甚麼是歐盟人工智能法案（EU AI Act）？

歐盟人工智能法案是一個全面的監管框架，管理人工智能系統在歐盟內的開發、市場部署及使用。它適用於人工智能供應商和部署者，並根據人工智能系統如何影響個人、社會和基本權利而建立明確的法律義務。該法案透過在整個人工智能生命週期中設定透明度、風險管理、人為監督、數據管治及網絡保安的要求，在保護健康、安全及基本權利的同時促進創新。

歐盟人工智能法案採用風險為基方法，即人工智能系統根據個人和社會的風險級別而受到監管。潛在風險越高，對供應商及部署商施加的義務越嚴格。

• 禁止的做法
  直接禁制構成不可接受風險的人工智能系統。這些包括認知行為操縱、公共機構的社會評分、無差別抓取臉容影像，以及利用生物特徵推斷政治信仰或性取向等敏感屬性。
• 高風險人工智能系統
  高風險系統是指在敏感或受監管的領域使用，例如關鍵基礎設施、就業及人力資源、信用評估、教育、醫療保健、執法、邊境管制及司法管理。這些系統必須符合嚴格的要求，包括風險管理程序、優質培訓數據、技術文件、人為監督、網絡安全保障及 CE 認證，方才進入市場。
• 通用人工智能模型 （GPAI）
  此類別包括大型模型，例如大型語言模型。供應商必須履行透明度義務、尊重版權規則、文件培訓實務，並採取措施應對系統性風險，尤其是對於更有能力或廣泛部署的模型。
• 有限風險人工智能系統
  這些系統主要受透明度義務約束。除例外情況外，用戶在與人工智能生成內容互動時必須獲得通知，例如聊天機器人或深偽。
• 最少或無風險的人工智能系統
  幾乎沒有風險的人工智能應用程式，例如支援人工智能的電子遊戲或垃圾郵件過濾器，在很大程度上不受人工智能法案規管。

違反人工智能法案可導致最高 3500 萬歐元或佔全球年度營業額 7% 的罰款，以較高者為準。

自 2025 年 2 月 2 日起，供應商及部署人員必須確保員工具備足夠的人工智能知識。培訓是一個建議的動作，但並非強制性。

主要考慮因素包括在公司的職位、對人工智能的了解、相關風險，以及基於技術知識和背景而度身訂造的認知措施。

實施歐盟人工智能法案的機構需要將監管義務轉化為營運管控。審計部在過程中扮演著關鍵角色，協助公司了解人工智能系統的使用方式、風險存在的地方，以及需要採取哪些合規措施。

這些審計旨在：

• 根據法案的風險類別辨識及分類人工智能系統
• 確定機構是否擔任供應商、部署者或兩者兼有的角色
• 評估人工智能系統如何處理數據及生成產物
• 識別透明度、人為監督、網絡保安及風險管理方面的落差
• 提供合規所需的補救計劃、管治架構及內部管控

實際上，這些評估是人工智能管治計劃的基礎，讓機構能夠根據風險和監管披露，優先考慮合規工作。