全球AI治理進入「落地時代」：一張地圖看懂國際規則、標準與選擇

李國權教授 Professor David Lee Kuo Chuen
7月8日
讀畢需時 5 分鐘

作者：李國權教授（編譯整理） | 2026年7月

李國權教授是一位著名的學者與思想領袖，專長於金融科技、區塊鏈、Web3 及數位貨幣領域。他現任新加坡社科大學（SUSS）教授，並兼任多項學術職務，包括新加坡國立大學（NUS）的客座教授及研究員。

如果你還在問「我們到底該遵守哪個AI治理框架」，那你並不孤單。

過去三年，全球AI治理從「原則時代」衝進了「硬法時代」，又從「硬法時代」快速轉入「落實與再校準時代」。2026年7月，歐盟《數位綜合法案》剛剛完成修訂，聯合國首屆全球AI治理對話在日內瓦召開，梵蒂岡發布了首份以AI為主題的通諭——而你的企業，可能還在糾結：歐盟AI法案、NIST、ISO 42001、OECD原則，到底該怎麼選？怎麼用？

這篇文章不是學術論文，而是一張實用地圖。它幫你把這台複雜的全球AI治理機器拆開，看清裡面的齒輪、鏈條和開關，然後告訴你：你的組織現在該做什麼。

一、全球AI治理，其實只有「五層樓」

我們可以把整個全球AI治理想像成一棟五層建築：

全球規範層：UNESCO《AI倫理建議書》（193國通過）、聯合國《全球數位契約》——提供合法性基礎。
硬法/條約層：歐盟AI法案（有罰款）、歐洲委員會AI框架公約（首個具約束力的AI條約）——不遵守就出事。
軟法與原則層：OECD AI原則（2019/2024修訂）、G7廣島行為準則——沒有罰單，但影響立法和採購。
標準與認證層：ISO/IEC 42001（可認證管理體系）、NIST AI RMF（自願框架）——幫你把治理「做出來」。
組織實踐層：你的內部政策、模型清單、審計記錄、事件響應流程——這才是真正的「最後一哩路」。

關鍵認知：規範自上而下，但證據和實踐自下而上。沒有第五層，前面四層都是空談。

二、3大工具，3種玩法

當前國際AI治理的核心工具，按「約束力」可以分為三類，企業往往需要三者並用：

類型	代表工具	約束力	典型場景
硬法	歐盟AI法案、歐洲委員會公約	強制合規，最高罰全球營業額7%	面向歐盟市場的產品
自願框架	NIST AI RMF、OECD原則	自願採納，但影響採購與立法	內部風險管理、政府投標
可認證標準	ISO/IEC 42001	採納後須接受第三方審計	向客戶、董事會、監管層傳遞信任

現實中的企業做法：遵守硬法 + 對標自願框架 + 按市場需求做認證。不是「三選一」，而是「三合一」。

三、歐盟AI法案：不得不啃的「硬骨頭」

如果你或你的客戶涉及歐盟市場，歐盟AI法案是你繞不開的起點。

風險分級：禁止（不可接受風險）→ 高風險 → 有限風險 → 最小風險。義務隨風險遞增。
域外效力：只要你的AI系統輸出在歐盟被使用，你就受管轄——不管你的伺服器在哪裡。
2026年關鍵變化：《數位綜合法案》將高風險義務推遲至2027/2028年，但透明度義務（Art. 50）仍自2026年8月2日起強制執行，包括標註AI生成內容、告知用戶。

一個實用框架：用「七個判斷問題」快速分類你的AI系統——是否屬於AI系統定義？是否被禁止？是否高風險？是否適用透明度？是否基於GPAI模型？你扮演什麼角色（提供者/部署者）？適用哪個實施日期？

四、除了硬法，還有兩套「必裝系統」

NIST AI RMF —— 內部治理的「操作手冊」
- 美國NIST發布，非法律、非認證，但已是美國採購和企業AI治理的事實基準。
- 四大功能：治理（Govern）→ 映射（Map）→ 度量（Measure）→ 管理（Manage），形成持續循環。
- 2024年7月新增「生成式AI概況」（GenAI Profile），專門針對大模型的風險類別（幻覺、偏見、隱私、CBRN等）。

ISO/IEC 42001 —— 可認證的AI管理體系
- 首個國際可認證AI管理標準，與ISO 27001（安全）、ISO 9001（質量）同族。
- PDCA循環（計畫-執行-檢查-行動）+ 附錄A共38項控制。
- 認證 ≠ 法律合規，但它為歐盟AI法案合規提供了堅實「鷹架」。

《立即預約咨詢》

五、OECD與UNESCO：軟法為什麼有「硬影響」？

OECD AI原則（2019通過，2024修訂）：定義了「AI系統」這一全球通用概念，被歐盟AI法案、歐洲委員會公約直接引用。OECD.AI政策觀測站追蹤80+轄區的1000+項政策，是全球AI政策的「數據底表」。
UNESCO建議書（2021）：193國通過，以人類尊嚴為核心，提供「準備度評估工具（RAM）」——許多國家在起草AI法律之前，先做RAM診斷。

一句話總結：OECD給你「共同語言」，UNESCO給你「合法性與開發中國家工具」。

六、亞洲：轉譯，而非移植

亞洲不是簡單照搬歐美框架，而是在做「翻譯」和「在地化」：

新加坡：IMDA示範框架（已更新至代理式AI）+ AI Verify測試工具；MAS發布FEAT原則、Veritas及BuildFin.ai SAFR（2026）。
中國：演算法推薦、深度合成、生成式AI、內容標識等縱向規則；《全球人工智慧治理倡議》+ WAICO提議（上海，2025）。
日本：AI促進法（2025），輕監管。
韓國：AI基本法（2026年1月生效）。
東盟：AI治理與倫理指南，與OECD對齊，刻意輕監管。

關鍵洞察：亞洲企業既受歐盟域外效力約束，又需遵守本地規則——跨框架映射能力正在成為新一代合規人才的核心競爭力。

七、代理式AI：治理的新前線

隨著AI從「回答問題」進化到「執行任務」，治理重心正在發生根本性轉移：

從模型風險 → 行為風險 → 授權風險
治理響應包括：權限控制、人工審批、策略封裝、熔斷開關、審計軌跡

案例：一個銀行的大模型客服系統，需要同時滿足歐盟AI法案第14條（人類監督）、ISO 42001生命週期控制、G7行為準則——一套系統，多重框架。

八、國家路徑：一張光譜，而非二分法

不是每個國家都在走「歐盟式硬法」路線。2025-2026年的國家選擇呈現明顯分化：

國家	路徑	特點
巴西	EU式硬法	PL2338/2023，基於風險，對齊歐盟
英國	部門主導	無專門AI法，5項原則由現有監管機構執行
印度	輕監管	7項「經義」，基於IT法，無統領性立法
澳洲	自願優先	強制護欄暫緩，依託現有法律+自願標準