管理層的風險取向及管治責任，最終需要落實到每項 AI 工具、功能或使用方式的審批和管理之中。在審批任何新的人工智能（AI）工具、功能或使用案例之前，管理層或獲授權代表管理層行事的 AI 負責人，應先完成書面風險評估，以全面識別及評估潛在風險。本培訓參考資料私隱、道德及管治層面的主要風險評估因素，將相關內容整合並簡化為以下四項核心風險因素，供管理層進行初步評估及分類。

👇 點擊展開全部卡片，才能進入下一頁

1

風險因素

資料敏感度

👇 點擊查看

評估輸入 AI 工具的資料類別，包括公開資料、內部資料、機密資料及受限制資料等
資料愈敏感，相關風險及監管責任愈高

2

風險因素

人為監督程度

👇 點擊查看

評估 AI 輸出在採用前是否經過適當的人為審核及判斷，或相關決策是否全部或部分由系統自動執行

3

風險因素

決定可逆性

👇 點擊查看

評估當 AI 出現錯誤時，機構是否能夠及時、合規並以合理成本撤回、修正或補救相關決定及影響

4

風險因素

影響規模

👇 點擊查看

評估 AI 失誤可能影響的對象範圍及嚴重程度，包括受影響員工、客戶、合作夥伴及其他持份者的數量，以及涉及的業務或監管影響

根據下表進行風險分類：

風險因素

✅ 低風險

中風險

⛔ 高風險

資料敏感度

公開或已去識別化的資料。

內部使用但不涉及機密或敏感內容的資料。

個人資料、客戶資料、人力資源資料、財務資料或其他機密資料。

人為監督

每項輸出於使用前均經人手覆核。

以抽樣或定期方式進行覆核。

完全自動化決策，缺乏人為審核或把關機制。

決定可逆性

完全可逆（如草稿文字、內部備註）。

部分可逆（如客戶電郵、內部報告）。

不可逆（如具法律效力的決定、付款指示或法定呈交文件）。

影響規模

僅涉及單一任務，並只影響個別人員。

影響某個團隊或部門。

影響大量客戶、員工或持份者，涉及重大業務、財務或監管影響。

分類

可接受使用，按標準流程審批。

受限制使用，須 AI 負責人批准。

原則上禁止使用；如屬必要，須由高級管理層批准。

分類與處理規則（就高不就低）

所有因素均屬低風險：可歸類為「可接受使用」，按既定標準流程審批及管理。

任何一項因素屬中風險：應歸類為「受限制使用」，須由 AI 負責人審批，並配合適當的人為覆核及控制措施。

任何一項因素屬高風險：原則上不應使用；如基於業務需要必須採用，則須取得高級管理層明確批准，並制訂及落實書面風險緩解措施。

對於較複雜的 AI 使用方式，尤其是涉及內部資料、機密資料，受限制資料或與受監管決策、法定責任及重大業務流程相關的情況，機構仍應採用更全面的風險評估框架，進一步評估相關法律、合規、資料保障、營運及聲譽風險。

安全AI@職場賦能計劃 · 管理層培訓