韓國高影響 AI：台灣公司怎麼判斷與留證？

先答：不是「在重要產業用 AI」就自動算高影響

韓國 AI 基本法的高影響 AI 判斷，不是只看產品叫什麼，也不是只看客戶屬於哪個產業。現行第 2 條先要求系統用在法律列出的領域，同時還要看它是否對人的生命、身體安全或基本權利有重大影響，或有造成這類風險的可能。

所以，履歷排序、貸款審查、學生評量、醫療或公共服務系統都應優先盤點，但不能只靠一個功能名稱就寫成「一定是」或「一定不是」。台灣公司還要先確認產品是否真的進入韓國市場、公司是開發業者或利用業者、輸出如何進入決定，以及人是否真正能介入。

法定領域是第一道門，不是完整答案

現行法律列出的範圍，可白話整理如下：

法定領域	先確認的實際用途	不要只看
能源供應、飲用水生產	是否控制或影響關鍵供應與安全流程	公司是能源或水務客戶
醫療服務與醫療器材	是否用於醫療提供、體系運作、醫療器材或數位醫療器材	工具有健康問答功能
核物料與核設施	是否影響安全管理與運作	專案在核能產業
犯罪調查或逮捕的生物辨識	是否分析臉、指紋、虹膜等識別資訊並用於調查或逮捕	有一般人臉登入功能
招募、貸款審查等重大權利義務判斷	輸出是否實質影響錄取、授信或其他重大決定	產品名稱含 HR、信用或評分
交通工具、設施與系統的主要運作	是否影響主要控制、調度或安全	只是一般路線建議
公共服務資格、決定或費用徵收	是否進入政府或公營機構影響民眾的決定	客戶是政府機關
幼兒園至高中學生評量	是否用於法定教育階段的學生評量	任何教育科技工具
其他由施行令指定的重大領域	當日現行施行令是否已另行指定	用推測補清單

進入清單後，施行令第 25 條還要求綜合看風險的影響、重大性、頻率、領域特殊性、業者自評和必要時的專業委員會意見。這就是為什麼同一套模型，在一般內部摘要與直接影響錄取、貸款或學生評量時，不能只用同一個風險結論。

官方已確認：法律、施行令、主管機關說明與寬限分開看

材料	類型	2026-08-24 可確認的作用
AI 基本法第 2、33、34 條	已生效法律	定義領域、要求事前自評、建立確認管道及高影響 AI 的核心措施
現行施行令第 25、27 條與附表 1	現行施行令	補確認資料、判斷因素、回覆期限、公開內容、五年保存與其他法令措施認列
MSIT 施行說明與確認入口	官方說明／行政入口	提供判斷方向、支援窗口與線上確認程序；不能取代現行條文或個案回覆
至少一年寬限	官方執行安排	原則上延後一般事實調查與罰鍰，重大生命、人權或社會損害情形除外；不等於法律未生效

韓國 AI 基本法自 2026 年 1 月 22 日生效；國家法令資訊中心目前顯示的現行部分修正法律自 2026 年 7 月 21 日適用。現行施行令頁面則顯示自 2026 年 8 月 20 日施行，原因標示為其他法律修正。這些日期在說不同事情，不能混成「高影響義務到 8 月才第一次生效」，也不能只看頁面日期推論第 25 或第 27 條在 8 月全面改寫。

先自評；需要時再請 MSIT 確認

法律第 33 條要求 AI 業者在提供 AI 或使用 AI 的產品、服務前，先檢視是否屬高影響 AI；必要時可以向 MSIT 請求確認。MSIT 的官方申請入口也明確要求先看判斷指引並完成自評，支援窗口提供的是如何使用判斷標準的協助，不是直接替每一家公司下結論。

施行令第 25 條要求確認請求至少準備：

1. AI 產品或服務概況。
2. 系統開發與訓練所用資料的概況。
3. 系統輸入、處理、輸出與使用結果的資料。
4. 其他有助判斷的文件，以及業者自己的事前檢視結果與理由。

MSIT 原則上要在收到請求後 30 日內回覆；產品複雜或重要時，可延長一次，延長範圍最多 30 日。業者若對結果有異議，可在收到回覆後 10 日內請求再確認。這些是現行程序期限，不代表資料不完整也一定能在最短時間取得個案結論。

MSIT 的施行說明另把人是否參與最終決定列為判斷因素，並說明可控制的系統可能被排除。實務上仍不應把形式簽核當成萬用排除條件：人要看得到足夠資訊、有合理時間、有權改判或停用，而且團隊要能提出真實紀錄。

確屬高影響 AI 後，要交付的不只是一份風險報告

法律第 34 條的核心措施包括：

• 建立並運作風險管理方法。
• 在技術可行範圍內，規劃如何說明最終結果、主要判斷標準和訓練資料概況。
• 建立並運作使用者保護方法。
• 由人管理與監督高影響 AI。
• 製作、保存可證明安全性與可信賴措施的文件。

現行施行令第 27 條再把部分要求變成可查驗的交付物：業者要在辦公處所、營業場所或網站等位置，公開風險管理、說明、使用者保護的主要內容，以及管理監督者的姓名和聯絡方式；營業秘密事項可依法排除。所有措施與依據要以紙本或電子方式保存五年。

同一條也處理供應鏈分工。利用業者在沒有重大改變原始目的或用途時，可能承接開發業者已完成的部分措施；利用業者也可要求開發業者提供履行義務所需資料。這不表示買到一份供應商聲明就完成：功能有沒有重大變更、誰控制部署、誰處理申訴、誰公開資訊、誰保留五年證據，都要寫進契約與驗收。

若產品同時受到醫療、金融、交通、個資等其他法律規範，施行令附表 1 對部分既有措施提供認列規則。是否能認列要逐項對照，不宜寫成「通過任何一張認證，就免除全部高影響責任」。

透明義務是另一條線，不要漏掉

高影響 AI 不只要做第 34 條的風險與文件措施。法律第 31 條也要求，提供使用高影響 AI 的產品或服務時，事前告知使用者產品或服務以這類 AI 為基礎運作；現行施行令第 23 條補充產品、契約、說明書、使用者畫面或服務場所等告知方法與例外。

如果同一產品還包含生成式輸出或擬真內容，另用韓國生成式 AI 透明義務檢查輸出標示，不要把高影響告知、一般生成內容標示與擬真內容混成一張貼紙。

台灣團隊可以共用盤點方法，不能共用法律結論

數發部的AI 風險分類框架是台灣跨部會辨識、評估與應對風險的共同語言，最終仍由各目的事業主管機關轉化成領域規範。它適合幫台灣團隊建立應用情境、風險、影響與措施清單，但不是韓國第 33 條的官方確認，也不會把韓國清單直接變成台灣裁罰標準。

HR 產品可先用AI 招募與員工管理風險補台灣就業、性別平等與個資基線；教育產品可用學校只靠 AI 偵測器判定作弊？檢查教師判斷、學生說明與申訴。跨境市場判斷是在這些台灣基線上再加一層，不是替代它們。

上線或採購前做六個測試

1. 市場與角色測試： 韓國使用者、客戶、平台、經銷、API、資料流與契約在哪裡？誰是開發業者、利用業者或直接服務者？
2. 領域與用途測試： 系統真的進入哪一個法定領域？輸出只是輔助資訊，還是實質影響人的權利、安全或公共服務決定？
3. 影響與頻率測試： 記錄受影響人數、傷害類型、重大性、發生頻率、可逆性與領域特性，不只填高、中、低。
4. 人類控制測試： 覆核者看得到哪些依據、有多少時間、能否改判、停用或轉人工？用實際案例演練並留下紀錄。
5. 供應鏈與文件測試： 廠商能否交付模型與訓練資料概況、限制、版本、風險、說明、使用者保護和變更通知？
6. 確認與驗收測試： 自評有疑義時是否準備官方確認資料？若確屬高影響，公開內容、監督者、五年保存、申訴與事件流程是否已納入AI 專案驗收檢查表？

若公司還不確定產品和韓國市場的連結，先回到韓國 AI 基本法總覽分清法律、施行令、透明、高影響與寬限，再進本頁做細部判斷。

現在不能講太滿的地方

本頁不把法定領域清單當成自動分類，也不把人工簽核、供應商聲明、台灣風險分級或其他產業認證當成韓國官方確認。MSIT 仍可能在寬限期間更新判斷指引、FAQ、窗口與執行方式；公司功能、角色、資料、契約與實際控制也可能變動。

準備向韓國使用者提供招募、信貸、教育、醫療、公共服務或其他重大決策產品時，應在上架或簽約前，以當日現行法令、主管機關文件和具體產品事實再確認。