05_治理聖杯：建立安全與倫理習慣

核心表格

本章把生成式人工智慧（Generative Artificial Intelligence, GenAI）治理從靜態合規檢查改寫成一個持續運作的系統。核心不只是「制定規則」，而是讓 Transparency、Fairness、Reliability、Data Governance、Risk Management、Ethical AI、Human Oversight、Operational Governance 與 Security Investment 一起嵌入 AI Life Cycle。

核心主題	主要觀點／方法	實務用途	重要條件／限制／延伸
Governance at Speed	治理需與 GenAI 的變化速度同步，而非只做 Post-deployment Oversight	把 Governance 嵌入 Development、Deployment、Monitoring	原書以 FinCorp 未授權投資建議說明單一錯誤可快速影響大量使用者
Transparency、Fairness、Reliability	決策可追溯、Bias 可偵測、Performance 持續監測	建立 Explainability、Fairness Audit、Reliability Monitoring	原書沒有固定權重或總分
Governance Roles	只新設必要的獨立監督機制，其餘 AI 能力整合進既有企業團隊	避免新增 AI Silo，強化現有 Risk、Compliance、Security、Incident Response 等能力	原書保留 2 個核心獨立委員會：AI Governance Board 與 AI Ethics Committee
Data Governance	管理 Integrity、Life Cycle、Access、Transformation、Retention／Disposal	建立 Data Flow、Lineage、RBAC 與 Audit Evidence	不等於單純 Encryption；原書沒有固定 Retention Period
Compliance Discovery Canvas	Compliance Drivers、Regulatory/Ethical Considerations、Operational Monitoring、Risk/Response 四象限	把法規要求轉成 Threat Modeling 與可執行控制	原書未提供固定通過門檻或評分
GenAI Unique Risks	Speed/Scale、Model Unpredictability、Data Exposure、Automation Risks	擴充傳統 Risk Register，納入生成式 AI 特有風險	模型技術上正常仍可能產生 Unauthorized Action
Ethical AI	Cultural Context、Innovation、Responsibility 需持續平衡	以 Fairness、Transparency、Accountability、Impact 做持續評估	原書沒有單一跨文化 Ethics Score
Human Oversight	Human-in-the-loop、Human-on-the-loop、Human-in-command	依 Decision Context 安排不同人類介入與最終控制	原書沒有固定選型公式
Operational Governance	每個 Governance Requirement 都要有對應 Procedure、Monitoring、Training、Metric、Escalation	把治理變成每日 Workflow，而非文件性 Overhead	原書沒有固定 Training Frequency 或 Metric Target
Security Investment Pyramid	Regulatory Requirements → Organizational Policies → Risk-Based Controls	用 Mandatory、Internal Standard、Risk Profile 決定 Security Investment	原書沒有固定預算比例；另強調 Front-loaded、Scalable、Risk-adjusted Investment
AI Security Onion	Governance and Policies、Infrastructure、Application、Data 四層 Defense-in-depth	讓政策、技術、User Interaction 與 Data Practice 互相補強	單一強層不能取代其他層
Practical Guardrails	Orchestrator、Authentication、RBAC、Input／Output Moderation、Audit、Human Escalation	把抽象治理落到 HR Bot 等真實 GenAI Application	原書沒有 Moderation Accuracy、Block Rate 或 Escalation SLA

章節定位

第 4 章處理「如何把 GenAI 系統安全地擴到 Enterprise Scale」；第 5 章接著處理更難的一層：當 AI 系統開始自主生成、快速擴散並影響大量使用者時，企業要如何建立能跟得上技術速度的治理？

原書的答案不是增加更多靜態 Checklist，而是把 Governance、Security、Ethics、Risk、Data、Human Oversight 與 Operations 連成一個持續運作的體系。治理不再是部署前最後一道關卡，而是從 Design、Development、Deployment 到 Monitoring 都持續存在。

1. FinCorp 事件：GenAI 的問題不一定是「系統故障」

原書以 FinCorp Chatbot 為開場。系統遇到一個 Ambiguous Prompt 後，把它解讀成金融策略需求，生成了一段看似專業、但其實完全沒有授權的投資建議。