策略與管治
制定 AI 策略、採購考慮、管治組織、政策、培訓及內部責任。
香港企業 AI 管治指南
香港企業部署 AI 前，需要建立哪些管治控制？
先界定受影響流程與個人資料邊界，再指定責任人、按風險配置人工權限、測試完整系統，並在上線後保留可核對證據。
作者 Onyx Devs Lab · 發布 · 更新
管治責任人權限及升級路徑具名
按風險控制監督程度配合後果
全生命週期證據測試、監控及溝通
四項管治責任
香港私隱專員公署《模範框架》把建議分為四個營運範圍。
風險評估與人為監督
評估潛在效益與傷害、進行風險分級，並定義何時由人員覆核、推翻或停止系統。
實施及生命週期管理
控制數據準備、模型定製、驗證、安全、部署、持續監察、事故及退役。
溝通及持份者參與
適時向員工、供應商、受影響人士及監管機構提供資料，以及提問、反饋和事故通報渠道。
把原則變成交付證據
政策只有在能夠改變系統與流程時才有實際作用。
數據及用途登記
記錄預定用途、個人資料、來源、保留期、存取、跨境流動及禁止用途。
決策與權限圖
分開建議、草擬、批准及執行；為每項高影響操作指定責任人和升級路徑。
發布及監察記錄
保留測試案例、風險門檻、失敗、緩解、批准、版本、漂移訊號、事故及覆核日期。
交付方法
定義一個用途
列明使用者、目的、受影響人士、數據、系統、預期效益及錯誤後果。
分配風險與權限
按影響配置控制及人為監督，不把所有 AI 功能當成同一風險。
端到端驗證
以真實案例測試數據、檢索、輸出、工具、權限、降級、通知及人工交接。
運行證據循環
監察表現與事故，收集持份者意見，覆核重大變更，並保留決策記錄。
監管依據與範圍
以下連結是本文採用的一手監管資料。本頁提供實施解讀，不構成法律意見。
常見問題
這份清單是否法律意見？
不是。這是以公開監管資料為依據的實施指南；機構仍應按自身情況取得法律、私隱、安全及行業專業意見。
採用第三方模型後，責任是否轉移給供應商？
不是。採購需要說清責任，但部署機構仍須管理自身用途、數據、流程、使用者及後果。
加入聊天機械人免責聲明是否足夠？
不足夠。人為監督需要配合風險，並具備資料、時機、升級路徑和真正介入權限。