盧建旭 / Jyan-Shiu Lu
談到 AI 治理，常會聽到兩種完全相反的說法。
一種說法是：科技變化太快，政府永遠追不上企業。模型是企業開發的、平台是企業建的、人才也大量集中在企業，所以政府最後只能在技術已經進入社會之後補法律、補規範。
另一種說法則認為：真正能改變市場的還是政府。只要政府立法、訂標準，甚至把 AI 治理條件寫進採購契約，企業為了進入市場與取得政府訂單，自然就會改變。
兩種說法都有一部分是真的，但都把問題說得太簡單。
我的看法是：AI 治理不是政府與企業之間的一場接力賽，而是一個彼此改變對方行為的循環。 企業可以先創造技術與商業模式，政府可以透過法規、採購與公共投資重新設定條件；企業又會根據這些條件改變產品、合約與風險管理方式。真正值得觀察的，不只是「誰先動」，而是誰在什麼階段有能力設定下一輪的規則。
一、企業通常比較早看到技術機會，但「先進場」不等於「決定最後規則」
生成式 AI 的快速普及，很明顯是由企業產品帶動的。一般使用者與政府機關不是先等國家完成一套治理制度，才開始接觸大型語言模型；情況正好相反，工具先出現，使用需求先形成，治理問題才快速浮上檯面。
因此，如果只看技術創新速度，企業往往走在前面。它們決定模型功能、介面、API、資料使用方式與產品更新節奏，也透過服務條款與預設值，實際影響使用者可以做什麼、看得到什麼。
但「先推出產品」與「有權決定公共用途」不是同一件事。
一套 AI 工具在企業內部協助行銷，和同一套工具進入政府福利資格審查、稅務風險排序或公共安全業務，面對的是完全不同的權利與責任問題。當技術進入公共權力範圍，問題就不再只是產品好不好用，而是：政府有沒有法律依據？人民能不能知道理由？資料可以怎麼使用？錯誤能不能申訴？誰要對最後結果負責？
所以，企業可以定義「技術可能做什麼」，卻不能單獨定義「政府應該讓它做什麼」。
二、政府也不只是監管者，它同時是買方、使用者與市場塑造者
我們很容易把政府想成站在市場外面訂法律的人。但在 AI 時代，政府其實同時扮演幾種角色。
它是規範制定者：透過法律、命令、行政指引與風險框架設定最低要求。
它也是大型買方：政府採購什麼系統、要求廠商提供什麼資訊、如何驗收，以及契約中保留哪些稽核與停止使用條件，都可能直接改變廠商的產品設計。
它還是技術使用者：政府自己導入 AI 之後，才會真正遇到資料品質、介接、資安、理由說明與公務責任等問題。這些使用經驗又會反過來改變下一輪規範。
最後，政府還可能是投資者與市場培育者。透過研發補助、公共平台、算力、人才政策與示範應用，政府不只是限制市場，也可能主動創造需求。
這也是為什麼「政府一定落後企業」並不完全正確。政府在技術開發速度上可能比較慢，但它握有企業沒有的工具：法律權威、公共預算、採購需求以及公共服務體系。
三、政府採購確實可以帶動企業，但不能把採購神化
政府採購是 AI 治理中非常重要、卻常被低估的一環。
假設一個政府機關在採購 AI 系統時要求廠商說明訓練資料來源、模型限制、資安措施、版本更新紀錄、偏誤測試與重大事件通報；同時保留稽核權、必要資訊取得權與停止使用權。廠商如果希望取得政府市場，就必須把這些要求轉化成內部流程與產品能力。
當許多大型政府買方都提出類似條件，採購就可能形成市場訊號：治理要求不再只是企業社會責任，而變成取得訂單的條件。
OECD 在 2026 年《Digital Government Outlook》指出，36 個受調查 OECD 國家中，只有 21 國（58%）提供中央政府層級的 AI 商品與服務採購支援。這個數字反過來說明，政府雖然握有採購力量，卻不代表每個政府都已經知道如何採購 AI。
而且採購本身也有侷限。如果機關連自己要解決什麼問題都說不清楚，契約再厚也無法替代治理；如果驗收只看功能是否運作，卻沒有測試風險、資料與責任，治理條款也可能只停在紙上。
【本文主張】 政府採購的真正力量，不是「政府花很多錢，所以企業一定聽話」，而是政府能否把公共價值轉譯成可以寫進規格、驗收、紀錄與退場條件的要求。採購可以是治理工具，但不能代替法律，也不能代替機關自己的專業判斷。
四、企業也不是被動接受規範，它本身就在形成治理條件
反過來看，企業同樣不是等著政府下命令。
模型供應商決定提供哪些安全設定；平台決定什麼資料會被保存；系統整合商決定如何把模型接進政府流程；資料供應者影響模型能看見什麼世界。甚至一個看似純技術的介面設計，也可能影響承辦人是否容易推翻 AI 建議、是否能看見資料來源，以及系統是否完整留下紀錄。
這些選擇不一定叫作「法規」，卻會形成實際的治理條件。
這也是公部門採購 AI 時最需要警覺的地方：如果政府只購買功能，卻沒有保留足夠的資訊與控制能力，企業的技術架構就可能在不知不覺中變成政府的行政架構。
這裡還有兩個更具體的風險。第一個是廠商鎖定（Vendor Lock-in）。當資料格式、模型介接、操作流程與後續維護都綁在單一供應商上，機關即使發現問題，也可能因為轉換成本過高而很難退出。OECD 近年的 AI 採購分析就特別提醒，缺乏共同採購準則、模型契約條款與退出安排，可能使政府面臨廠商鎖定、責任不清與系統透明度不足。
第二個是更需要謹慎使用的概念：監管套牢（Regulatory Capture）。它不是說政府只要與企業合作，就一定會被企業控制；而是提醒我們，當主管機關長期高度依賴少數大型廠商提供的技術知識、評測方法與基礎設施時，政策問題可能逐漸只能用供應商熟悉的方式來定義。這是一種需要防範的結構性風險，不是本文對臺灣現況的事實判定。
【本文主張】 降低這兩種風險，不能只靠「政府自己做一套 AI」。更實際的做法包括保留資料可攜性與系統互通性、要求清楚的退出與移轉安排、維持替代供應來源，以及建立政府或可信第三方的獨立評測能力。開源模型與多元供應生態也可以是其中一種工具，但開源本身不等於沒有風險，更不能取代資安、責任與品質查核。
前幾篇反覆談到的問題——權威、理由與責任——在這裡會重新出現。模型可能由企業設計，但行政權不能因此移轉給廠商；技術輸出可能來自黑盒子，但政府對人民仍須能提出可理解的理由；系統可以外包，公共責任卻不能跟著外包。
五、臺灣正在出現一個很值得觀察的模式：政府既訂規則，也創造市場
【臺灣現況】 2026 年 1 月 14 日公布施行的《人工智慧基本法》，同時把促進 AI 研發與產業發展、建構安全應用環境、保障人民基本權利等目標放進法律。2026 年 7 月，數位發展部又訂定「人工智慧風險分類框架」，協助各目的事業主管機關辨識、評估並應對不同 AI 應用風險。
這代表政府並不是只選擇「發展」或「管制」其中一邊，而是在嘗試同時處理兩者。
另一方面，數位發展部建置的政府 AI 應用平臺 TryAI，採取「先試用後採購」以及「政府出題、產業解題」的方式，讓政府需求與產業方案直接接觸。這個制度很有意思，因為它不是單純由政府寫好規格再找廠商，也不是讓企業先做好產品再要求政府照單全收，而是嘗試把需求形成、試用與採購放進同一個互動過程。
這裡可以再引入一個初學者值得認識的概念：監理沙盒（Regulatory Sandbox）。監理沙盒的重點不是「先做再說」，而是在主管機關監督下，針對特定參與者、用途、期間與風險控制條件，提供一個受限制的測試環境，讓創新者可以試驗，主管機關也能從實際運作中學習。歐盟《人工智慧法》已把 AI 監理沙盒納入制度，要求會員國主管機關建立相關機制，讓 AI 系統能在監督環境中進行開發、測試與驗證。
但要特別分清楚：TryAI 的「先試用後採購」不等於法律上的 AI 監理沙盒。 前者主要處理政府應用、試用與採購需求；監理沙盒則涉及主管機關如何在既有法律與特定監督條件下容許受控試驗。兩者共同的治理精神，是不要等制度完全確定才開始學習，而是把試驗本身設計成可以觀察、可以停止、可以修正的過程。
臺灣也正在建立另一種重要能力。數位發展部所屬數位產業署的 AI 產品與系統評測中心（AIEC）持續進行語言模型與 AI 系統評測。這類能力的重要性不只在替模型打分數，而在於政府與社會能否逐步形成不完全依賴供應商自我說明的評測基礎。
【本文分析】 這還不能證明臺灣已經形成成熟的 AI 公私協力治理模式。風險分類框架才剛開始推動，很多機關如何實際運用，仍需要時間觀察；TryAI 的長期採購、治理與市場效果也需要後續資料才能判斷。但至少可以看見一個方向：政府開始同時運用規範、採購與平台三種工具，而企業則透過提供模型、應用與系統整合能力參與公共 AI 生態系。
六、歐盟提供另一個例子：法規可以反過來改變全球企業
如果說企業先行最能代表技術創新的力量，那麼歐盟《人工智慧法》（AI Act）則顯示法規也可能反過來塑造企業行為。
歐盟並不是自己開發世界上最多的基礎模型，卻透過風險分類、透明義務、一般用途 AI 模型規範與執法機制，要求進入歐盟市場的提供者與部署者面對特定治理責任。一般用途 AI 模型的部分義務已自 2025 年 8 月起適用；2026 年 8 月 2 日起，歐盟執委會 AI Office 與各國主管機關又進入新的執法階段，部分透明要求也開始適用。
企業如果希望服務歐盟市場，就不能只說「我們的技術是在別國開發的」。市場准入本身就會把法規要求帶回企業的產品與內控流程。
這就是政府力量的另一種形式：政府不必比企業更會訓練模型，仍然可以透過市場規則改變模型如何被提供與使用。
但法規也不是萬能。規定寫得太慢，可能追不上技術；寫得太細，又可能快速過時。企業掌握大量技術資訊，主管機關也需要持續與產業、學界與公民社會互動，才能知道規範實際產生什麼效果。
七、本文的看法：AI 治理至少有四股推動力量
如果一定要問「到底誰在推動」，我比較願意把問題拆成四股力量：
| 推動力量 | 主要工具 | 最強的地方 | 最容易忽略的問題 |
| 企業與技術市場 | 模型、平台、產品、介面、商業模式 | 創新快、能迅速形成使用習慣 | 公共價值與弱勢權益未必是產品首要目標 |
| 政府法規 | 法律、行政規則、風險分類、監理 | 能設定權利保障與最低責任界線 | 制度更新可能慢於技術變化 |
| 政府採購與公共投資 | 契約、驗收、預算、平台、示範計畫 | 能把治理要求轉成市場需求 | 機關若缺乏專業，容易只買功能而買不到治理能力 |
| 標準、專業與社會力量 | 技術標準、評測、研究、專業規範、公民監督 | 能在技術與法律之間建立共同語言 | 缺乏強制力時，可能只被選擇性採用 |
【本文分析】 這四股力量不是正式法規分類，而是用來理解 AI 治理動態的分析架構。現實中的一項制度往往同時受到多股力量影響。
因此，AI 治理比較像一個回饋迴路：企業推出新能力，使用者形成新需求；政府開始採購與使用，新的行政風險出現；法律與標準回應風險，企業再修改產品與治理流程。沒有哪一方可以永遠站在最前面。
八、公私部門會不會其實都只是被 AI 浪潮推著走？
某種程度上，是。
生成式 AI 的突破速度、國際競爭、資安事件、人才移動與社會期待，都會同時推動政府與企業。政府不可能完全控制技術方向，企業也不能完全控制政治與社會反應。兩邊都有被外部變化迫使調整的時刻。
但「受到環境壓力」不等於「只能被動接受」。
政府可以選擇採購什麼、不採購什麼；可以要求什麼樣的透明度與救濟；可以決定哪些公共權力不得交由系統自行決定。企業也可以選擇是否在產品設計初期就做風險測試、是否向客戶提供足以監督的資訊，以及是否把治理能力當成產品的一部分。
真正的治理，就發生在這些可以選擇、卻不能只用「科技自然會如此」來逃避的地方。
九、給初學者的五個問題：看到任何 AI 治理新聞，都先這樣問
以後再看到「政府推出 AI 政策」、「企業發布新模型」或「某機關採購 AI 系統」，不妨先問五個問題：
誰先定義了問題？ 是政府的公共需求，還是企業先提供了技術，再讓大家去找用途？
誰掌握關鍵資訊？ 政府是否真的知道模型、資料與限制，還是只有廠商知道？
誰有權設定條件？ 條件來自法律、採購契約、平台規則，還是技術本身的預設？
出了問題，誰能停止？ 誰有權暫停系統、要求改善、重新驗收或退出？
最後誰對人民說明？ 即使技術來自企業，公共決定仍然必須有人提出理由並承擔責任。
這五個問題比猜「政府會贏還是企業會贏」更有用。因為它們讓我們看到真正的治理關係：資訊、權力、理由與責任究竟落在誰手上。
結語：AI 治理不是誰帶動誰，而是誰能把創新轉成可負責的制度
走到這一篇，我們可以回頭看最初的問題。
AI 治理不是單純管理一項新科技，也不是政府追趕企業的競賽。企業提供技術與創新速度，政府提供公共權威、採購需求與權利保障，標準組織、專業社群與社會則不斷補充兩者看不到的部分。
所以，我不會把答案寫成「企業先行、政府採購拉動、最後法規收尾」。這個順序有時候會發生，但它不是固定規律。更接近現實的情況是：技術創新、政府使用、公共採購、社會爭議與制度規範彼此反覆作用。
真正重要的不是誰跑在第一，而是每一次技術進入公共生活時，我們能不能重新回答：誰有權決定？理由能不能被理解？出了問題能不能追查？人民的權利能不能被救濟？
如果這八篇文章最後只留下一個觀念，我希望是這一句：AI 治理的目的，不是讓政府阻止創新，也不是讓企業替政府決定未來，而是讓創新進入公共生活之後，仍然有可以理解、可以檢查、可以質疑，也有人必須負責的制度。
官方與國際延伸閱讀
總統府，《人工智慧基本法》，2026 年 1 月 14 日公布施行。
https://www.president.gov.tw/Page/294/50131
數位發展部，〈人工智慧風險分類框架〉，2026 年 7 月訂定。
https://moda.gov.tw/major-policies/ai/governance/19244
數位發展部，〈數發部推「政府 AI 應用平臺」，共創公私協作 AI 應用新生態〉，2025 年 11 月 18 日。
https://moda.gov.tw/press/press-releases/17952
數位發展部數位產業署，〈AI產品與系統評測中心（AIEC）公布最新語言模型評測結果〉，2026 年 5 月。
https://moda.gov.tw/ADI/news/latest-news/19588
OECD, Digital Government Outlook 2026: Adopting and Governing AI in Government.
OECD, Governing with Artificial Intelligence: AI in Public Procurement, 2025.
OECD, Generative AI Experimentation in Government, 2026.
European Commission, General-Purpose AI Models in the AI Act and related implementation guidance.
https://digital-strategy.ec.europa.eu/en/faqs/general-purpose-ai-models-ai-act-questions-answers
European Union, AI Act, Article 57: AI Regulatory Sandboxes.
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A02024R1689-20260727
European Commission, European approach to artificial intelligence, 2026.
https://digital-strategy.ec.europa.eu/en/policies/european-approach-artificial-intelligence
想一想
政府向企業採購 AI 系統時，最重要的不是哪一件事？
A. 只要系統功能多、價格合理，就可以導入。
B. 機關應把資料、理由說明、稽核、停止使用與退出安排寫入規格、驗收與契約。
C. 既然技術由企業提供，行政責任也應由企業承擔。
較適當的是 B。
企業可以提供模型、系統與技術支援，但公共權力不能跟著外包。政府採購 AI 時，必須保有足夠的資訊、稽核與停止使用能力；人民需要的理由與救濟，也仍應由政府負責。採購不只是買功能，而是把公共價值轉化為可以驗收、追蹤與退出的條件。
回到AI治理101