新加坡116頁AI董事會指南：企業管治人工智能的7大守則

新加坡人工智能（AI）董事會指南帶出的核心訊息相當直接：AI已經係董事會層面的管治責任。這份由新加坡董事協會（SID）聯同新加坡資訊通信媒體發展局（IMDA）、Microsoft及OpenAI推出的116頁指南，旨在協助董事將AI發展目標，連繫到實際商業價值、問責機制及風險控制。

核心訊息：董事會要帶頭，而唔係袖手旁觀

董事會唔應該將AI完全交畀科技委員會、管理層或者IT部門處理。董事需要了解AI會點樣影響企業策略、投資、韌性、員工，以及長遠價值創造；同時亦要追問，AI部署帶來的成果，是否足以抵銷相關風險。

當然，董事唔需要變身工程師。但董事會必須具備共同而足夠的AI基本認知，先可以有根有據咁向管理層提問，並辨認出假設、控制措施或者成效指標不足的地方。

1. 建立「AI就緒」的董事會

指南建議，每位董事都應掌握AI基本概念、商業影響及管治議題；董事會中亦應有一批成員，能夠就AI策略、部署、數據管治及風險取捨向管理層提出具體挑戰。遇到較複雜的技術、監管或營運問題，董事會亦應能夠取得更深入的AI專業意見。

實際考驗唔係董事識唔識講最新AI模型，而係能否了解公司正使用哪些AI方案、預視可能出現的問題，並判斷管理層是否有能力處理。

2. 睇成果，唔好只睇AI活動量

AI投資應以可見的商業成果評估，而唔係單純以採用數字作指標。指南將「活動」同「價值」區分開來：試點數目、購買牌照、培訓課程或者各種實驗，屬於活動；改善工作流程、節省時間、提升客戶體驗及營運效益，先更加接近真正價值。

董事會可以問：

• 呢套系統究竟要解決邊個商業問題？
• 預期改善邊項成果？改善幅度有幾多？
• 公司會用咩方法量度成效？
• 由試點擴大部署之前，有咩證據支持？
• 監督、安全、整合，以及出錯所涉及的成本係幾多？

試驗項目多，只能代表公司對AI有興趣，唔代表一定有投資回報。

3. 將員工自發試用，變成有管治的能力

好多時，員工會早過正式項目發現AI的實用方法。指南鼓勵董事會及管理層善用這些經驗，同時將自發試用納入公司的控制環境。

換句話講，公司需要記錄由AI建立的工具，清楚界定邊啲人可以使用、可以用嚟做咩，並檢查工具是否符合適用的安全及管治要求。目標唔係一刀切禁止試驗，而係避免有用的原型變成無人負責、無人支援的「隱形系統」，在欠缺足夠控制下接觸客戶、員工或公司數據。

4. 將AI風險視為企業整體風險

AI管治唔應該只關心模型準唔準。董事需要審視道德、網絡安全、數據、安全、私隱及人才風險，亦要考慮AI對企業韌性及長遠價值創造的影響。

因此，董事會應該清楚知道：公司邊度使用AI、涉及哪些數據及第三方供應商、每套系統由邊個負責、事故如何上報，以及甚麼情況下需要暫停或重新審查部署。控制措施應按失誤後果而定：低影響的內部生產力工具，唔需要同影響招聘、客戶服務權益或人身安全的系統採用相同程度的管控。

5. 訂明人手監督規則及「硬性紅線」

指南要求企業清楚劃出決策界線。董事會應訂明哪些情況必須由人員覆核，亦要列出不容許由自動化系統作決定的「硬性紅線」，尤其係涉及客戶、員工、安全或私隱的決定。

真正有意義的人手監督，前提係覆核者有足夠資料、權限及時間去質疑，甚至推翻AI建議。若果所謂「人手批准」只係例行蓋章，最終變成自動化結果的橡皮圖章，就唔算有效監督。

6. AI協助處理員工事務，要加強保障

如果AI用於招聘、升職或員工表現評估，可能直接影響一個人的機會及生計。指南建議，企業應為這些用途加入人手覆核、偏見測試及數據質素檢查，並設立清晰渠道，讓受影響人士可以提出異議或要求重新審查決定。

對董事會而言，這將「公平」由抽象原則變成具體監督問題：有咩證據證明系統按預期運作？哪些群體可能處於不利位置？當事人又可以點樣挑戰結果？

7. 將網絡韌性及問責提升至董事會層面

指南將AI放在企業整體及數碼韌性的責任框架下，反映外界日益期望董事會主動監督AI相關風險，包括網絡威脅，而唔係假設技術團隊可以單獨處理所有問題。

董事應該向管理層追問：AI會否擴大公司的攻擊面？敏感數據如何受到保護？供應商如何評估？如果AI系統被入侵，或者產生有害輸出，公司是否有能力應對？具體控制措施會因企業而異，但提出這些問題的責任，仍然在董事會身上。

董事會下一步可以點做？

企業可以先由以下五條問題開始檢視：

1. 公司目前邊度已經使用AI，包括員工自行建立的工具？
2. 哪些部署對策略最重要，或者會帶來較高影響？
3. 管理層向董事會匯報哪些成效及風險指標？
4. 哪些情況必須由人覆核？哪些自動化決定應該一律禁止？
5. 受影響人士能否挑戰決定？公司又能否安全地暫停系統？

這份指南最重要的提醒係：負責任的AI管治唔係寫完一份政策就大功告成。董事會要有足夠知識監督策略，有足夠證據判斷價值，亦要有足夠權限，在風險大過收益時設下界線。