在 2026 年，因人工智能而承擔最大法律責任的機構，並不是開發模型的那一批。而是購買並使用模型的那一批。
保險經紀公司 Gallagher Re 於 2026 年 3 月與麻省理工學院及專業保險機構 Testudo 合作發表的報告《Smart Systems, Blind Spots》指出，美國涉及生成式 AI 的訴訟在 2021 至 2025 年間上升了 978%，單是最後一年就增加 137%。而報告最關鍵的結論，與模型開發商無關：法院與監管機構愈來愈傾向追究部署 AI 的機構，而非提供技術的供應商。
這本來仍算可控。問題是，你原以為能吸收這項風險的保單，已經在你不知情的情況下悄悄改寫。
什麼是 AI 保險缺口？
AI 保險缺口，指的是你的機構因使用人工智能而實際承擔的責任，與現有商業保單真正願意賠付的範圍之間的落差。這道缺口在 2026 年迅速擴大，因為保險公司開始在公眾責任險、董事及高級人員責任險以及專業責任險中，明文加入生成式 AI 的除外條款。
過去這一塊是模糊的。保單根本沒有提及 AI，因此相關風險處於業界所稱的「沉默式 AI 承保」狀態，正如 1990 年代之前的網絡風險一樣懸而未決。
模糊對投保方有利。到了 2026 年，保險公司把模糊消除了，而消除的方向並不對你有利。
ISO 在 2026 年 1 月改動了公眾責任保單的什麼內容？
ISO 是 Verisk 旗下的保單標準機構，其範本條款支撐著市場上大部分公眾責任保單。它推出了三張可選用的生成式 AI 除外批單，版本日期為 2026 年 1 月，並自 2026 年 1 月 1 日起在續保時開始附加。是否採用由承保人自行決定，這正是各張保單的保障範圍如今差異極大的原因。
根據 Verisk 的描述，三張批單分別為：
--- CG 40 47：在整份公眾責任保障部分中，剔除因生成式 AI 引致的人身傷害、財物損失，以及人身及廣告侵害。這是範圍最闊的一張。
--- CG 40 48：只剔除人身及廣告侵害，即誹謗、私隱及版權類索償。人身傷害與財物損失的保障仍然保留。
--- CG 35 08：在產品及已完成作業保障部分中，剔除人身傷害與財物損失。
比條款編號更重要的，是它的定義。Verisk 將生成式人工智能定義為「以數據訓練、具備生成內容或回應能力的機器學習系統或模型，包括文字、圖像、音訊、影片或程式碼」。
把這句定義對照你自己的日常運作。它涵蓋市場部用聊天機械人草擬的宣傳文案、開發團隊生成的程式碼，以及客戶服務平台自動產出的回覆。它並不要求你曾經開發過任何東西。
根據 The Insurer 於 2026 年 7 月的報道，Verisk 正在研究針對代理式 AI 風險的另一套除外條款。走向只有一個方向。
哪些保險公司真的在採用 AI 除外條款？
The Insurer 在 2026 年 7 月透過 S&P Capital IQ 審視約一萬份監管備案後發現，超過 60 家財產及意外保險集團已就 AI 除外條款採取行動。當中約 41 家至少有一間附屬公司備案採用，另有 20 家備案延後採用。
該分析點名的集團包括 Chubb、Zurich、Liberty Mutual、The Hartford、Munich Re、Tokio Marine、Arch Capital、Axis 及 Berkshire Hathaway 等。部分集團向該媒體表示暫無即時實施計劃。
有兩項細節值得董事會留意。
第一，有一家承保人走得比 ISO 遠得多。Bloomberg Law 於 2026 年 7 月報道，W. R. Berkley 推出業界首張「絕對」AI 除外條款，範圍延伸至董事及高級人員責任險。經紀間流傳的條文剔除因任何實際或指稱的 AI 使用、部署或開發所引起的索償，並延伸至受保人自身的 AI 政策與程序，以及任何被指稱在 AI 使用上違反職責的情況。
最後那一句，正是把技術議題轉化為管治議題的關鍵。如果有人指稱你的董事會在監督 AI 應用上有所失職，這項指稱本身就可能落在保障範圍之外。
第二，並非所有被傳媒點名的保險公司都在推進。AIG 於 2025 年 11 月公開表示，該公司並未特別尋求採用此類除外條款，當時亦無實施計劃。不要假設你的承保人立場如何。直接問。
為何責任落在你的機構身上，而非 AI 供應商？
因為你與供應商簽的合約幾乎肯定是這樣寫的。Gallagher Re 的結論相當直接：供應商的責任上限與有限的彌償條款，令部署方暴露於風險之中，而法院同時追究部署方的責任。合約結構與法律走勢指向同一個方向，就是你。
經典案例仍然是 Moffatt 訴加拿大航空一案，由卑詩省民事解決審裁處於 2024 年 2 月裁決。加航辯稱，其聊天機械人須為自行捏造的票價政策負責。審裁處成員 Christopher Rivers 的回應是：「實際上，加航是在暗示該聊天機械人是一個獨立法律實體，須為自身行為負責。這是一項相當令人矚目的陳詞。」
賠償金額是 812.02 加元。但當中確立的原則，價值遠高於此。你的系統說了什麼，責任就在你身上。
再把合約狀況疊加上去。律師事務所 Whiteford, Taylor & Preston 於 2026 年 4 月發表的檢視引述業界數據，指出 88% 的 AI 供應商為自身責任設定上限，且往往以每月訂閱費為限，而只有 17% 會就法規合規作出保證。此數字應歸屬於該律所，因為該所並未點名原始研究來源。
把這些數字與一張生效中的除外條款並列，問題的形狀就清楚了。供應商已把責任封頂在你的月費。保險公司已把該類損失剔除。剩下的部分留在你的資產負債表上，而且從未被定價。
這一切在香港適用嗎？
並非直接適用，而這項區分十分重要。截至 2026 年 8 月，香港保險業監管局並未就商業保單中的 AI 除外條款發出任何指引，香港亦未有法院就 AI 責任作出裁決，本地市場更無除外條款採用率的數據。這目前是一個美國市場的發展。
它會透過三條相當平常的途徑傳到香港。
--- 在美國承保、或以美國範本在本地出單的跨國保險計劃，會直接繼承該批單。
--- 再保險合約會在往後數個續保周期中，把條文向下游傳遞。
--- 母公司主保單設於紐約或倫敦的香港附屬公司，會發現除外條款不經本地討論就已經到位。
與此同時，香港在問責層面的期望其實已經相當明確，即使並無專門的 AI 法例。孖士打律師行在 2026 年年中檢視香港與新加坡 AI 監管時，把現況總結為：機構須「證明」而非僅僅「聲稱」自己實施了負責任的 AI 管治。
證據亦支持這個判斷。個人資料私隱專員公署於 2026 年 1 月對 60 間機構展開循規審查，並於 5 月公布結果：95% 在日常運作中使用 AI，過半數同時運行三套或以上 AI 系統，雖未發現違反《私隱條例》，但建議機構建立管治架構、進行私隱影響評估與 AI 審計，並就代理式 AI 設立控制措施。公署早於 2026 年 3 月已就代理式 AI 發出獨立警示。金管局與證監會亦於 2026 年 5 月底就 AI 驅動的網絡攻擊發出通函，延續金管局早前的 AI 網絡安全通函。
這裡需要補上一個反例，因為亞洲的情況並不一致。2026 年 1 月，杭州互聯網法院駁回一宗針對生成式 AI 服務提供者的索償，認為該提供者已透過業界標準的準確性措施及用戶提示，履行合理注意義務。這與美國的部署方責任走向恰恰相反。
2026 年可以買到什麼 AI 責任保險？
市場上已出現規模不大的積極承保產品，主要針對使用 AI 而非開發 AI 的機構。這個市場仍然很早期，承保能力有限，而且沒有任何一款可以取代管治工作。但它能把一項未經定價的風險轉為已定價的風險，這正是重點所在。
截至 2026 年 8 月，經核實的產品包括：
--- HSB AI Liability Insurance：Munich Re 旗下 HSB 於 2026 年 3 月 18 日為中小企推出，承保因受保人使用 AI 而引致的第三方人身傷害、財物損失，以及人身及廣告侵害。HSB 不直接銷售，而是在監管批准後附加於合作承保人的商業保單之上。HSB 對 1,000 家美國企業的調查發現，74% 已在使用 AI 程式，91% 計劃使用。
--- Armilla：2025 年 4 月成立的勞合社授權承保代理，由包括 Chaucer 在內的勞合社辛迪加承保，就 AI 幻覺、模型表現退化及故障提供積極承保，涵蓋法律費用與第三方責任。
--- Testudo：獲勞合社實驗室支持的專業承保代理，明確針對整合供應商生成式 AI 的企業，而非 AI 開發商。
--- Google Cloud Risk Protection Program：與 Beazley、Chubb 及 Munich Re 合作，以批單形式附加於承保人的網絡保單。
若有經紀向你推介以上任何一款，請追問：這份積極保障，如何與你公眾責任保單上的除外條款銜接？由不同承保人草擬的兩份文件，不會自動在中間接上。
下次續保前應該問什麼？
六條問題，按此次序，以書面向你的保險經紀提出，並在續保前完成。書面答覆比一通電話重要得多，因為這些答覆會成為你的機構在何時知悉何事的正式紀錄。
--- 我們現行的公眾責任保單，是否附有 CG 40 47、CG 40 48、CG 35 08，或承保人自訂的 AI 除外條款？請提供批單清單。
--- 我們的董事及高級人員責任險、專業責任險、專業彌償險或網絡保險，是否出現任何 AI 除外條款？
--- 凡有 AI 除外條文之處，其範圍是否延伸至指稱我們在 AI 管治上違反職責，而不只限於 AI 產出本身？
--- 我們哪些實際業務用途落入保單對生成式 AI 的定義之內？請以市場推廣內容、客戶服務回覆、程式碼生成及內部決策支援逐項測試。
--- 我們可以購買什麼積極保障？賠償限額與起賠點為何？它與除外條款如何互動？
--- 承保人對下一個續保周期的既定立場是什麼，而不只是今年？
然後，把批單清單交到審計委員會或風險委員會。這件事屬於委員會議程，不屬於經紀的檔案夾。
處理不當時，通常錯在哪裡？
四種失誤模式反覆出現，而每一種的修正成本都極低。發現它們並不需要法律專業，只需要有一位夠資深的人真正讀過批單清單，而在大多數機構裡，這件事從來沒有人做過。
自動續保。大部分商業保單續保由財務或行政部門當作事務性工作處理。一張實質削減保障的批單，就夾在一份沒有人逐行細讀的文件包裡送到。除外條款對承保人而言是可選的，對你從來不是。
以為供應商合約就是後盾。如果 88% 的 AI 供應商把責任封頂在訂閱費，那道後盾大約等於一個月的發票金額。這不是風險轉移，這是四捨五入的誤差。
把它當作 IT 部門的事。W. R. Berkley 的條文直接觸及董事及高級人員責任。一旦風險延伸至 D&O 層面，它就是董事會事務，而向下授權本身，正正就是該除外條款所指的管治失誤。
等待法院裁決。Bloomberg Law 與 Claims Journal 均於 2026 年 7 月確認，目前尚未有任何關於 AI 保障的指標性裁決，亦無經核實的個案顯示有公司被拒賠 AI 相關損失。這並不令人安心。它意味著第一家測試這些條文的機構，將會在真實索償過程中測試，而損失早已發生。
策略上的結論
AI 保險缺口並不是一個剛好牽涉保險的技術問題。它是一個管治問題，而保險令這個問題變得可見，也變得昂貴。
未來十二個月處理得好的機構，會做三件毫不吸引的事。他們會真正讀完自己的批單清單。他們會把實際的 AI 使用情況，對照保單定義來盤點，而不是對照自己的 AI 策略簡報。他們會把可以拿得出證據的管治工作記錄下來，因為香港的監管機構與新出現的保險條文，要的都是證據，而不是意向。
這些工作並不精彩，也不會出現在年報上。但它就是「已定價的風險」與「索償時才發現的風險」之間的分別。
二十八年的香港企業科技工作反覆說明一件事：真正造成傷害的風險，很少出現在風險登記冊上。它們往往是所有人都以為由其他人負責的那些。懂AI的冷，更懂你的難。UD 同行28年，讓科技成為有溫度的陪伴。
本文由 UD 企業 AI 團隊（香港）審閱。文中保險條款編號、承保人立場及監管時間點，已於 2026 年 8 月對照 Verisk、Gallagher Re、Bloomberg Law、Claims Journal、Munich Re HSB 及香港監管機構的公開資料核實。本文為一般資訊，並非法律、保險或財務意見。你的實際保單狀況，請向你的保險經紀及法律顧問確認。
從哪裡開始
在為 AI 風險定價之前，你需要一幅誠實的圖像：AI 究竟已經滲入你營運的哪些位置。這正正是私隱專員發現大多數機構所欠缺的。UD 團隊手把手帶你完成每一步，由盤點各部門實際的 AI 使用情況、整理管治文件，到準備你的董事會與保險經紀都會索取的證據。28 年香港企業服務經驗，全程陪你走。
