新加坡 116 頁 AI 董事會指南：董事必須掌握的 7 項治理原則

這份 116 頁的《新加坡董事會 AI 指南》（AI Guide for Boards in Singapore）傳達一個清晰訊息：人工智慧已經是董事會的治理責任。

指南由新加坡董事協會（Singapore Institute of Directors，SID）與新加坡資訊通信媒體發展局（IMDA）、Microsoft 及 OpenAI 合作發布，目的是協助董事把 AI 的發展目標，連結到商業價值、問責機制與風險控制。

核心訊息：董事會不能把 AI 完全交給 IT

董事會不應只把 AI 留給科技委員會、管理層或 IT 團隊處理。董事需要了解 AI 如何影響企業策略、投資、韌性、人才，以及長期價值創造；同時也要追問：AI 導入後帶來的成果，是否足以支持其伴隨的風險。

這並不代表董事必須成為工程師，而是要具備足夠的共同基礎，能夠提出有實質內容的問題，並辨識管理層的假設、控制措施或衡量指標何時不足。

1. 建立具備 AI 素養的董事會

指南建議，每名董事都應掌握 AI 的基本概念、商業影響與治理議題；董事會中亦應有一批成員，能就 AI 策略、部署方式、資料治理及風險取捨向管理層提出質疑。面對複雜的技術、法規或營運問題，董事會還應能取得更深入的 AI 專業支援。

實際考驗不在於董事能否談論最新模型，而在於他們是否了解企業正在使用哪些 AI、知道可能出現什麼問題，以及能否判斷管理層是否有能力應對。

2. 衡量實際成果，而不是 AI 活動量

AI 投資應以具體的商業成果評估，而不是只看採用率或活動數據。指南區分了「活動」與「價值」：前者包括試點計畫、購買授權、培訓或各種實驗；後者則包括工作流程改善、節省時間、客戶體驗提升及營運效益。

董事會可以從以下問題開始：

• 這套系統要解決什麼商業問題？
• 哪項成果預計改善多少？
• 企業將如何衡量改善幅度？
• 從試點擴大部署的決定，有哪些證據支持？
• 監督、資安、系統整合及失敗的成本是多少？

試驗數量很多，或許代表企業對 AI 有興趣，但本身並不能證明投資已產生回報。

3. 把員工自發試用 AI 轉化為受治理的能力

員工往往比正式 AI 計畫更早發現實用的應用方式。指南鼓勵董事會和管理層善用這些經驗，同時把員工的實驗納入企業的控制環境。

這包括記錄由 AI 建立的工具、界定誰可以使用這些工具及用途，並確認相關工具符合適用的安全與治理要求。重點不是消滅實驗，而是避免有用的原型變成不透明、無人支援的系統，在缺乏適當控制下影響客戶、員工或公司資料。

4. 把 AI 風險視為企業整體風險

AI 治理不能只關注模型表現。指南要求董事檢視倫理、網路安全、資料、安全性、隱私及人才風險，也要考慮 AI 對企業韌性與長期價值創造的影響。

因此，董事會應掌握以下資訊：企業在哪些地方使用 AI、涉及哪些資料與第三方供應商、每個系統由誰負責、事故如何通報，以及什麼情況下必須暫停或重新審查部署。

風險控制應與失敗後果相稱。低影響的內部生產力工具，不必採用與影響聘僱、客戶權益或人身安全的系統相同的控制強度。

5. 訂立人工作把關規則與自動化紅線

指南要求企業明確劃定決策界線。董事會應規定哪些情況必須由人員審查，並訂立自動化決策不得越過的「不可逾越紅線」，尤其是涉及客戶、員工、安全或隱私的決定。

人工作把關只有在審查者擁有足夠資訊、權限與時間，能夠質疑或推翻 AI 建議時才有實質意義。若所謂的人工作核准只是形式，最後變成對自動化結果蓋章，便不能算是真正的監督。

6. 為 AI 輔助的人力決策加設保障

AI 若用於招聘、升遷或績效評估，可能直接影響個人的機會與生計。指南建議，這類用途應配合人工審查、偏見測試及資料品質檢查，並建立清晰程序，讓受影響人士可以提出異議或要求重新檢視決定。

對董事會而言，這讓「公平」從抽象原則變成具體的監督問題：有哪些證據顯示系統運作符合預期？哪些群體可能受到不利影響？當事人又如何挑戰結果？

7. 由董事會層級維持資安韌性與問責

指南把 AI 納入企業維持組織及數位韌性的整體責任之中。相關建議反映出一項日益受到重視的期待：董事會必須主動監督 AI 相關風險，包括資安威脅，而不能假設技術團隊單獨就能處理所有問題。

董事應向管理層追問：AI 如何改變企業的攻擊面？敏感資料如何受到保護？供應商如何評估？如果 AI 系統遭到入侵，或產生有害輸出，企業將如何應對？

具體控制措施會因企業而異，但提出這些問題的責任仍在董事會。

董事會下一步可以做什麼？

企業可以先從以下五個問題開始檢視：

1. 企業目前在哪些地方使用 AI，包括員工自行建立的工具？
2. 哪些部署具備策略重要性，或可能帶來較高影響？
3. 管理層向董事會報告哪些成果與風險指標？
4. 哪些情況必須由人員審查？哪些自動化決策被明確禁止？
5. 受影響人士能否挑戰決定？企業能否安全地暫停系統？

這份指南更深層的提醒是：負責任的 AI 治理不是制定一次政策就告完成。董事會需要足夠的 AI 素養來監督策略、足夠的證據來判斷價值，也要有足夠的權限，在風險高於效益時設下限制。