管理AI風險 該如何拿捏尺度？

近年來，各行各業在人工智慧（AI）的運用正如火如荼地進行，金融業也不例外。然而，各界關注AI如何節省各種人力成本，完成過去耗時耗力才能達成的目標之時，卻較少人關注AI模型為達成這些目標的詳細過程與資料來源，特別是金融機構如果將AI運用在業務服務上，倘若發生無法預期之風險或疏失等負面結果時，該如何驗證金融機構的當責性（Accountability），已成為國際上監理機關重視的課題。

事實上，美國國家標準與技術研究院（NIST）早在2023年1月26日就已經公布「人工智慧風險管理框架1.0」（AI RMF 1.0），以降低各種人工智慧開發與應用的風險，並指出AI風險管理之挑戰：可分為風險評估、風險承受能力、風險排序、組織整合與風險管理等四大部分；未來AI的應用面不斷增加，各種AI新技術在應用之前也應該重視框架中提出的風險環節，才能取信於使用者。

順此潮流，我國金管會也在2024年6月公布了「金融業運用人工智慧指引」，指引除了參考金管會2023年10月提出的「金融業運用人工智慧核心原則與相關推動政策」內容之外，並集結了國際清算銀行（BIS）、國際證券管理機構組織（IOSCO）、歐盟、新加坡、美國等規範及相關文件而成，目前指引雖不具拘束力，但仍是金融業導入、使用及管理AI時的重要依循文件。

2025年11月，新加坡金融監管局（MAS）提出了「人工智慧風險管理指引的諮詢報告」（Consultation Paper on Guidelines on Artificial Intelligence Risk Management），報告中對現行AI風險管理指引的不足提出了補充觀點及風險管理架構，內容包括：定義金融機構的AI應用案例、系統及模型範疇；監督：業者對於營運模式的角色及責任，確保適當的風險管理；AI主要風險管理系統、政策及程序：AI辨識、風險管理及使用場合管理；AI生命週期控制：資料管理、人工監督、評估與測試、回測與監控、透明度與可解釋性、第三方AI使用、技術與網路安全、變更程序管理、公平性、選用方式、重製性與可稽核性；AI能力與容量：確保符合需求並有適當人力進行監督。

本次MAS諮詢報告提出了更具體的風險管理執行方案，而這些執行方案的重點內容大致上與金管會的「金融業運用人工智慧指引」重點內容一致，但更偏重於AI風險管理的執行程序與操作面的建議之上，有利業者採行具體的行動來達成控制風險的目標。

MAS報告中，董事會對AI的監督無疑是內容的一個重要亮點。內容中提到董事會與高階管理者在建立與管理AI架構上，必須扮演重要角色，並建立有效的監督機制，同時在機構內部培育一個使用AI的良好環境，也就是說，具體盤點機構內部有哪些情況、哪些程序可以使用，甚至需要投入足夠的人力、設備與財務投資來管理AI應用，而在使用過程中發生風險事件後，董事會及高階主管應該採行哪些程序來應對風險事件，而董事會及高階主管也應該接受更多的相關知識課程，來了解AI的具體運用上到底對機構會帶來哪些機會與風險，同時做好確實的管控措施。

除此之外，AI使用場合（AI Inventory）也是一個較少被關注的管理程序。這裡的使用場合英文使用了「Inventory」（存貨）這個有趣的字，如果熟悉會計學的人應該可以理解存貨並不是一個全然靜止的概念，而是一個流動的概念。意思是說，企業對於應用端的記錄要做好管理，包括哪些場合開始使用、正在使用及不需要使用的三個重要環節，做好進出記錄與管理，這樣才能掌握企業正在使用哪些AI工具來輔助業務進行。

另一方面，從國際上對AI的管理程序，可以看出金融業對於AI的管理可說是相當完整而嚴密，雖說管理程序中大多已經明定AI對於工作的產出必須在人為的監督下進行，但實際上，當同仁產出一份工作成果時，主管有時候並不一定能夠輕易辨識這樣的成果是否由AI所產出，例如最常見的文稿撰寫與提案規劃，有時透過AI協助可以減少許多蒐集、彙整資料的人力，但問題點在於，對於開放的生成式AI所產生的資料比較難以溯源，或是源頭太多無法分辨產出結果是否完全正確，這些都可能是使用上最難以忽視的風險點。

這種「AI初稿、人工潤稿」的機制已經變成一種AI應用的模糊地帶。當一份文件從AI產出後，其中可能含括一些引用其他文件的資訊，倘若沒有適當揭露則可能產生爭議，再者，作者在檢視產出內容時，有時並無法完全審查資料的真實性，可能導致誤用一些尚未發生或是規劃中的資料，進而產生後續問題，因此，AI分析的源頭資料規劃，已經變成了機構發展AI的一項重點。更進一步來看，根據台灣金融研訓院出版的《AI金融革命》一書所言，打造AI-ready的銀行不是只有在資料端做整合，整個流程、營運模式甚至是組織文化，都需要重新規劃，才能真正達到AI-ready的目標。

因此，在AI時代，大型和小型金融機構最大的差別，就是金融科技的運用與法令遵循的成本。大型金融機構可以投入鉅資，在自身部門或是委外發展金融科技，特別是符合法令要求這塊能夠做到位，從而降低法遵風險；但對於小型金融機構而言，這樣的投資不僅深不見底，且初期產生的效益有限，常令業者望而卻步，自然無法在金融科技的創新運用上走在前面。

再從AI發展情況來看，高額的開發及法遵成本早已有跡可循，只是過去其他產業在AI的運用結果沒有被明顯重視，自動駕駛系統的發展就是一個例子。多數大型車廠對外銷售汽車，自動駕駛系統仍然宣稱是以「輔助式」駕駛系統為主，即便已經擁有全自動無人駕駛系統，仍不敢輕易售出自用的自駕車，只敢小規模用於測試開發，或是特定的商業用途，究其原因，仍然是法規嚴格規範自動駕駛系統所需達到的標準，以及發生事故的責任與賠償問題。

金融機構在AI的運用與開發何嘗不是面對相同的問題。當一項新開發的技術尚未成熟前，外界總是用各種異樣的眼光來檢視整理的流程是否有問題，一旦發生問題則不斷放大檢視各種成因與防堵措施，使得業者徒具各種創新想法，卻難以執行，又得回到沙盒試驗後才能上路，其實這些不斷循環的漫長創新過程，正是金融科技業者意圖改變的現況。

《誰搬走了我的乳酪》一書描述了4隻小老鼠面對逐漸被偷走的乳酪，卻不知道是否應該改變的無奈，而這也正是金融業投入科技發展的最佳寫照，我們無從得知從業人員是否為了保持現有的競爭地位而害怕大家一起改變，但可以肯定的是，如果金融業無法透過AI來改善市場環境，一定有外部人會「發現新的乳酪」進而改變市場版圖，這才是金融從業人員必須面對的重要課題。此外，一般民眾也應該給予金融機構更多容錯空間，先以基礎、必要的架構去規範一項新科技的運用與發展，讓更多業者能以最小的成本來發展、找尋合適的運用場景，當發現潛在問題時再持續縮減範圍，增加規範要求，這樣才能讓AI這項劃時代科技在金融業的運用上，找到良好出路。（作者為《台灣銀行家》副總編輯）