或合规代表，以及业务部门主管。委员会负责批准新的 AI 使用案例、审阅风险评估报告，并定期接收 AI 系统表现及事故报告。
风险分级：并非所有 AI 系统的风险程度相同。按风险级别对每个 AI 使用案例进行分类——高风险（对个人作出自动化决策，如信贷评分或人力资源筛选）、中风险（由人工审查的 AI 辅助决策）及低风险（不涉及个人资料的内部生产力工具）。不同级别需要不同程度的监督、文件记录及审查频率。
数据流文件记录：映射每个 AI 系统所存取、处理及储存的资料。这是大多数企业容易忽略的步骤，也是造成最大监管风险的环节。结构化的数据清单应记录数据来源、处理的法律依据、保留期限、第三方共享情况（包括 AI 供应商），以及当事人对该资料的相关权利。
事故与审计机制：明确界定 AI 事故的定义，包括模型漂移、偏见检测、意外输出及由 AI 系统引发的数据泄露。建立应对方案与文件记录流程。对受监管行业而言，这份审计记录是区分可控合规事件与须上报违规事件的关键。
香港企业常见的 AI 治理失败模式有哪些？
根据 Freshfields、Bird & Bird 及 Slaughter and May 发布的执法案例及行业分析，香港企业的 AI 治理失败往往呈现五种固定模式。
--- 影子 AI：员工以个人账户使用消费级 AI 工具处理客户或员工资料，企业毫不知情。调查显示，专业服务业中有40至60%的知识工作者曾至少做过一次。
--- 供应商不透明：与 AI 供应商签约时未审阅其数据处理条款。许多企业 SaaS 工具现已预设启用 AI 功能，若不主动选择退出，你的资料可能被用于供应商的模型训练。
--- 缺乏隐私影响评估纪录：在未完成 PIA 的情况下部署 AI 工具，而这正是 PCPD 模型框架对所有处理个人资料的 AI 系统的明确要求。
--- 问责不明确：无人负责 AI 合规事宜。当 PCPD 调查时，缺乏指定 AI 问责负责人被视为系统性治理失败的证据，而非个人错误。
--- 旧有资料馈入新 AI：将历史数据库连接至 AI 系统，而这些资料的收集时间早于 AI 应用的普及。原始收集目的未必涵盖 AI 处理——在部署前必须解决同意差距问题。
如何建立让董事会信服的 AI 审计记录？
AI 审计记录同时服务两类受众：要求问责的董事会或监管机构，以及在出现问题时需要清晰记录的运营团队。可信的审计记录需记录三件事：AI 系统做出或协助做出的决策、所使用的数据，以及谁审阅并批准了这些输出。
根据 Gartner 2026年 AI 治理研究，实施了结构化审计框架的企业，与依赖非正式控制的企业相比，AI 相关合规事故减少了62%。保险业监管局亦已表示将于2026年发布针对保险业的更新 AI 指引。在指引正式落地前已建立治理架构的企业，将远比事后补救的企业处于更有利的位置。
如果现在还没有 AI 治理，第一步该如何开始？
对大多数香港企业而言，实际的起点是进行 AI 准备度评估——系统审查现有 AI 工具的使用情况（包括受批准及未受批准的）、所涉及的数据，以及存在的治理缺口。这份评估为你提供一个可据以排列优先次序的基准：大多数企业会发现，80%的合规风险集中在20%的 AI 工具之中。
基于此基准，行动次序如下：指定 AI 问责负责人、草拟 AI 可接受使用政策、按风险级别对现有 AI 工具进行分类，并对高风险及中风险系统完成隐私影响评估。PCPD 的模型框架为每个阶段提供了详细的核查清单，可公开获取，且设计上允许企业在初始阶段无需外聘法律顾问即可自行实施。
UD 陪伴香港企业走过28年的科技治理历程。工具在改变，问责框架的本质从未改变。懂AI，更懂你——UD 同行28年，让科技成为有温度的陪伴。
你的企业能够通过 AI 治理审查吗？
大多数香港企业所面临的 AI 风险敞口，远比自己意识到的更大，而现有的治理管控却远远不足。UD 团队手把手带你完成每一步——从 AI 准备度评估、政策设计、风险分级，到审计记录的全面建立。28年企业科技伙伴，为这一刻而生。