什么是企业 AI 治理？董事会层面决策必须掌握的定义
企业 AI 治理，是一套结构化的政策、监督机制、责任框架与风险管控措施，确保组织的 AI 系统以安全、公正且符合法规要求的方式运作。这不是一份 IT 清单，而是一个组织问责结构——从董事会层面向下延伸，覆盖每一个接触 AI 系统的团队。
Gartner 2025 年 AI 治理研究发现，建立了正式 AI 治理框架的组织，在 AI 部署首年的合规事故发生率，比没有结构化监督机制的组织低 35%。证据一致指向同一个结论：治理不是 AI 部署的障碍，而是让部署可持续发展的机制。
对香港企业领袖而言，这个对话的迫切性在 2026 年已显著上升。监管环境并未停滞不前：香港金融管理局、证券及期货事务监察委员会，以及数字政策办公室，过去十八个月都发布了实质性指引，明确列出持牌机构现在应当落实的治理期望。
董事会现在面临的问题，已不是"我们是否应该治理 AI"，而是"我们现有的治理框架，是否符合监管机构的期望？我们能否证明这一点？"
2026 年香港监管环境，对企业实际要求什么？
香港 2026 年的 AI 监管环境，是行业专属要求的拼接体，而非一部统一的 AI 法律。金管局、证监会与数字政策办公室各自设定不同的期望。对企业领袖而言，这种拼接结构意味着，合规需要清楚了解哪个监管机构对你组织中的哪个 AI 应用拥有管辖权。
金管局于 2026 年 3 月发布了专门针对 AI 在制裁筛查流程中应用的最新指引，要求持牌机构维持可解释、可审计的 AI 决策记录——即 AI 系统必须能够显示每个决策所依据的数据，且格式能够承受监管审查。这份指引并非方向性建议；对于在合规敏感工作流程中使用 AI 的持牌机构，这是一项具体的运营要求。
证监会现行的科技风险管理框架，延伸适用于在交易、客户顾问及风险评估功能中使用的 AI 系统。框架要求机构在部署前进行风险评估、维持持续监察协议，并记录模型随时间的表现。无论 AI 系统是内部开发还是从第三方供应商采购，这些要求同样适用。
数字政策办公室的《道德人工智能框架》列出七项核心原则：有益性、无害性、自主性、公正性、可解释性、隐私保护，以及可靠性。虽然这份框架对私营企业是指引而非法律，但它确立了监管机构在评估机构 AI 实践时所参照的治理标准。
对于金融服务业以外的企业，《个人资料（私隐）条例》（PDPO）仍是最直接适用的法规。任何处理香港居民个人资料的 AI 系统——包括客户分析、人力资源分析及自动化决策——都必须符合条例的数据收集限制、准确性、保留期限及安全原则。
董事会就绪的 AI 治理框架，需要哪四个支柱？
一个能够获得董事会认可的 AI 治理框架，需要四个结构性组件：治理问责（由谁负责）、风险分级（哪个 AI 系统承担哪种风险）、监察与审计（如何持续追踪表现与合规情况），以及供应商监督（如何将第三方 AI 系统纳入治理范畴）。具备全部四个组件的组织，才能在监管审查中展示实质的治理能力。
支柱一：治理问责
组织中每个对重要决策施加影响的 AI 系统，都应有一位具名的问责负责人——通常是一位对该系统的表现、合规及风险负责的高级管理人员。这有别于构建或维护系统的技术团队：问责负责人向董事会负责，技术团队向问责负责人负责。
支柱二：AI 风险分级
并非所有 AI 系统都承担相同的风险。建议营销内容的 AI 系统，与影响信贷决策或标记交易合规审查的 AI 系统，风险性质截然不同。你的治理框架必须按风险级别对每个 AI 系统进行分类——通常分为低、中、高三级——并对每个层级适用相称的监督要求。高风险系统需要董事会层面的可视性；低风险系统可在部门层面管理。
支柱三：持续监察与审计
AI 系统的表现会随时间下降。模型漂移（model drift）——因输入数据的分布偏离训练时的分布，导致模型准确度下降——是所有生产 AI 系统都面临的已记录现象。你的治理框架必须明确：每个 AI 系统多久审查一次表现、谁负责审查、哪些表现指标触发上报机制，以及如何维护审计记录以备监管查阅。
支柱四：第三方 AI 供应商监督
2026 年大多数企业 AI 部署都涉及至少一个第三方 AI 系统——供应商提供的聊天机器人、AI 赋能的 SaaS 平台或云端模型 API。监管机构不接受"我们的供应商负责"作为治理答案。你的框架必须包含合约条款，要求供应商披露模型更新、记录数据处理实践，并参与你自己的审计流程。从治理角度，供应商的 AI 就是你的 AI。
董事会在 AI 治理中应扮演什么角色？
董事会在 AI 治理中的职责，是设定风险承受度、批准治理框架，并定期收取 AI 系统在该框架下的表现与合规报告。董事会不负责 AI 系统的日常管理，而是设定管理层的问责标准——并确保这个标准随监管与技术环境的变化而更新。
世界经济论坛 AI 治理联盟 2025 年报告指出，定期收取 AI 风险报告的企业董事会中，68% 具备符合监管审查期望的治理框架；而仅在特定情况下才收取 AI 更新的董事会中，这一比例只有 31%。董事会监督的频率，不亚于其存在本身的重要性。
香港企业实际可行的董事会 AI 治理节奏：每季一次 AI 风险登记册报告，涵盖任何重大事故、模型表现变化及监管最新动态；每年审视并批准 AI 治理政策；以及针对任何导致客户损害、引发监管关注或造成声誉风险的 AI 相关事故的即时上报机制。
区分成熟 AI 治理与合规表面文章的董事会问题是：对于我们每个重要的 AI 系统，我们能否告知监管机构——它影响哪些决策、如何监察其表现、失败时谁负责，以及一旦失败我们会采取什么行动？如果这个问题的任何部分，答案是"我们需要查清楚"，那么治理框架还需要改进。
如何构建一份运营团队真正能遵循的 AI 治理政策？
只存在于共享云端文件夹中的 AI 治理政策，不是真正的治理。实用的 AI 治理政策有三个特征：足够具体，能在模糊情况下指引明确决策；指定具名的问责责任人，而非部门级别的集体责任；以及至少每年更新一次，以跟上技术与监管环境的变化。
从 AI 清单开始。在治理 AI 之前，你需要知道自己在使用哪些 AI。对大多数香港企业而言，这是一项比预期更大的工程——AI 通过 SaaS 工具、供应商平台和部门层面的自主引入进入组织，往往并未经过中央 IT 的知悉和登记。一份涵盖系统名称、业务功能、风险分级、数据输入与问责负责人的 AI 清单，是所有其他治理活动的基础。
制定你的 AI 使用政策——规定员工可使用与不可使用哪些 AI，以及在何种条件下使用。这包括允许使用哪些外部 AI 工具、哪些数据可以输入这些工具，以及 AI 生成的输出在用于面向客户或合规敏感情境之前，需要经过哪些人工审查。清晰的使用政策，可以防止 AI 相关 PDPO 曝险的最常见来源：员工将客户个人数据输入未授权的 AI 工具。
从一开始就将事故响应机制纳入政策。当 AI 系统产生有害输出时，应通知谁、按什么顺序、在什么时间框架内通知？谁有权决定在调查期间暂停系统运行？在事故发生之前就拥有这些问题的书面答案，是治理有序的 AI 项目与靠即兴应对的危机管理之间的分界。
香港企业在 AI 治理中最常犯的错误是什么？
五个最常见的 AI 治理错误：将治理视为 IT 责任而非业务问责；在没有 AI 清单的情况下建立政策；对所有 AI 系统不论风险级别一律采用相同的治理强度；未能将第三方 AI 工具纳入治理范畴；以及审视治理框架的频率低于监管环境的变化速度。
第一个错误——将治理视为 IT 的问题——影响最为深远。当 AI 治理被定位为技术风险职能而非业务问责职能时，它就会失效。风险最高的系统，通常是业务系统：信贷决策中的 AI、客户顾问中的 AI、合规筛查中的 AI、人力资源分析中的 AI。拥有这些决策结果的业务负责人，同样拥有这些系统的 AI 治理责任。IT 负责赋能和支持，而非拥有。
第二个最具破坏力的错误是不一致的供应商监督。德勤 2025 年亚太区企业风险领袖调查发现，61% 的组织没有正式的合约机制，用于审查其 AI 供应商所做的更改——这意味着供应商可以在没有任何通知或审查流程的情况下，重新训练、更新或从根本上改变其客户所依赖的 AI 系统。在受监管的环境中，这是一个实质性的治理缺口。
对于正在审视自身 AI 治理状况的部门主管或首席运营官，最实用的自问并非"我们有治理政策吗？"，而是"我们现在能否凭手头现有的文件，向监管机构证明合规性？"这个问题比任何框架审计都更能快速呈现治理缺口。懂AI，更懂你——UD相伴，AI不冷。
准备好构建你的董事会就绪 AI 治理框架？
对于在受监管行业运营的香港企业，AI 治理已不再是可选项。UD 的 AI 与合规专家团队，已协助多家机构建立了符合监管要求、获得董事会信任、并能加快负责任 AI 部署的治理框架。UD 团队手把手带你完成每一步——从 AI 清单梳理到政策设计，再到董事会汇报框架的建立。