[AI书房] 第21章 組織與人員
歐盟人工智慧法解說書
第21章 組織與人員
金炅鎭 律師
這是在板橋一家軟體公司真實發生的會議場景。在決定向歐洲子公司引進招聘審查人工智慧時，法務長表示「這是開發團隊該寫技術文件的活」，開發長則回應「我們只管寫程式碼，員工培訓與向主管機關申報是法務的事」。事業部總監整場會議只是靜靜聽著，最後問了一句：「所以這件事，我們三個到底誰要負責？」這項提問沒有既定答案，正是本章的出發點。人工智慧法並未指定特定的部門或職務。然而，如何佈局人員與組織，卻成了決定罰款金額的關鍵變數。
21.1 AI 素養義務，第4條與第26條是不同的條文
人工智慧法第4條要求提供者與部署者，必須確保員工以及代表其處理人工智慧的人員具備足夠水準的 AI 素養（AI literacy）。該條文已於2025年2月2日起正式施行。無論公司使用的是何種風險等級的人工智慧，即便不是高風險，哪怕只是引進了一款聊天機器人，都會觸及第4條。
這裡常出現一個誤解。在第4條草案階段，討論原本朝向對企業施加具體義務的方向進行，但歐盟執委會隨後將重心轉移至會員國與執委會自身的政策課題上。因此，第4條本身對企業的要求較接近宣示性文字，真正具體可落實的義務則出自第26條。第26條規定使用高風險人工智慧的部署者，有義務培訓員工進行人類監督（human oversight）。關於這項培訓義務，依附錄 III 獨立型高風險系統的標準，原定於2026年8月2日全面適用；然而正如第13章所指出的，隨著2026年5月《數位綜合法案》達成暫行共識，適用時間有可能延後至2027年12月2日。在我看來，這一點絕不能混淆。高風險培訓義務（第26條）固然可能延後，但適用於所有提供者與部署者的通用素養義務（第4條）已經施行，且並非綜合法案討論的對象。如果板橋那家公司因為只使用聊天機器人，就以為看到8月2日延期的消息便能鬆一口氣，那便是將第4條與第26條混為一談了。
法律並未以清單形式規定培訓的具體內容。不過，考量到人工智慧辦公室（AI Office）累積的實務案例，以及未來即將出爐的第8條至第15條、第25條指引，預計將與人類監督及風險管理結合處理，由此可以推知，這項素養培訓絕非拿一張形式上的結業證書就能了事。建議各位制定包含以下四項內容的培訓計畫，並留下完成紀錄：系統運作原理、極限與潛在偏見、如何閱讀性能指標，以及識別需要人工介入的時機。若將這些紀錄作為第17條品質管理體系或第11條技術文件的一部分進行管理，日後面臨稽核時便無需另行搜尋。至於罰款部分則較為模糊。第99條列出的罰款區間中，並未單獨提及第4條。因此，認為並不存在單純針對違反第4條的固定罰款標準，才是精準的理解。在實務上，會員國的市場監管機關極有可能將其納入一般義務違反區間（最高1500萬歐元或全球營業額的3%）一併裁量，或者在發生事故時，將其作為人類監督失敗的背景事由加以引用。
21.2 設立組織圖上不存在的職位
人工智慧法並未明文要求任何公司都必須成立人工智慧治理團隊。然而，幾乎沒有一家公司能由單一工作人員兼任處理風險管理體系（第9條）、資料治理（第10條）、技術文件（第11條）、品質管理體系（第17條）與人類監督（第14條）。條文本身雖未強制要求特定組織結構，但將所有條文串聯起來後，事實上若無專責組織便無法運作。我將此視為法律留下的空白：形式上給予自由，內容上卻實施了強制。
實務上有一套名為「90天啟動計畫」的推動程序。該程序分為三個階段：建立人工智慧系統盤點清冊、釐清各系統屬於提供者還是部署者的角色，以及進行找出漏洞的差距分析。首先必須決定由誰來主導這三個階段。我建議設置直屬於執行長的人工智慧治理負責人——無論名稱是首席人工智慧官還是人工智慧合規負責人皆可——並由法務、開發、事業三個部門的代表在其麾下定期召開會議。若由這三個部門中的任何一方獨攬大局，另外兩方就會淪為配角，而變成配角的部門往往會敷衍塞責地填寫自己負責的文件。我曾多次目睹此類事故發生。
人工智慧辦公室的關注焦點也在於此。人工智慧辦公室已明確表示，將深入審查風險管理體系與品質管理體系是僅停留在紙面上，還是在組織內部切實運作。若公司製作了完美的政策文件，卻未分配執行人力、預算與權限，該文件在稽核中反而會成為不利的證據。因為有政策卻無負責人這件事本身，就會被解讀為風險管理的漏洞。
21.3 法務懂法律，開發懂技術，事業懂市場，以及三方共同判斷的場合
法務部門的職責相當明確：梳理人工智慧法與國內人工智慧基本法重疊之處、在供應商與客戶合約中加入人工智慧法相關條款、指定並管理 EU 境內授權代表，以及回應人工智慧辦公室或會員國主管機關的資訊調閱請求。若公司涉及通用人工智慧（GPAI）模型，確認是否符合著作權政策亦屬法務職責。
開發部門則負責從設計階段起將法律融入程式碼中。這包括將風險管理體系與資料治理落實於實際管道中、撰寫與更新技術文件、加裝自動記錄功能，以及在系統中植入第50條所要求的 AI 生成物機器可讀標示。認為開發部門無需了解法律條文的想法極具風險。在不了解條文情況下寫出的程式碼，事後法務再怎麼修飾也無法彌補。
事業部門則聚焦於市場。事業部門須先確定本公司在此供應鏈中究竟屬於提供者、部署者還是輸入商，識別系統的風險等級，並管理上市時程與策略。向下游部署者說明系統用途與限制事項，必要時提供培訓，亦屬事業部門的職責。若屬具有系統性風險的 GPAI 模型，必須在兩週內通報人工智慧辦公室，而能掌控此緊迫時限的，終究是第一時間掌握市場狀況的事業部門。
即使進行了上述分工，仍會剩下無法單純歸類於三者之一的交叉判斷事項。例如：引進 GPAI 模型進行微調時，是否會產生新的「提供者」地位？我們的系統是否會落入附錄 III 的信用評等或保險風險評估範圍？這類判斷無法單憑法務、開發或事業任何一方單獨作出。這必須將法律層面的解讀、技術層面的變革，以及市場層面的意義擺在同一個檯面上互相對齊，才能得出結論。我認為將這三方召集至同一個會議體系中，絕非形式上的安排，而是實質上的必要。會議絕不能僅止於留下紀錄後便散場，還必須明確釘牢會中決議由誰執行、由誰確認，會議才具有真正的意義。
在此列出本章應確認的核心要點：
第4條 AI 素養：自2025年2月2日起對所有提供者與部署者施行，與風險等級無關。
第26條 人類監督培訓：針對高風險部署者。原定2026年8月2日適用，因《數位綜合法案》有可能延後至2027年12月2日。切勿與第4條混淆。
罰款區間：第99條中無針對第4條的專屬條文。可能被納入一般義務違反區間（最高1500萬歐元或全球營業額3%）裁罰，或作為事故調查時的背景事由。
治理組織：法律雖未強制規定形式，但建議設立直屬於執行長聯絡負責人，並由法務、開發、事業三部門代表組成定期會議體系。
各部門分工：法務負責法規、合約、代理人及主管機關溝通；開發負責設計、文件、日誌與標示技術；事業負責角色確定、等級識別、上市策略、下游培訓及主管機關通報。
需交叉判斷事項：提供者地位變更、是否屬於附錄 III 等事項，應由三部門共同判斷，並指定結論的執行者與確認者。
讓我們再次回到板橋的那間會議室。對於事業部總監提出的問題——「我們三個到底誰要負責？」——答案並非只有一個。然而，若會議結束時仍無人能回答這個問題，那麼該公司恐怕已經忽略了第4條或第26條中的某項規範。