战略与治理
制定 AI 战略、采购要求、治理组织、政策、培训和内部责任。
香港企业 AI 治理指南
香港企业部署 AI 前，需要建立哪些治理控制？
先界定受影响流程和个人数据边界，再指定责任人、按风险配置人工权限、测试完整系统，并在上线后保留可核验的证据。
作者 Onyx Devs Lab · 发布 · 更新
治理责任人明确权限和升级路径
按风险控制监督程度匹配后果
全生命周期证据测试、监控和沟通
四项治理责任
香港隐私专员公署《示范框架》把建议分成四个运营范围。
风险评估与人为监督
评估潜在收益和伤害、进行风险分级，并定义何时由人员复核、否决或停止系统。
实施和生命周期管理
控制数据准备、模型定制、验证、安全、部署、持续监控、事故和退役。
沟通与利益相关者参与
及时向员工、供应商、受影响人员和监管机构提供信息，以及提问、反馈和事故报告渠道。
把原则转化为交付证据
政策只有真正改变系统和流程时才有实际作用。
数据和用途登记
记录预定用途、个人数据、来源、保留期限、访问、跨境流动和禁止用途。
决策与权限图
区分建议、草拟、批准和执行；为每项高影响操作指定负责人和升级路径。
发布和监控记录
保留测试案例、风险门槛、失败、缓解、批准、版本、漂移信号、事故和复核日期。
交付方法
定义一个用途
列明用户、目的、受影响人员、数据、系统、预期收益和错误后果。
分配风险与权限
按照影响配置控制和人为监督，不把所有 AI 功能当成同一风险。
端到端验证
用真实案例测试数据、检索、输出、工具、权限、降级、通知和人工交接。
运行证据闭环
监控表现与事故，收集利益相关者反馈，复核重大变更并保留决策记录。
监管依据与范围
以下链接是本文采用的一手监管资料。本页提供实施解读，不构成法律意见。
常见问题
这份清单是法律意见吗？
不是。这是依据公开监管资料整理的实施指南；组织仍应根据自身情况取得法律、隐私、安全和行业专业意见。
采用第三方模型后，责任会转移给供应商吗？
不会。采购需要明确责任，但部署组织仍须治理自身用途、数据、流程、用户和后果。
增加聊天机器人免责声明就够了吗？
不够。人为监督必须匹配风险，并具备信息、时机、升级路径和真正的干预权限。