AI 法規 2026，公司要準備什麼？先做這 6 件事
多數台灣企業現在先做兩件事：AI 客服告知是 AI、個資只給必要的。本文附上可以直接問 AI 的問法，幫你整理 AI 清冊、找出碰到個資的步驟，再整理 6 件現在能做的事、歐盟 AI 法與台灣《人工智慧基本法》的時程與規則。
重點摘要
- 先直接問 AI：請 ChatGPT、Claude 或 Gemini 把公司的 AI 用途整理成清冊、找出碰到個資的步驟，再由負責的人對照官方資料確認；接著讓聊天機器人開場說明是 AI、問清楚供應商、重大決定保留人工覆核。
- 歐盟 AI 法第 50 條的透明義務已在 2026 年 8 月 2 日開始適用；AI 產出在歐盟被使用，台灣公司也可能適用。招募、信用評估等高風險義務延到 2027 年 12 月 2 日，嵌入產品的 AI 延到 2028 年 8 月 2 日，延後不是取消。
- 台灣《人工智慧基本法》2026 年 1 月公布施行，主要規範政府，細則由各主管機關在兩年內訂定；個資法等既有法規則是現在就適用。
- AI 用得越來越多、開始用在重大決定時，可以把清冊、人工覆核與操作紀錄做進現有的系統。
文章目錄
對多數台灣企業，現在要準備的是兩件事：AI 客服如果會回答歐洲客人，要讓對方知道是 AI；不論有沒有歐盟客戶，個資法現在就適用。 用 AI 篩履歷、評估信用的公司，要多準備一些。
2026 年，AI 的規則開始落地：歐盟《人工智慧法》的透明義務在 8 月 2 日開始適用，台灣的**《人工智慧基本法》在 1 月公布施行**。「我們要準備什麼？」有時是客戶先問，例如德國客戶寄來的供應商問卷寫著：「貴公司使用的 AI 系統是否符合 EU AI Act？」
這篇先給你兩句可以直接問 AI 的問法、6 件現在就能做的事，再整理時程與規則。（本文整理截至 2026 年 9 月的狀態，為一般資訊，不構成法律意見；具體情況請諮詢律師。）
先直接問 AI
把公司用到 AI 的地方或一段作業流程交給 ChatGPT、Claude 或 Gemini 這類 AI 助理，它可以先起草 AI 清冊和個資清單。複製下面的句子，換成你公司的情況就好（範例是示意）。
整理 AI 清冊
下面是我們公司用到 AI 的地方：官網的 AI 客服（會回答英文詢問）、行銷用 AI 做商品圖、人資試用 AI 篩履歷。請整理成一張 AI 清冊，欄位是：用途、工具或供應商、處理哪些資料（有沒有個人資料）、服務對象（有沒有歐盟的人）、負責人（先留空）、依歐盟 AI 法可能的風險層級（禁止／高風險／透明義務／最低風險）。沒把握的標「待確認」並說明原因。結果用表格列出，讓我可以貼進試算表。
找出哪些步驟碰到個資
附件是我們從詢問到出貨的作業流程：詢問、報價、下單、付款、出貨、售後。請逐步列出每一步用到哪些個人資料、有沒有送進外部的 AI 服務、是不是那一步必要的資料。最後用表格列出：步驟、個資欄位、是否送進 AI、建議（保留／刪掉／換成代號）。
AI 的整理不是法律意見，也不一定知道最新的時程，例如 2026 年 7 月生效的延後。風險層級和要做的事，請負責的人對照下文連結的官方資料確認；涉及歐盟或高風險用途，再請律師確認。清單或流程裡有真實的客人姓名、電話，先換成代號再貼，或使用公司的企業方案。
現在就能做的 6 件事
1. 用一張試算表建立 AI 清冊，並標上風險層級
把第一句問法整理出的表格貼進試算表，補上負責人，員工自己註冊的 AI 工具也要算進去。風險層級那一欄，對照下文歐盟的四個層級與數位發展部的框架確認，標出哪些是高風險、哪些有透明義務。
2. 聊天機器人開場就說明是 AI
在 AI 客服的第一句話加上說明，例如「我是 AI 助理，複雜問題會轉給專人」。執委會的指引草案指出，只寫在使用條款、或只含糊地稱它「助理」都不夠，告知要出現在對話裡。AI 客服如果在 LINE 官方帳號上，也可以把同樣的說明放進加入好友的歡迎訊息。
3. 保留 AI 工具加的標記，行銷素材分開看
生成式 AI 工具通常會在輸出中加浮水印或中繼資料，後製時保留下來。一般商品情境圖不一定是深偽；讓真人「說」出沒說過的話、或合成看起來像真實事件的畫面，就要清楚標示。這兩條寫進內容製作流程。
4. 問清楚供應商四個問題
- 輸入的資料會不會被拿去訓練？存在哪裡、保存多久？
- 生成內容有沒有加機器可讀的標記？
- 模型改版會不會事先通知？
- 產品若用在歐盟，能否提供法規要求的文件與使用說明？
5. 個資只給必要的
把客戶資料貼進外部 AI 服務、用顧客對話訓練模型前，先問：「這在當初告知的目的之內嗎？」從第二句問法標成「刪掉」或「換成代號」的欄位開始，能去識別化就先處理，並更新隱私權聲明。
6. 重大決定保留人工覆核，並留下紀錄
招募、授信、解僱這類決定，由 AI 提建議、人做決定，覆核的人要看得懂理由、也有權推翻。處理歐盟居民的個資時，GDPR 對完全自動化的重大決定本來就有限制。同時記下用了哪個模型版本、輸入與輸出、誰核准；歐盟高風險系統的部署者，日誌至少要保存六個月（第 26 條，2027 年 12 月起適用）。
時間軸：哪些已經生效、哪些延後了
| 日期 | 事件 | 對一般企業的意義 |
|---|---|---|
| 2024/8/1 | 歐盟 AI 法生效 | 開始分階段適用 |
| 2025/2/2 | 禁止的 AI 行為、AI 素養義務開始適用 | 例如不得在職場用 AI 辨識員工情緒 |
| 2025/8/2 | 通用 AI 模型義務開始適用 | 主要是模型開發商的責任 |
| 2026/1/14 | 台灣《人工智慧基本法》公布施行 | 政府兩年內完成法規調適 |
| 2026/8/2 | 歐盟 AI 法多數規定適用，含第 50 條透明義務 | 聊天機器人要告知、深偽要標示 |
| 2026/12/2 | 生成內容標記的寬限期結束；新禁止規定適用 | 見下文「延後了什麼」 |
| 2027/12/2 | 附件三高風險義務適用（原訂 2026/8/2） | 招募、信用評估等用途 |
| 2028/8/2 | 產品內高風險 AI 義務適用（原訂 2027/8/2） | 機械、醫材等受產品法規管轄的產品 |
官方時程可以在歐盟執委會的 AI Act Service Desk 時間表查到。
歐盟 AI 法：台灣公司什麼情況會適用
歐盟 AI 法（Regulation (EU) 2024/1689）不是看公司設在哪裡。依第 2 條，以下情況都可能適用：
- 你把 AI 系統或含 AI 的產品賣到歐盟市場；
- 你在歐盟有據點，並在業務上使用 AI；
- 公司在歐盟之外，但 AI 系統的產出在歐盟被使用，例如英文官網的 AI 客服在回答歐洲客人。
法規也區分兩種角色：提供者（開發 AI 系統、以自己名義推出）與部署者（在業務上使用 AI 系統）。用大模型 API 自己做客服機器人放在官網，你可能同時是提供者與部署者；直接用現成的 SaaS 工具，多半是部署者。
四個風險層級
- 禁止：例如社會評分、利用弱點操控行為、在職場或學校辨識情緒。
- 高風險：附件三列出的用途，包括招募與人員管理（篩履歷、評估員工表現）、個人信用評估、教育等；以及受歐盟產品安全法規管轄產品中的 AI 安全元件。
- 透明義務：和人對話的聊天機器人、生成內容的 AI、深偽。
- 最低風險：庫存預測、垃圾信過濾、內部文件摘要等，沒有額外義務，但仍要遵守個資等其他法規。
罰款上限依層級不同：違反禁止規定最高 3,500 萬歐元或全球年營業額 7%；違反高風險或透明義務最高 1,500 萬歐元或 3%；中小企業取兩者中較低者。
延後了什麼、沒延後什麼
執委會在 2025 年 11 月提出「數位綜合法案」（Digital Omnibus），其中 AI 的部分以 Regulation (EU) 2026/1744 通過，已於 2026 年 7 月 27 日生效（執委會公告）：
- 延後：附件三高風險義務延到 2027 年 12 月 2 日，產品內的高風險 AI 延到 2028 年 8 月 2 日。
- 放寬：AI 素養從「確保員工具備足夠素養」改為「採取措施支持員工培養」；中小企業的簡化措施擴及規模稍大的「小型中型企業」。
- 沒有延後：第 50 條透明義務照樣在 2026 年 8 月 2 日適用；只有「生成內容的機器可讀標記」，對 8 月 2 日前已上市的系統給到 12 月 2 日。
- 新增：禁止用 AI 生成未經同意的私密影像與兒少性剥削內容，2026 年 12 月 2 日起適用。
延後不是取消。 用 AI 做招募或信用評估的企業，多出來的時間正好用來把文件、覆核流程與紀錄做好。
8 月 2 日起：透明義務的內容
第 50 條是和最多企業有關的一條。執委會 7 月發布了透明義務指引，6 月也公布了自願簽署的 AI 生成內容標記與標示行為準則。
| 情境 | 要做什麼 | 主要責任 |
|---|---|---|
| AI 客服、聊天機器人 | 讓對方知道正在和 AI 對話（情境明顯者除外） | 提供者 |
| AI 生成的圖片、影音、文字 | 以機器可讀方式標記，例如浮水印、中繼資料 | 生成式 AI 的提供者 |
| 深偽（以假亂真的人物、地點、事件） | 清楚揭露內容由 AI 生成或修改 | 部署者 |
| 為公共利益議題發布的 AI 文字 | 揭露由 AI 生成；經人工審閱、由人負編輯責任者除外 | 部署者 |
| 情緒辨識、生物特徵分類 | 告知被處理的人 | 部署者 |
前面第 2、3 件事就是日常的做法。客服機器人最好只根據公司資料回答、查不到就轉真人（見用公司資料回答的 AI 客服），比事後補標示更能降低風險。
台灣：人工智慧基本法已上路，細則陸續訂定
《人工智慧基本法》在 2025 年 12 月 23 日三讀通過、2026 年 1 月 14 日公布施行，共 20 條，中央主管機關是國科會。它是「基本法」，主要規範政府該做什麼：
- 政府推動 AI 要遵循七項原則：永續發展與福祉、人類自主、隱私保護與資料治理、資安與安全、透明與可解釋、公平與不歧視、問責。
- 數位發展部負責與國際接軌的風險分類框架；框架 1.0 版已在 2026 年 7 月發布，把 AI 風險分為 3 大類、20 個子類別，建議用「盤點、識別、評估、應對」四個步驟處理。
- 各目的事業主管機關依框架訂定管理規範，政府要在施行後兩年內完成法規調適；經認定為高風險的應用，要標示注意事項或警語、明確責任歸屬，並建立救濟、補償或保險機制。
換句話說，基本法本身沒有直接對企業開罰，但方向已經清楚，未來兩年各產業的具體規範會陸續出現。
現在就適用的既有法規
- 個人資料保護法：蒐集時告知目的、在特定目的範圍內利用、做好安全維護。個資法在 2025 年 11 月修正公布，新增外洩通報等規定，施行日期由行政院另定，值得持續追蹤。
- 產業規範：例如金管會的《金融業運用人工智慧（AI）指引》，對公平性、可解釋性與治理都有要求。
- 原本的責任不會因為用了 AI 而改變：就業服務法禁止就業歧視，AI 篩履歷如果系統性排除特定年齡或性別，責任仍在公司。
什麼時候可以考慮下一步
上面這些，一開始用 AI 助理、試算表和現有工具就能做好。遇到下面這些情況，可以考慮做進系統：
- 客戶的供應商問卷開始要求說明 AI 的使用方式，或希望看到紀錄。
- 用 AI 的地方越來越多，清冊常常要重新整理、再貼給 AI 核對。
- 打算讓 AI 協助招募、授信這類重大決定。
- AI 已經接上後台，會修改資料或對外寄信。
下一步：把覆核與紀錄做進現有系統
不用換掉現在的系統，在現有流程上加三樣東西，一次做一個流程：
- 清冊集中管理：每個 AI 用途的負責人、風險層級和供應商放在同一個地方，有變動時通知負責人。
- 覆核做在流程裡：AI 提建議並附上理由，人確認或推翻後才生效。例如 StudioX 的決策模型 Jev 會輸出決定和信心值，低於門檻的轉給人。
- 紀錄自動留存：模型版本、輸入與輸出、誰核准，系統自動記下來。
我們的 AI 助理 Xena AI 也照這個原則：修改資料前一定先問人、每一步都留紀錄，也可以設成只能查詢。上線初期可以和現在的做法並行。哪些動作要人確認，可以參考人工確認怎麼設。
法規還會變，但清冊、分級、標示、覆核、紀錄不管最後規則怎麼定都用得上。想知道從哪裡開始，可以先做一次免費的 AI 健檢，或參考我們的 AI 導入服務與企業系統開發，也歡迎和我們聊聊。
