董事會首先要問：AI 要改善什麼結果？

指南建議，董事會應按照 AI 投資對組織的預期貢獻作出評估。可靠的商業理據可以包括增加收入、提升生產力、改善服務質素、提高決策質素、降低風險或增強營運韌性。關鍵是先界定預期成果，再批准投資，並在部署後量度成果是否真正出現。

這要求企業把有意義的績效指標，與只反映活動量的數字分開。推出了多少個試點、購買了多少個軟件授權，或有多少名員工接受培訓，或許能反映投入程度，卻不能證明 AI 計劃已經創造價值。董事會應要求管理層同時匯報已實現的成果、成本、限制和風險，而不只是採用率。

這種做法也有助避免兩種常見失誤：一是批准彼此割裂、沒有擴展路徑的實驗；二是由於沒有人先定義成功標準，最終連有用的部署也被擱置。指南聚焦於策略、用例選擇和投資回報，目的正是把 AI 開支連接到組織更廣泛的優先事項。

把員工自行試用 AI 納入管治範圍

員工可能早已私下使用 AI 工具，或自行建立工作流程。企業不應對這些活動視而不見，而應把有用的試驗轉化為受管理的組織能力。

董事會應要求管理層掌握：目前使用了哪些工具和用例、由誰負責、處理什麼資料，以及適用哪些控制措施。記錄由 AI 建立的工具、為其使用建立管治安排，並確保符合安全要求，都是指南列出的考慮事項。

實際執行時，企業需要制定涵蓋核准工具、敏感資料、責任歸屬、監察和升級處理的制度規則。同時，也要辨識和培育員工現有的 AI 能力，而不是把採用 AI 視為只能由上而下推行的項目。若策略沒有配套的技能計劃、負責人和營運紀律，AI 很難穩定地由試驗階段走向正式執行。

整個董事會都要具備足以質疑管理層的 AI 素養

指南把 AI 素養視為董事會能力的一部分。董事不必全部成為機器學習工程師，但董事會整體應了解 AI 如何影響行業、營運模式、競爭格局、決策流程和風險。

董事會中應有數名成員能夠追問管理層的假設、價值主張和風險評估；同時，董事會亦應能接觸至少一名具備足夠技術深度的人士，可以是董事、顧問或委員會成員，能就系統、資料、測試和控制措施提出實質挑戰。

這比把 AI 交給科技委員會、定期聽取簡報更進一步。它把 AI 納入董事會的策略及受信責任監督，同時保留在技術問題超出董事會專業範圍時尋求專家意見的必要性。

在系統上線前訂明決策權限

AI 管治要真正落地，企業必須先界定誰可以批准、操作、監察和停止一個 AI 系統。董事會應要求管理層按照風險制定決策界線，清楚區分：

• 管理層可在既定限額內自行作出的決定；
• 必須提交董事會或委員會升級處理的決定；以及
• AI 絕對不可自行作出的決定。

後果越嚴重，控制措施就應越嚴格。對於招聘、晉升、解僱和績效評估等高影響力的僱傭用途，董事會應訂立清晰的「不可越過的紅線」，包括有實質意義的人類覆核和明確負責的決策者。AI 輸出不應在沒有監督的情況下，變成決定一個人職業生涯的自動判決。

這項原則與更廣泛的管治要求一致：AI 應該支援人類判斷，而不是在不為人知的情況下取代人類判斷。對管理層而言，實際檢驗標準很直接：系統上線前，必須清楚知道由誰負責、何時需要批准、哪一個環節進行人類監督，以及出現問題時如何叫停。

要求測試公平性、資料質素和申訴能力

負責任的審批流程，不能只看模型的平均表現。董事會應追問企業如何測試資料質素、記錄系統限制、檢視潛在偏誤，以及在部署後持續監察表現。

當 AI 系統對個人造成重大影響時，受影響人士應有切實可行的途徑，了解決策、質疑結果，並要求由人員重新考慮。解釋不必披露專有技術細節，但必須足以支持問責、檢視和申訴。

這些要求屬於更廣泛的控制環境。新加坡的企業管治資料亦指出，AI 決策需要具備透明度和問責性，並須注意監管與道德標準。董事會的責任，是確保這些期望轉化為有文件記錄、有負責人並能提供證據的流程，而不是停留在沒有執行者的原則宣示。

把 AI 納入網絡安全與營運韌性管理

AI 帶來的是雙向的安全問題。一方面，企業要防範由 AI 強化的釣魚攻擊、社交工程、詐騙、自動化攻擊和更快速的漏洞發現；另一方面，也要保護 AI 系統本身，避免資料外洩、提示注入、模型操控，以及供應商或第三方引入的弱點。

因此，董事會應確保 AI 風險出現在網絡韌性報告、保證工作和事故應變計劃中，而不是被孤立在科技部門。需要追問的問題包括：誰有權停用系統？事故如何上報？如何調查受影響的資料和決策？如果 AI 服務無法使用或遭到入侵，企業如何復原？

這項重點延伸了董事會原有的網絡韌性和風險管理責任。SID 的網絡韌性指引同樣把韌性視為企業策略的一部分，而非純粹的技術工作。

對關鍵及高後果系統採用更高標準

AI 故障的後果會因用例而大不相同。低風險的內部生產力工具，不應與支援重要服務、關鍵基礎設施或其他高後果營運的系統，接受完全相同的監督程度。

對於這些環境，董事會應要求更嚴格的韌性、安全、測試、監察、升級和復原標準。原因很簡單：系統故障或遭到入侵，影響可能不只限於企業本身的財務或聲譽，也可能中斷重要服務，造成更廣泛的營運後果。

指南採用以風險為本的方式，不把所有 AI 應用一概而論，而是要求董事會按照失效可能造成的影響，配對相應的權限和控制措施。

董事會可採用的 AI 用例儀表板

指南的建議可以整理成一份簡潔的董事會登記表或儀表板。對於每一個重要 AI 用例，管理層都應能清楚列出：

1. 負責人：對系統及其結果負責的人員。
2. 預期商業成果：包括衡量成功的方法。
3. 決策權限：以及需要升級處理的門檻。
4. 資料來源及處理規則：系統涉及哪些資料，以及如何使用。
5. 風險級別：以及訂定該級別的理由。
6. 控制措施：包括安全、公平性和資料質素檢查。
7. 人類監督環節：以及對最終決定負責的人員。
8. 測試及監察結果：包括已知限制。
9. 事故、投訴或申訴：以及相關問題如何處理。
10. 下次檢視日期：或觸發重新評估的條件。

這種結構把價值創造和風險管理放在同一份紀錄中，也讓董事能夠查核具體證據，而不是只依賴「企業正負責任地使用 AI」這類概括說法。

給公司董事的結論

SID 的指南並沒有把採用 AI 和 AI 管治視為二選一。它要求董事會以處理其他重大策略投資的同等紀律，推動有用的 AI 應用：先定義價值、分配責任、了解風險、測試控制措施，再檢視實際結果。

董事現在可以採取的直接行動，包括把 AI 列入定期董事會議程、檢視組織內的重要 AI 用例，並找出 AI 素養、責任歸屬、決策權限、人類監督、測試和韌性方面的缺口。最強的 AI 策略，不是活動最多的策略，而是董事會能夠清楚解釋、量度並有效管治的策略。

董事會首先要問：AI 要改善什麼結果？

指南建議，董事會應按照 AI 投資對組織的預期貢獻作出評估。可靠的商業理據可以包括增加收入、提升生產力、改善服務質素、提高決策質素、降低風險或增強營運韌性。關鍵是先界定預期成果，再批准投資，並在部署後量度成果是否真正出現。

這要求企業把有意義的績效指標，與只反映活動量的數字分開。推出了多少個試點、購買了多少個軟件授權，或有多少名員工接受培訓，或許能反映投入程度，卻不能證明 AI 計劃已經創造價值。董事會應要求管理層同時匯報已實現的成果、成本、限制和風險，而不只是採用率。

這種做法也有助避免兩種常見失誤：一是批准彼此割裂、沒有擴展路徑的實驗；二是由於沒有人先定義成功標準，最終連有用的部署也被擱置。指南聚焦於策略、用例選擇和投資回報，目的正是把 AI 開支連接到組織更廣泛的優先事項。

把員工自行試用 AI 納入管治範圍

員工可能早已私下使用 AI 工具，或自行建立工作流程。企業不應對這些活動視而不見，而應把有用的試驗轉化為受管理的組織能力。

董事會應要求管理層掌握：目前使用了哪些工具和用例、由誰負責、處理什麼資料，以及適用哪些控制措施。記錄由 AI 建立的工具、為其使用建立管治安排，並確保符合安全要求，都是指南列出的考慮事項。

實際執行時，企業需要制定涵蓋核准工具、敏感資料、責任歸屬、監察和升級處理的制度規則。同時，也要辨識和培育員工現有的 AI 能力，而不是把採用 AI 視為只能由上而下推行的項目。若策略沒有配套的技能計劃、負責人和營運紀律，AI 很難穩定地由試驗階段走向正式執行。

整個董事會都要具備足以質疑管理層的 AI 素養

指南把 AI 素養視為董事會能力的一部分。董事不必全部成為機器學習工程師，但董事會整體應了解 AI 如何影響行業、營運模式、競爭格局、決策流程和風險。

董事會中應有數名成員能夠追問管理層的假設、價值主張和風險評估；同時，董事會亦應能接觸至少一名具備足夠技術深度的人士，可以是董事、顧問或委員會成員，能就系統、資料、測試和控制措施提出實質挑戰。

這比把 AI 交給科技委員會、定期聽取簡報更進一步。它把 AI 納入董事會的策略及受信責任監督，同時保留在技術問題超出董事會專業範圍時尋求專家意見的必要性。

在系統上線前訂明決策權限

AI 管治要真正落地，企業必須先界定誰可以批准、操作、監察和停止一個 AI 系統。董事會應要求管理層按照風險制定決策界線，清楚區分：

• 管理層可在既定限額內自行作出的決定；
• 必須提交董事會或委員會升級處理的決定；以及
• AI 絕對不可自行作出的決定。

後果越嚴重，控制措施就應越嚴格。對於招聘、晉升、解僱和績效評估等高影響力的僱傭用途，董事會應訂立清晰的「不可越過的紅線」，包括有實質意義的人類覆核和明確負責的決策者。AI 輸出不應在沒有監督的情況下，變成決定一個人職業生涯的自動判決。

這項原則與更廣泛的管治要求一致：AI 應該支援人類判斷，而不是在不為人知的情況下取代人類判斷。對管理層而言，實際檢驗標準很直接：系統上線前，必須清楚知道由誰負責、何時需要批准、哪一個環節進行人類監督，以及出現問題時如何叫停。

要求測試公平性、資料質素和申訴能力

負責任的審批流程，不能只看模型的平均表現。董事會應追問企業如何測試資料質素、記錄系統限制、檢視潛在偏誤，以及在部署後持續監察表現。

當 AI 系統對個人造成重大影響時，受影響人士應有切實可行的途徑，了解決策、質疑結果，並要求由人員重新考慮。解釋不必披露專有技術細節，但必須足以支持問責、檢視和申訴。

這些要求屬於更廣泛的控制環境。新加坡的企業管治資料亦指出，AI 決策需要具備透明度和問責性，並須注意監管與道德標準。董事會的責任，是確保這些期望轉化為有文件記錄、有負責人並能提供證據的流程，而不是停留在沒有執行者的原則宣示。

把 AI 納入網絡安全與營運韌性管理

AI 帶來的是雙向的安全問題。一方面，企業要防範由 AI 強化的釣魚攻擊、社交工程、詐騙、自動化攻擊和更快速的漏洞發現；另一方面，也要保護 AI 系統本身，避免資料外洩、提示注入、模型操控，以及供應商或第三方引入的弱點。

因此，董事會應確保 AI 風險出現在網絡韌性報告、保證工作和事故應變計劃中，而不是被孤立在科技部門。需要追問的問題包括：誰有權停用系統？事故如何上報？如何調查受影響的資料和決策？如果 AI 服務無法使用或遭到入侵，企業如何復原？

這項重點延伸了董事會原有的網絡韌性和風險管理責任。SID 的網絡韌性指引同樣把韌性視為企業策略的一部分，而非純粹的技術工作。

對關鍵及高後果系統採用更高標準

AI 故障的後果會因用例而大不相同。低風險的內部生產力工具，不應與支援重要服務、關鍵基礎設施或其他高後果營運的系統，接受完全相同的監督程度。

對於這些環境，董事會應要求更嚴格的韌性、安全、測試、監察、升級和復原標準。原因很簡單：系統故障或遭到入侵，影響可能不只限於企業本身的財務或聲譽，也可能中斷重要服務，造成更廣泛的營運後果。

指南採用以風險為本的方式，不把所有 AI 應用一概而論，而是要求董事會按照失效可能造成的影響，配對相應的權限和控制措施。

董事會可採用的 AI 用例儀表板

指南的建議可以整理成一份簡潔的董事會登記表或儀表板。對於每一個重要 AI 用例，管理層都應能清楚列出：

1. 負責人：對系統及其結果負責的人員。
2. 預期商業成果：包括衡量成功的方法。
3. 決策權限：以及需要升級處理的門檻。
4. 資料來源及處理規則：系統涉及哪些資料，以及如何使用。
5. 風險級別：以及訂定該級別的理由。
6. 控制措施：包括安全、公平性和資料質素檢查。
7. 人類監督環節：以及對最終決定負責的人員。
8. 測試及監察結果：包括已知限制。
9. 事故、投訴或申訴：以及相關問題如何處理。
10. 下次檢視日期：或觸發重新評估的條件。

這種結構把價值創造和風險管理放在同一份紀錄中，也讓董事能夠查核具體證據，而不是只依賴「企業正負責任地使用 AI」這類概括說法。

給公司董事的結論

SID 的指南並沒有把採用 AI 和 AI 管治視為二選一。它要求董事會以處理其他重大策略投資的同等紀律，推動有用的 AI 應用：先定義價值、分配責任、了解風險、測試控制措施，再檢視實際結果。

董事現在可以採取的直接行動，包括把 AI 列入定期董事會議程、檢視組織內的重要 AI 用例，並找出 AI 素養、責任歸屬、決策權限、人類監督、測試和韌性方面的缺口。最強的 AI 策略，不是活動最多的策略，而是董事會能夠清楚解釋、量度並有效管治的策略。