"AI governance for private companies"是2026年七月在Wellington Management網站刊出的文章，由Hillary Flynn、Drew Morales、Courtney Hugger、Caroline Conway合寫。以下分享歐美近期監理進度，以及最後六點建議。
有進四分之三的公司計畫在兩年內部署代理式AI，但僅五分之一才有成熟的治理模式。
落差就是風險。公司在沒有適當監督下貿然行事，可能會讓自己暴露在營運、法律、網路安全、客戶及聲譽挑戰。作者相信，對公司重要的是：採行最佳實務，創造在全公司安全部署AI所需的信心和紀律。
以下作者列舉了AI會對私有公司帶來的風險、探索其演變中的監理趨勢，並提供採用的最佳實務等。
作者從投資組合公司聽到的：Wellington的私有投資組合公司，針對AI採用在實務上的變化提供寶貴的見解。透過作者年度AI採用調查，以及Wellington和投資組合公司(處於不同成長階段)技術主管共同舉辦的同儕論壇，發現有兩個主題持續出現：
1.AI正進入日常營運，主要使用案例包括內容生成、協助編碼、知識檢索、分析以及消費者支持。
2.對價值創造最大的阻礙常來自於組織，而非技術。
公司說最大的進步是讓AI投資結合員工訓練、明確治理，還有明確期待AI在整個公司內應如何使用。
監理趨勢
歐洲：計畫實施全面性AI監管
*2024年歐盟AI法預計會以分階段方式至2027年施行。到正式上路時，組織若開發或部署高風險AI系統，必須遵守全球最全面AI治理架構之監管。包括的要求有：透明、人為監督、風險管理、明文化、上市後監督及AI素養。
*就算不在歐盟經營的公司，可能也會因為其客戶、業務伙伴或採購要求，而受歐盟AI法的影響。實務上，很多全球科技公司正在設計AI系統及治理流程，以便在全面實施前就符合該法的要求，影響力廣大超過正式監管範圍。
美國：治理期待不斷變化中
*美國沒有全面的聯邦AI法。關於負責任AI治理之期待，業界標準、各產業指引、客戶要求以及各州規定還在演變中。
*在缺少聯邦指引、標準制定活動下，產業團體、標準制定機構及政府伙伴在加速。像NIST AI Risk Management Framework及新的ISO標準這些架構，對客戶期待、採購流程、產業實務及各產業專屬指引的影響越來越大。透過監管或產業自治，這些標準都可能塑造外界如何期待組織發展、部署或監督AI系統。
*與此同時，各州監管持續擴大，造成演變中的要求分歧。監理活動一直最集中的是：受AI影響的聘僱決定、金融產品之取得、醫療保健、保險範圍、住房、教育及其他有高度影響後果之處。在相關產業營運的（或使用AI輔助這類決定的）公司，要預期升高的審查及持續演變的監管。
雖然各司法管轄區及產業的特殊規定和標準仍會不同，但還是有這些共通主題：問責性、透明度、人為監督、風險管理、明文化及AI素養。
以下是作者對私有提出的6個AI治理最佳實務，協助建立AI治理能力。
1.建立明確的負責關係及問責性
*指派高階經理人或部門負責AI治理。
*建立一個輕量級的跨部門審視流程，其涉及生產、工程、法律、遵循、安全、採購與相關業務的主管。
*確保高風險AI使用案例，適時向上報告領導層或董事會。
*避免將AI僅視為技術或法律；它應該連結到經營策略、風險及客戶。
2.從經營目標開始，而非特殊的AI工具
*在選擇工具或模型之前，要求團隊定義AI要解決的問題。
*預先確定預期的經營與/或客戶成果。
*追蹤可衡量的結果，比如成本、速度、品質、營業額、客戶滿意度、減錯率，或者風險舒緩。
*定義什麼狀況下會觸發重新設計、向上報告或退出。
3.瞭解AI使用之處及依風險進行治理
*保持AI工具、供應商、模型以及使用案例之實務清單。
*要包含內部工具、面對客戶的AI、第三方AI軟體以及員工建立或未經授權的用途。
*根據客戶影響、資料機敏性、監理暴險、營運重要性以及自主性，將治理注意力予以優先排序。
*使用風險分級，避免過度治理低風險案例，將較強控制用到潛在後果更嚴重的事務上。
4.保護資料、系統以及對供應商盡職調查
*控制AI系統之存取，以及如何使用機密、專有和客戶資料。
*在核准AI工具與供應商之前，針對資料來源、隱私、網路安全及智慧財產權審查設定最基本要求。
*進行AI專屬的供應商盡職調查，包括資料使用、模型更新、責任、透明度、可攜性以及上鎖。
*提供員工經過核准的工具、明確的使用規定與實務訓練，讓他們不會繞過治理。
5.保護客戶和其他受影響的利害關係人
*評估如果AI失靈或出現系統性錯誤時，誰會受到傷害。
*特別注意後果嚴重的決定，像涉及資料存取、資格、定價、索賠、建議、醫療保健、聘僱、教育、金融產品或其他敏感內容。
*建立揭露、人為審視、申訴或報告路徑，並監控是否有差異或不公平的結果。
*避免用公司無法說明、監控或防禦其結果的AI。
6.持續監控與對失敗時做好準備
*在部署前就檢測AI，並在發佈後監控。
*追蹤正確性、可靠性、偏見、偏移、可說明性、誤用以及一再出現的錯誤。
*對代理或自主AI，增加權限、行動日誌、高風險行動的人為審視，以及替代機制。
*建立事件因應協議，以利暫停、向上報告、救濟與溝通AI相關的失靈。
資料來源：https://www.wellington.com/en-us/institutional/insights/ai-governance-for-private-companies
沒有留言:
張貼留言