歐盟 AI 法案對企業意味著什麼？義務、期限與起步做法

先抓住核心：不是所有 AI 都同一種風險

同樣叫 AI，企業責任可能差很多。用 AI 做內部文字摘要，和用 AI 篩選履歷、評估員工表現、預先判斷個人資格或權益，不能用同一套粗略標準處理。

目前資料顯示，歐盟 AI 法案採分階段、分風險的做法：先處理被禁止的 AI 實踐，再處理通用型 AI 模型，也就是 GPAI；接著是大部分高風險 AI 義務；最後則是某些已受產品安全法規管理、且內嵌 AI 的產品。

企業實務上，可以先用三個問題開場：

1. **使用情境：**AI 具體在做什麼？使用哪些資料？會不會影響人或組織的決策？
2. **企業角色：**公司是 AI 系統的部署者／使用者、AI 系統提供者，還是 GPAI 模型提供者？
3. **風險等級：**這項用途是否涉及禁止實踐、GPAI、高風險 AI，或只是較低風險的輔助用途？

企業最該記住的幾個時間點

以下整理的是企業規劃時最常用到的時程概念；實際適用仍要看具體產品、流程與角色。

真正的判斷順序：用途、角色、風險

1. 先問 AI 實際做什麼，而不是只看工具名稱

企業常犯的錯，是只登記「用了某某 AI 工具」，卻沒有寫清楚它被拿來做什麼。歐盟 AI 法案下，工具名稱本身通常不足以判斷義務；重點是用途是否涉及評估個人、影響機會或服務取得、控制安全相關流程，或只是支援內部行政與知識工作。

尤其是用在敏感領域的 AI，應優先檢查。資料列舉生物辨識、關鍵基礎設施、教育、就業與公共服務等領域，這些場景較容易引出高風險 AI 的判斷問題。

2. 釐清公司在每個情境中的角色

同一家公司，在不同 AI 專案中可能扮演不同角色。採購外部 AI 工具時，公司多半需要先從部署者或使用者角度思考；如果把含 AI 功能的產品推向市場，則可能涉及 AI 系統提供者義務；如果自行開發或提供通用型 AI 模型，還會牽涉 GPAI 模型提供者的特殊要求。

這一步不能省略，因為義務不只取決於系統風險，也取決於企業是提供、部署，還是提供底層模型。

3. 用四步驟做初步分流

企業可先用以下方式做第一輪篩查：

1. **排除禁止風險：**如果某個 AI 用途落入禁止類別，這不是可以等到以後再補文件的事項，而是立即需要處理的風險。
2. **檢查 GPAI 關聯：**公司是自己提供 GPAI 模型，還是只是在某個具體應用中使用他人的模型？
3. **檢查高風險可能性：**用途是否位於敏感領域，或會影響與個人相關的決策？
4. **檢查產品制度：**AI 是否嵌入已受監管的產品中，因而可能適用不同過渡期？

現在就該建立的企業準備工作

建一份真正可用的 AI 盤點清冊

第一步不是寫厚厚的政策文件，而是先知道公司到底用了哪些 AI。盤點範圍不應只限大型策略專案，也要包括內部助理工具、採購來的 SaaS AI 功能、自家產品中的 AI 模組、自動化流程，以及正在使用的模型。

一份實用的 AI 清冊，至少應包含：

• 工具或系統名稱
• 使用目的與所屬部門
• 內部自建或外部採購
• 使用的資料類型
• 可能受影響的人或群體
• 是否影響決策，以及影響程度
• 供應商、內部負責人與相關團隊
• 初步判斷：是否有禁止風險、GPAI 關聯、高風險可能，或較低風險

有了這份清冊，企業才有基礎逐一判斷角色與風險類別，而不是到期限前才臨時補資料。

優先處理敏感使用情境

不是每一個 AI 用途都需要同等程度的審查。應先看那些會評估人、影響機會或服務取得、或出現在敏感領域的系統。資料中特別提到生物辨識、關鍵基礎設施、教育、就業與公共服務等領域。

在企業場景中，常見需要提早檢視的包括人資工具、履歷預篩、績效評估、安全相關系統，以及會協助或影響個人決策的流程。不過，某個個案是否真的屬於高風險，仍取決於實際工作流程與企業角色。

提早準備治理與文件

對高風險系統，資料提到的要求包括風險管理、技術文件與符合性評估等；至於哪些任務落在企業身上，仍要看公司角色與系統性質。 對附件三所列高風險 AI 系統，完整合規框架自 2026 年 8 月 2 日起適用。

可先啟動的工作包括：

• 指定業務、IT、資安／資料保護、法務與合規窗口
• 建立新 AI 工具的採購與上線審核流程
• 向供應商要求技術文件、風險說明、更新機制與合約承諾
• 記錄 AI 的目的、資料、風險、人類監督方式與後續變更
• 對界線不清的個案及早取得法律評估

不要低估 AI 素養要求

AI 素養不只是高風險 AI 才需要注意。資料指出，AI 素養要求是一項較廣泛的義務，適用於提供者與部署者，不論其 AI 系統風險等級高低；即使只使用最低風險 AI 系統的組織，也仍需注意 AI 素養要求，並避免從事被禁止的 AI 實踐。

換成企業內部語言，就是：選購、設定或使用 AI 的員工，應理解系統限制、常見錯誤、資料風險，以及何時必須由人進一步審查。

三種常見企業情境

情境一：只在公司內部使用 AI 助理工具

這時關鍵仍然是用途。若只是用來整理文字、協助研究或草擬初稿，和把同一工具用在人資、評分、資格判斷或其他敏感流程，風險判斷會不同。不過，即使初步看來風險較低，這類工具也應進入 AI 清冊；同時，AI 素養與清楚的使用規則仍然重要。

情境二：公司開發含 AI 功能的 SaaS 產品

這時要檢查公司是否可能被視為 AI 系統提供者，以及該功能是否進入高風險場景。對高風險系統，2026 年起風險管理、技術文件與符合性相關要求會變得特別重要。

情境三：在人資招募、評分或客服中使用 AI

招募與其他就業相關情境應提早檢視，因為資料將就業列為可能引發高風險 AI 問題的領域之一。 至於評分或客服，判斷重點是 AI 只是提供輔助，還是會準備、影響或自動化與個人相關的決策。若沒有完整工作流程描述，很難負責任地下最終結論。

企業下一步檢核清單

1. **盤點所有 AI 應用：**包括工具、模型、產品功能與自動化流程。
2. **按用途分流：**先排除禁止實踐，再檢查 GPAI 關聯與可能的高風險場景。
3. **確認企業角色：**每個用途都要判斷公司是部署者、提供者，還是 GPAI 模型提供者。
4. **優先審查敏感領域：**人資、生物辨識、關鍵基礎設施、教育、公共服務，以及其他接近決策的流程都應靠前處理。
5. **檢查供應商資料：**採購外部 AI 時，確認供應商能提供哪些文件、風險資訊、更新說明與合約承諾。
6. **建立治理流程：**明確責任分工、上線審核、員工訓練與文件留存。
7. **為高風險 AI 預留時間：**若可能涉及附件三高風險系統，應把 2026 年 8 月 2 日視為重要準備節點。

結論：先盤點，再分類，不要等期限逼近

對企業而言，歐盟 AI 法案最實際的問題不是「我們還能不能用 AI」，而是「這個 AI 用途是什麼、公司扮演什麼角色、適用哪一個風險分類與期限」。

如果公司只有少量內部 AI 工具，準備工作可能相對可控；但 AI 清冊、使用規則與 AI 素養仍然值得立即建立，且部分要求本身已具有廣泛適用性。 如果公司在敏感領域使用 AI、對外提供 AI 產品，或提供 GPAI 模型，就不應把檢查工作拖到 2026 年才開始。