2026 年因人工智能而承担最大法律责任的机构，不是开发模型的那一批，而是购买并使用模型的那一批。
保险经纪公司 Gallagher Re 于 2026 年 3 月与麻省理工学院及专业保险机构 Testudo 合作发表的报告《Smart Systems, Blind Spots》指出，美国涉及生成式 AI 的诉讼在 2021 至 2025 年间上升了 978%，仅最后一年就增加 137%。报告最关键的结论与模型开发商无关：法院与监管机构越来越倾向追究部署 AI 的机构，而非提供技术的供应商。
这本来仍算可控。问题是，你原以为能吸收这项风险的保单，已经在你不知情的情况下悄悄改写。
什么是 AI 保险缺口？
AI 保险缺口，指的是你的机构因使用人工智能而实际承担的责任，与现有商业保单真正愿意赔付的范围之间的落差。这道缺口在 2026 年迅速扩大，因为保险公司开始在公众责任险、董事及高级职员责任险以及专业责任险中，明文加入生成式 AI 的除外条款。
过去这一块是模糊的。保单根本没有提及 AI，因此相关风险处于业界所称的「沉默式 AI 承保」状态，正如 1990 年代之前的网络风险一样悬而未决。
模糊对投保方有利。到了 2026 年，保险公司把模糊消除了，而消除的方向并不对你有利。
ISO 在 2026 年 1 月改动了公众责任保单的什么内容？
ISO 是 Verisk 旗下的保单标准机构，其范本条款支撑着市场上大部分公众责任保单。它推出了三张可选用的生成式 AI 除外批单，版本日期为 2026 年 1 月，自 2026 年 1 月 1 日起在续保时开始附加。是否采用由承保人自行决定，这正是各张保单的保障范围如今差异极大的原因。
根据 Verisk 的描述，三张批单分别为：
--- CG 40 47：在整份公众责任保障部分中，剔除因生成式 AI 引致的人身伤害、财物损失，以及人身及广告侵害。这是范围最宽的一张。
--- CG 40 48：只剔除人身及广告侵害，即诽谤、隐私及版权类索偿。人身伤害与财物损失的保障仍然保留。
--- CG 35 08：在产品及已完成作业保障部分中，剔除人身伤害与财物损失。
比条款编号更重要的是它的定义。Verisk 将生成式人工智能定义为「以数据训练、具备生成内容或回应能力的机器学习系统或模型，包括文字、图像、音频、视频或程序代码」。
把这句定义对照你自己的日常运作。它涵盖市场部用聊天机器人草拟的宣传文案、开发团队生成的代码，以及客户服务平台自动产出的回复。它并不要求你曾经开发过任何东西。
根据 The Insurer 于 2026 年 7 月的报道，Verisk 正在研究针对代理式 AI 风险的另一套除外条款。走向只有一个方向。
哪些保险公司真的在采用 AI 除外条款？
The Insurer 在 2026 年 7 月通过 S&P Capital IQ 审视约一万份监管备案后发现，超过 60 家财产及意外保险集团已就 AI 除外条款采取行动。其中约 41 家至少有一间附属公司备案采用，另有 20 家备案延后采用。
该分析点名的集团包括 Chubb、Zurich、Liberty Mutual、The Hartford、Munich Re、Tokio Marine、Arch Capital、Axis 及 Berkshire Hathaway 等。部分集团向该媒体表示暂无即时实施计划。
有两项细节值得董事会留意。
第一，有一家承保人走得比 ISO 远得多。Bloomberg Law 于 2026 年 7 月报道，W. R. Berkley 推出业界首张「绝对」AI 除外条款，范围延伸至董事及高级职员责任险。经纪间流传的条文剔除因任何实际或指称的 AI 使用、部署或开发所引起的索偿，并延伸至受保人自身的 AI 政策与程序，以及任何被指称在 AI 使用上违反职责的情况。
最后那一句，正是把技术议题转化为治理议题的关键。如果有人指称你的董事会在监督 AI 应用上有所失职，这项指称本身就可能落在保障范围之外。
第二，并非所有被媒体点名的保险公司都在推进。AIG 于 2025 年 11 月公开表示，该公司并未特别寻求采用此类除外条款，当时亦无实施计划。不要假设你的承保人立场如何。直接问。
为何责任落在你的机构身上，而非 AI 供应商？
因为你与供应商签的合约几乎肯定是这样写的。Gallagher Re 的结论相当直接：供应商的责任上限与有限的赔偿条款，令部署方暴露于风险之中，而法院同时追究部署方的责任。合约结构与法律走势指向同一个方向，就是你。
经典案例仍然是 Moffatt 诉加拿大航空一案，由不列颠哥伦比亚省民事解决审裁处于 2024 年 2 月裁决。加航辩称，其聊天机器人须为自行捏造的票价政策负责。审裁处成员 Christopher Rivers 的回应是：「实际上，加航是在暗示该聊天机器人是一个独立法律实体，须为自身行为负责。这是一项相当令人瞩目的陈词。」
赔偿金额是 812.02 加元。但当中确立的原则，价值远高于此。你的系统说了什么，责任就在你身上。
再把合约状况叠加上去。律师事务所 Whiteford, Taylor & Preston 于 2026 年 4 月发表的检视引述业界数据，指出 88% 的 AI 供应商为自身责任设定上限，且往往以每月订阅费为限，而只有 17% 会就法规合规作出保证。此数字应归属于该律所，因为该所并未点名原始研究来源。
把这些数字与一张生效中的除外条款并列，问题的形状就清楚了。供应商已把责任封顶在你的月费。保险公司已把该类损失剔除。剩下的部分留在你的资产负债表上，而且从未被定价。
这一切在香港适用吗？
并非直接适用，而这项区分十分重要。截至 2026 年 8 月，香港保险业监管局并未就商业保单中的 AI 除外条款发出任何指引，香港亦未有法院就 AI 责任作出裁决，本地市场更无除外条款采用率的数据。这目前是一个美国市场的发展。
它会通过三条相当平常的途径传到香港。
--- 在美国承保、或以美国范本在本地出单的跨国保险计划，会直接继承该批单。
--- 再保险合约会在往后数个续保周期中，把条文向下游传递。
--- 母公司主保单设于纽约或伦敦的香港附属公司，会发现除外条款不经本地讨论就已经到位。
与此同时，香港在问责层面的期望其实已经相当明确，即使并无专门的 AI 法例。孖士打律师行在 2026 年年中检视香港与新加坡 AI 监管时，把现况总结为：机构须「证明」而非仅仅「声称」自己实施了负责任的 AI 治理。
证据亦支持这个判断。个人资料私隐专员公署于 2026 年 1 月对 60 间机构展开循规审查，并于 5 月公布结果：95% 在日常运作中使用 AI，过半数同时运行三套或以上 AI 系统，虽未发现违反《私隐条例》，但建议机构建立治理架构、进行私隐影响评估与 AI 审计，并就代理式 AI 设立控制措施。公署早于 2026 年 3 月已就代理式 AI 发出独立警示。金管局与证监会亦于 2026 年 5 月底就 AI 驱动的网络攻击发出通函，延续金管局早前的 AI 网络安全通函。
这里需要补上一个反例，因为亚洲的情况并不一致。2026 年 1 月，杭州互联网法院驳回一宗针对生成式 AI 服务提供者的索偿，认为该提供者已通过业界标准的准确性措施及用户提示，履行合理注意义务。这与美国的部署方责任走向恰恰相反。
2026 年可以买到什么 AI 责任保险？
市场上已出现规模不大的积极承保产品，主要针对使用 AI 而非开发 AI 的机构。这个市场仍然很早期，承保能力有限，而且没有任何一款可以取代治理工作。但它能把一项未经定价的风险转为已定价的风险，这正是重点所在。
截至 2026 年 8 月，经核实的产品包括：
--- HSB AI Liability Insurance：Munich Re 旗下 HSB 于 2026 年 3 月 18 日为中小企推出，承保因受保人使用 AI 而引致的第三方人身伤害、财物损失，以及人身及广告侵害。HSB 不直接销售，而是在监管批准后附加于合作承保人的商业保单之上。HSB 对 1,000 家美国企业的调查发现，74% 已在使用 AI 程序，91% 计划使用。
--- Armilla：2025 年 4 月成立的劳合社授权承保代理，由包括 Chaucer 在内的劳合社辛迪加承保，就 AI 幻觉、模型表现退化及故障提供积极承保，涵盖法律费用与第三方责任。
--- Testudo：获劳合社实验室支持的专业承保代理，明确针对整合供应商生成式 AI 的企业，而非 AI 开发商。
--- Google Cloud Risk Protection Program：与 Beazley、Chubb 及 Munich Re 合作，以批单形式附加于承保人的网络保单。
若有经纪向你推介以上任何一款，请追问：这份积极保障，如何与你公众责任保单上的除外条款衔接？由不同承保人草拟的两份文件，不会自动在中间接上。
下次续保前应该问什么？
六条问题，按此次序，以书面向你的保险经纪提出，并在续保前完成。书面答复比一通电话重要得多，因为这些答复会成为你的机构在何时知悉何事的正式记录。
--- 我们现行的公众责任保单，是否附有 CG 40 47、CG 40 48、CG 35 08，或承保人自订的 AI 除外条款？请提供批单清单。
--- 我们的董事及高级职员责任险、专业责任险、专业赔偿险或网络保险，是否出现任何 AI 除外条款？
--- 凡有 AI 除外条文之处，其范围是否延伸至指称我们在 AI 治理上违反职责，而不只限于 AI 产出本身？
--- 我们哪些实际业务用途落入保单对生成式 AI 的定义之内？请以市场推广内容、客户服务回复、代码生成及内部决策支持逐项测试。
--- 我们可以购买什么积极保障？赔偿限额与起赔点为何？它与除外条款如何互动？
--- 承保人对下一个续保周期的既定立场是什么，而不只是今年？
然后，把批单清单交到审计委员会或风险委员会。这件事属于委员会议程，不属于经纪的档案夹。
处理不当时，通常错在哪里？
四种失误模式反复出现，而每一种的修正成本都极低。发现它们并不需要法律专业，只需要有一位够资深的人真正读过批单清单，而在大多数机构里，这件事从来没有人做过。
自动续保。大部分商业保单续保由财务或行政部门当作事务性工作处理。一张实质削减保障的批单，就夹在一份没有人逐行细读的文件包里送到。除外条款对承保人而言是可选的，对你从来不是。
以为供应商合约就是后盾。如果 88% 的 AI 供应商把责任封顶在订阅费，那道后盾大约等于一个月的发票金额。这不是风险转移，这是四舍五入的误差。
把它当作 IT 部门的事。W. R. Berkley 的条文直接触及董事及高级职员责任。一旦风险延伸至 D&O 层面，它就是董事会事务，而向下授权本身，正正就是该除外条款所指的治理失误。
等待法院裁决。Bloomberg Law 与 Claims Journal 均于 2026 年 7 月确认，目前尚未有任何关于 AI 保障的指标性裁决，亦无经核实的个案显示有公司被拒赔 AI 相关损失。这并不令人安心。它意味着第一家测试这些条文的机构，将会在真实索偿过程中测试，而损失早已发生。
策略上的结论
AI 保险缺口并不是一个刚好牵涉保险的技术问题。它是一个治理问题，而保险令这个问题变得可见，也变得昂贵。
未来十二个月处理得好的机构，会做三件毫不吸引的事。他们会真正读完自己的批单清单。他们会把实际的 AI 使用情况，对照保单定义来盘点，而不是对照自己的 AI 策略简报。他们会把可以拿得出证据的治理工作记录下来，因为香港的监管机构与新出现的保险条文，要的都是证据，而不是意向。
这些工作并不精彩，也不会出现在年报上。但它就是「已定价的风险」与「索偿时才发现的风险」之间的分别。
二十八年的香港企业科技工作反复说明一件事：真正造成伤害的风险，很少出现在风险登记册上。它们往往是所有人都以为由其他人负责的那些。懂AI的冷，更懂你的难。UD 同行28年，让科技成为有温度的陪伴。
本文由 UD 企业 AI 团队（香港）审阅。文中保险条款编号、承保人立场及监管时间点，已于 2026 年 8 月对照 Verisk、Gallagher Re、Bloomberg Law、Claims Journal、Munich Re HSB 及香港监管机构的公开资料核实。本文为一般资讯，并非法律、保险或财务意见。你的实际保单状况，请向你的保险经纪及法律顾问确认。
从哪里开始
在为 AI 风险定价之前，你需要一幅诚实的图像：AI 究竟已经渗入你营运的哪些位置。这正正是私隐专员发现大多数机构所欠缺的。UD 团队手把手带你完成每一步，由盘点各部门实际的 AI 使用情况、整理治理文件，到准备你的董事会与保险经纪都会索取的证据。28 年香港企业服务经验，全程陪你走。
