政策訊號：發展 AI，同時建立七方面風險治理
香港特區政府在 2026 年施政報告中提出七方面人工智能風險治理策略，範圍包括打擊利用 AI 犯罪、保障兒童及青少年、建立人工智能倫理框架、確保應用安全、釐清 AI 意外責任、制訂人工智能代理安全指引，以及評估對就業的影響。政府同時提出在數字政策辦公室設立人工智能效能提升組，並設人工智能專員，顯示 AI 治理將成為跨部門的持續工作，而不只是一次性的技術項目。
政策並非叫市場停止創新。施政報告亦指出，生成式人工智能沙盒將擴展至證券、財富管理、保險及強積金等範疇，並會在醫療、法律、建築、運輸、福利、旅遊及中小企支援等場景推動應用。對企業而言，最重要的訊號是：試驗可以加快，但每個用途都要有相稱的控制、責任人和可追溯紀錄。
政府為人工智能代理設定的內部使用原則也提供了實用參考。官方說明指出，代理只應處理標準化、重複性的內部工作，不應直接作出影響市民的決定或取代專業判斷；高風險行動要有人類監督，機密或個人資料不應傳送至外部平台，部署前亦要進行風險評估、設定存取控制、採用隔離執行環境並保存操作紀錄。企業可把這些原則視為設計自己控制措施的起點，而不是把它們誤解為已適用於所有企業的完整法規。
這對香港企業有甚麼實際影響
第一個改變是責任不能再只交給資訊科技部門。一次由市場部使用生成式 AI 撰寫文案、由客戶服務部使用聊天機械人，或由人力資源部使用模型篩選履歷，都可能同時涉及私隱、知識產權、偏見、資訊準確性、消費者保障和聲譽風險。企業應為每項用途指定業務負責人，並由法律、合規、私隱、網絡安全及技術人員共同評估，才可把政策要求轉化為日常操作。
第二個改變是風險程度應決定審批力度。私隱專員公署的 AI 倫理指引建議採用風險為本的方法，並以問責、人類監督、透明與可解釋、資料私隱、公平、有益的 AI，以及可靠、穩健和安全等原則貫穿系統生命周期。指引亦舉出綠、黃、紅燈式的用途分類：低風險工作可以採用標準控制，中度風險用途要加強評估，而高風險或不可接受用途則應暫停或禁止。這種分級比單一的「准用／禁用」政策更容易執行。
第三個改變是供應商合約和證據保存會更重要。企業若使用外部模型或雲端工具，應知道資料會否被用作訓練、儲存在哪裏、由誰存取、保存多久，以及模型或服務更新後如何重新驗證。當 AI 輸出影響客戶權益、僱傭、信貸、保險或專業建議時，企業還要保存提示、版本、輸出、人工覆核和最終決定的紀錄。這些紀錄不只為審計服務，也能在錯誤出現時協助追查原因和迅速補救。
首 30 日：先看清楚企業正在使用甚麼
企業可先建立 AI 用途清單，記錄部門、用途、工具或模型、資料種類、受影響人士、輸出用途、負責人和供應商。不要只登記正式採購的系統，也要包括員工自行開設帳戶的生成式 AI 工具、瀏覽器外掛程式、自動會議紀錄和內置於辦公軟件的 AI 功能。若沒有完整清單，管理層就不能判斷最重要的風險在哪裏。
其後可用三個問題作初步分級：輸入是否包含個人、機密或受合約限制的資料？輸出會否直接影響個人的權利、機會、金錢或安全？若輸出錯誤，企業是否能在造成損害前由合資格人士發現和修正？任何一題答案為「是」，都不應視為單純的低風險生產力工具。
在清單完成前，企業至少應發出簡明的臨時規則，例如禁止把未公開商業資料、客戶資料、身份證明文件、醫療資料或完整合約上載至未獲批准的平台；要求員工核實引用、數字和專業結論；以及清楚標示哪些輸出必須由人覆核。規則要配合實例和認可工具名單，否則員工難以落實。
第 31 至 60 日：建立控制、測試和人類監督
完成用途清單後，企業應為中高風險場景設定書面審批流程。每個場景都要列出允許和禁止的資料、預期表現、最低測試樣本、偏差及錯誤檢查、覆核人的資格、升級機制和停止條件。對公眾或客戶使用的生成式 AI，還應測試提示注入、資料外洩、不當內容、虛構資料和拒絕服務等情況，而不只是測試正常流程。
人類監督必須具有實際作用。覆核人要有足夠時間、背景資料和權限推翻 AI 建議；介面不應把模型輸出包裝成必然正確。對招聘、評核、信貸、保險、醫療、法律或其他高影響場景，企業應設計清楚的人工決策點及申訴渠道，並告知受影響人士 AI 在流程中扮演甚麼角色。
同時，企業應檢視供應商的資料處理條款、安全認證、分包安排、事故通知時限、模型更新政策和退出方案。若供應商未能解釋資料流向或無法提供足夠的存取及操作紀錄，企業應降低使用範圍，或選擇能提供較強管理功能的版本。
第 61 至 90 日：把治理變成可重複的管理制度
第三階段的目標是把一次性檢查變成持續管理。管理層可成立跨職能 AI 治理小組，按月檢視新增用途、事故、投訴、模型重大更新及高風險例外，並為每類風險設定可量度指標，例如未經批准工具的發現數目、人工推翻率、錯誤率、事故處理時間及培訓完成率。重大用途應按固定周期重測，資料或模型一旦改變亦應重新評估。
企業也應建立 AI 事故處理流程，清楚界定何時停止系統、保存證據、通知管理層、供應商、客戶或監管機構，以及如何更正已發出的錯誤資訊。演練應涵蓋個人資料外洩、生成虛假專業建議、歧視性結果、未經授權的自動行動和第三方服務中斷。治理文件、訓練紀錄和技術日誌應互相對應，讓企業能證明控制措施不只寫在政策內。
AIPPA 的結論是：香港企業現在最有價值的投資，不是預測每一條未來規例，而是建立可解釋、可追蹤、有人負責的 AI 使用流程。這套基礎既能支援安全試驗，也能在政府公布更詳細的倫理框架、代理安全指引或責任安排後迅速調整。本文是根據截至 2026 年 10 月 2 日的官方公開資料所作的實務分析，不構成法律意見；受監管行業仍應向相關監管機構及專業顧問確認具體要求。