盧建旭（Jyan-Shiu Lu）
AI 治理 101 系列｜第二稿｜2026 年 8 月
如果只看新聞，全球 AI 治理似乎已經進入立法競賽：歐盟有《人工智慧法》，
美國不斷發布行政命令，中國大陸要求生成式 AI 服務備案，臺灣也已公布《人工智慧基本法》。
這很容易讓人產生一個印象：各國已經知道該怎麼治理 AI，現在只差把法律逐一完成。
事情沒有這麼簡單。
法律確實已經開始改變，但制度能否據以辨識風險、檢查系統、說明決定並追究責任，仍是另一回事。
更重要的是，各國並沒有朝向同一套制度前進。它們面對相似的技術，
卻依據不同的政治體制、產業利益與行政能力，選擇了不同的治理工具。
因此，初學者若只問「哪一國管得最嚴」，反而不容易看清現況。較好的問題是：
各國已把哪些原則變成法律？由誰執行？適用哪些系統？出了問題，民眾能否得到說明與救濟？
一、全球進展不是一條直線，而是四種工作同時進行
2019 年前後，國際 AI 治理的重心仍是倫理原則。公平、透明、安全、隱私與課責，
逐漸成為各國共同語彙。經濟合作暨發展組織（OECD）的 AI 原則於 2019 年通過，
並在 2024 年因應生成式 AI、資訊完整性及智慧財產權等問題更新。
但是，原則本身不會自動產生治理能力。政府還必須完成至少四種工作：
把原則寫入法律或行政規則、指定主管機關、建立風險分類與檢查方法，
以及讓採購、申訴、稽核與裁罰真正運作。
目前全球正處於這四種工作重疊的階段。有些國家已有法律，但技術標準與執行人力仍在建置；
有些國家沒有單一 AI 法，卻透過既有的消費者保護、個人資料、反歧視與產業監理處理風險；
也有國家把內容安全、國家安全與服務提供者責任放在制度核心。
所以，「從倫理走向法律」只說對了一半。另一半是：法律正在接受行政能力的檢驗。
二、歐盟：風險分級的法律已經啟動，但執行仍在調整
歐盟《人工智慧法》（AI Act）於 2024 年 8 月生效，採取風險分級方式：
某些用途被禁止，高風險系統必須符合資料治理、文件紀錄、人類監督與風險管理等義務，
一般目的 AI 模型也有特定規範。禁止性規定與 AI 素養義務自 2025 年 2 月適用；
治理規則及一般目的 AI 模型義務自同年 8 月適用；多數規定自 2026 年 8 月適用，
部分高風險系統另有較長過渡期。
歐盟的貢獻，不只是「管得比較嚴」，
而是把抽象原則轉化為風險類別、文件義務、監理權限與法律責任。企業若要進入歐洲市場，
便不能只宣稱產品值得信任，而必須提出可供檢查的證據。
不過，規則愈完整，執行成本也愈高。
歐盟在 2026 年透過 AI Omnibus 調整部分期程並簡化行政要求，
目的之一是降低較小型企業的法遵負擔、增加測試與實驗空間，並提高法規明確性；
歐盟執委會同時強調，這些調整仍須保留安全與基本權利的保障。這不是單純的「放寬管制」，
而是歐盟開始面對一個更困難的問題：保障權利的規則若超出企業與行政機關的執行能力，
制度本身也必須校正。AI Omnibus 因而讓我們看見，
AI 治理始終存在權利保障、產業競爭力與行政可行性之間的取捨。
三、美國：不是沒有治理，而是以創新、部門規範與政府採購為主
美國經常被描述為市場導向，彷彿政府選擇不管 AI。這種說法過度簡化。
美國聯邦政策在 2025 年後確實更強調移除創新障礙、擴充 AI 基礎建設及維持技術領先，
但這不等於完全沒有規範。
美國較常透過既有法律、部門監理、行政命令、技術標準與政府採購要求處理 AI。
醫療、金融、就業、消費者保護與國家安全，原本就有不同主管機關和法律責任。
聯邦政府對自己採購的語言模型，也可以直接設定模型應符合的條件。
這套做法的優點是保留產業彈性，也能依不同領域調整；缺點則是規則可能分散，
州與聯邦之間也可能出現落差。對民眾而言，真正困難的問題不是「美國有沒有 AI 法」，
而是某一項 AI 決定究竟落在哪一部既有法律、由哪一個機關處理。
四、中國大陸：把內容、安全與服務提供者責任放在前面
中國大陸沒有採用歐盟式的單一風險分級法，
而是陸續以演算法推薦、深度合成、生成式 AI 服務與生成內容標示等規定形成管理體系。
《生成式人工智能服務管理暫行辦法》自 2023 年 8 月施行，
要求特定服務處理違法內容、建立申訴機制，
並就具有輿論屬性或社會動員能力的服務辦理安全評估與備案。
2025 年發布的生成合成內容標識辦法，又進一步要求顯式與隱式標示。
這種模式的制度重心相當清楚：平台與服務提供者必須承擔內容治理、資訊安全及主管機關要求的責任。
它可以迅速建立進入市場的條件，但治理目標也與政治體制、資訊控制及國家安全密切相連。
因此，我們不能只比較規則數量。相同的「安全」一詞，
在不同制度中可能保護的是個人權利、公共秩序、產業發展或國家控制，其優先順序並不相同。
五、英國：先由既有監理機關處理，同時加速政府與產業採用
英國長期採取較具彈性的部門監理模式，讓既有監理機關依安全、透明、公平、課責與救濟等原則，
在各自職權範圍處理 AI。
2025 年的《AI Opportunities Action Plan》及後續進度報告，
則明顯提高了成長、生產力、運算基礎建設與公共服務採用的比重。
這是一種務實選擇：不必等待一部涵蓋所有用途的法律，
便可先由熟悉金融、競爭、資料或醫療的機關處理。但反過來看，如果監理機關權限不同、能力不一，
跨領域 AI 系統仍可能落入制度空隙。
英國經驗提醒我們，彈性不是沒有代價。沒有中央協調、共同紀錄與責任分工，
分散監理可能只是把問題分散，而不是把問題解決。
六、臺灣：基本法已公布，真正考驗轉向各部會如何執行
臺灣《人工智慧基本法》於 2025 年 12 月經立法院三讀通過，
並於 2026 年 1 月公布。
法律確立永續發展、人類自主、隱私與資料治理、安全、透明與可解釋、公平及課責等基本原則，
也要求政府推動風險分類、人工智慧發展綱領與相關制度。
行政院其後成立國家人工智慧戰略特別委員會；
數位發展部並於 2026 年 7 月訂定「人工智慧風險分類框架」，
作為目的事業主管機關辨識、評估與應對 AI 風險的共同程序。
這裡有一個值得注意的細節。數位發展部對外說明強調，此框架要「與國際接軌」，
並以建立跨部會溝通的共同語言為目標；
數位部較早期的制度準備文件也曾明列借鏡 ISO、歐盟 AI Act、美國 NIST AI R
MF 與 MITRE ATLAS 等國際規範。不過，
2026 年 7 月正式公布的風險分類框架本身，並沒有指定歐盟或 NIST 為唯一範本。
更重要的是，框架公布不久，目前可見的公開引用與部會實作仍相當有限，
尚不能把政策目標視為已經形成的行政慣例。這個差別很重要：臺灣正在吸收國際共同語彙，
但仍須依本國法律體系與各部會權責，把它轉成自己的行政程序；它是否真的成為共同語言，
仍有待後續採用與個案實踐檢驗。
這是重要進展，但不能因此認為治理工作已經完成。基本法提供方向，真正影響民眾權利的，
仍是各主管機關如何修改業務法規、如何把風險分類放入採購與審查程序、承辦人是否有能力推翻系統建
議，以及民眾能否知道 AI 在案件中扮演什麼角色。
換句話說，臺灣現在的問題已從「要不要立法」轉向「誰來把法律變成行政能力」。
如果各部會只把原則寫入計畫，卻沒有預算、人力、紀錄、稽核與退場機制，
基本法仍可能停留在宣示層次。
七、國際層次：共同語彙增加了，全球單一規則仍不存在
國際組織正在建立共同底線。聯合國於 2024 年通過《全球數位契約》，
並於 2025 年設立 AI 獨立國際科學小組與全球治理對話機制。
歐洲理事會的《人工智慧與人權、民主及法治框架公約》則於 2024 年開放簽署，
成為第一項具有法律拘束力的國際 AI 條約；歐盟已於 2026 年完成批准。
這些制度有助於形成共同語彙，也能讓跨國合作不必每次從零開始。但它們不會消除各國差異。
人權、國家安全、產業競爭與資訊控制之間的排序，仍由不同政治制度作出選擇。
還有一個較少被放在法規比較表裡的問題：AI 的治理成本並不只發生在模型公司所在地。
資料標註勞動、資料中心能源使用、關鍵資源與跨國供應鏈，
可能把部分成本與風險移到全球南方或制度能力較弱的地區。
《全球數位契約》已把縮小數位落差、永續發展與讓開發中國家參與全球數位治理列入共同議程，
但如何把這些原則轉成供應鏈責任與資源分配規則，仍在形成之中。因此，
「全球 AI 治理」不能只理解為幾個科技大國如何管模型，也要問誰提供資料、勞動與能源，
以及誰承擔治理外部成本。
全球 AI 治理因此不太可能很快出現一部各國共同遵守的完整法典。較可能的情況是：
少數共同原則，加上各國法律、產業標準、政府採購與跨境契約彼此交疊。
八、初學者應該如何判斷「進展到哪裡」？
看到一項新的 AI 政策，不必先記住所有條文。可以先問五個問題。這五問不是另一套法律分類，
而是一張給初學者使用的「治理成熟度檢查表」。
初學者的 AI 治理五問｜看到任何新政策，先問這五件事
• 它是倫理原則、行政指引、技術標準，還是具有法律效果的規定？
• 它管的是模型提供者、系統整合商、使用機關，還是最終承辦人？
• 它在系統使用前、使用中與發生損害後，分別要求做什麼？
• 民眾是否有知情、要求說明、提出異議及尋求救濟的管道？
• 執行機關是否具備預算、人員、資料與檢查權限？
這五個問題比「哪一國最先立法」更重要。因為治理的成熟度，不在於文件有多厚，
而在制度是否能讓權力被看見、理由被理解、責任被追查。
結語：世界已經離開純粹宣示，但尚未抵達穩定治理
截至 2026 年 8 月，全球 AI 治理已不再只是倫理宣言。歐盟進入法律適用期，
美國以創新政策、部門規範與採購條件並行，中國大陸建立內容與服務管理制度，
英國依靠既有監理機關，臺灣也已公布基本法並開始建置風險分類與國家協調機制。
但是，法規增加不等於治理已經成熟。真正困難之處，仍在於如何把原則轉換成可執行的程序，
如何讓監督者取得必要資料，以及如何在效率承諾與人民權利發生衝突時，
保留停止、申訴與回歸人工處理的可能。
本文較傾向把現階段稱為「制度落實期」，而不是「治理完成期」。
各國已經開始回答 AI 應受哪些限制，卻仍在學習由誰檢查、如何說明，以及出了問題誰負責。
這正是下一階段最值得觀察的地方。
官方延伸閱讀
英國：AI Opportunities Action Plan
稿件說明
本文的法規及政策進度查核至 2026 年 8 月 5 日。
國別制度的敘述屬一般公認知識與官方資料整理；
「法律正在接受行政能力的檢驗」、「制度落實期」及以五個問題判斷治理成熟度，
則是作者為本系列提出的分析觀點。文章尚待作者審閱，未經核定前不宜直接發布。
想一想
如果歐盟、美國、日本與臺灣的 AI 治理作法不同，是否表示只要選一套制度照抄即可？
A. 是，選擇規範最嚴格的制度就足夠。
B. 否，各國制度可提供參考，但仍須回到本國的法律、行政體系與實際風險。
C. 否，因為 AI 治理完全不需要國際經驗。
較適當的是 B。
國際制度的重要性，不在於提供一份可以直接複製的答案，而在於讓我們看見不同政府如何處理風險分級、透明、責任與監督。臺灣可以參考，但仍要回答：由誰執行、依據什麼法律、人民如何救濟，以及制度能否真正落實。
回到AI治理 101