台灣已有 AI 基本法，公司還要看哪些規範？

先講結論

台灣已經有人工智慧基本法，但公司使用 AI 時，不能只把它當成一張「有 AI 就照做」的清單。它是上位治理框架；真正每天會碰到的問題，仍要回到資料、內容、系統、交易和產業場景。

比較實用的順序是：先用 AI 基本法建立治理語言，再用AI 風險分類框架盤點情境，最後依事實回查既有法律、主管機關規範與契約。這不是多做一層手續，而是避免把不同位階的文件混成同一種義務。

先分三層，不要把所有文件叫成同一種「AI 規定」

層次	本輪可確認的官方文件	公司怎麼用	不要直接推論
法律	人工智慧基本法；個資、著作權、營業秘密、資通安全、消保與公平交易等既有法律	先看使用情境是否碰到各法處理的資料、權利、系統或交易問題	有 AI 基本法後，其他法律都不用再看
政策	行政院人工智慧基本法施行規劃	追蹤跨部會推動與後續調適方向	政策規劃已對所有公司新增同一套可直接處罰的義務
官方框架	數發部人工智慧風險分類框架	用「盤點、識別、評估、應對」整理風險、控制與留證	框架就是所有公司都要申報的固定表格，或直接新增 20 項罰則

AI 基本法與既有法律是不同層次。行政院的施行規劃又是政策安排；數發部框架是官方的風險管理方法。公司可以把它們接成一套工作流程，但不能把其中任一份文件單獨說成全部答案。

公司第一輪，要回到哪些問題

公司正在做的事	先回到哪一類規範	第一個實務問題
把客戶、員工、會員或求職資料輸入 AI	個人資料保護法、產業規範與契約	資料能不能輸入、為何需要、由誰處理、工具如何保存或傳送
把報價、原始碼、配方、客戶名單或未公開文件交給 AI	營業秘密法、契約保密、著作權與資安	資料是否已分級、誰可存取、工具或供應商是否會留存、誰核准
讓 AI 生成文案、圖片、程式、音訊或整理他人素材	著作權法、授權、平台條款與對外責任	來源、授權、相似性、人為修改與發布審核是否留有紀錄
讓 Agent 讀寫系統、寄信、下單、改資料或呼叫 API	資安要求、內部權限、契約與受監理場景規則	最小權限、人審、日誌、停用與事故回復是否真的可運作
用 AI 對外客服、廣告、推薦、定價或功能宣稱	消費者保護法、公平交易法、契約與產業規範	說法是否有依據、限制是否說清楚、錯誤輸出誰覆核與更正

資通安全管理法與個別產業資安要求，是否直接適用要看公司身分、服務和監理範圍；不要只因為有 AI 就自行宣布一定受同一條規則管。反過來說，沒有落入單一法的直接適用範圍，也不代表可以忽略帳號、權限、日誌、供應商和資料外流風險。

如果第一個問題就是文件能不能送進 AI，可先看公司文件可以上傳 AI 工具嗎？；要把盤點做成制度，接著使用企業 AI 資料分級表和企業 AI 使用規範範本。

六個步驟，先做成公司自己的基線

1. 列情境，不只列工具。 寫下 AI 用在哪個流程、誰操作、會影響誰，以及錯誤輸出的後果。
2. 畫資料流。 標記輸入資料、模型或服務提供者、保存地、帳號權限、API、下載與刪除方式。
3. 分資料與內容。 把個人資料、營業秘密、契約保密、原始碼、第三方素材和公開資料拆開；不是所有「內部文件」都有同一個風險。
4. 定人審與停損點。 哪些輸出可以當草稿、哪些一定要覆核、誰可以更正、停用或轉人工。
5. 把對外說法留證。 AI 的功能、準確性、價格、效果、安全性或內容標示，不能只依行銷句子；要保留依據、版本與覆核紀錄。
6. 標出產業加碼條件。 金融、醫療、教育、電信、政府採購或其他受監理用途，另外放入主管機關規範、契約與採購要求的複查欄。

若 AI 會自己讀寫系統或執行任務，再加上AI Agent 權限與日誌檢查表。它不是法律認定工具，但能把最小權限、人工核准、日誌和停用流程變成可檢查的欄位。

有海外市場時，台灣這一層不要跳過

美國、歐盟、日本、中國和韓國的 AI 規則，不會因為公司人在台灣就自動完全適用，也不會因為公司研究外國市場而取代台灣的基線。先把本頁的資料、權限、內容和對外交易盤點做好，再依市場連結補看美國 AI 法規觀察、EU AI Act 台灣視角、日本 AI 法規觀察、中國 AI 法規：台灣公司進中國市場先看什麼？或韓國 AI 基本法：台灣公司要注意什麼？。

海外補查要加上的不是一段國際新聞，而是實際的市場、使用者、供應鏈、資料流、產品角色、合約和主管機關文件。這樣才不會把外國規則誤寫成台灣義務，也不會在準備出海時才發現自己的資料與權限基礎沒有補齊。

現在不能講太滿的地方

這一頁不是要替每家公司判定適用哪一條法律。個資、營業秘密、著作權、資安、消保、公平交易、契約與目的事業主管機關規範，都要回到資料、用途、角色、服務對象與當日官方文件判斷。

人工智慧基本法、行政院施行規劃和數發部風險分類框架提供的是台灣治理入口；它們不等於每一個 AI 場景都已有同樣完整的細則或直接處罰標準。若是高敏感資料、重大權益決定、受監理業務、政府採購、正式上架或跨境服務，應在決定前重新查證官方來源和具體要求。