AI控管資料庫 v2

由最高管理階層核准組織 AI 政策，說明組織為何使用或提供 AI、遵循哪些治理原則、如何設定 AI 目標，以及誰負責。政策須包含滿足適用要求與持續改善的承諾，並讓相關人員取得。

建立有人負責且經管理階層核准的 AI 風險、倫理審查及政策例外程序，讓重大爭議和偏離規則都有明確決定。

定期檢查 AI 政策與資安、隱私、品質、人資及採購等政策是否一致；有衝突時找出負責人，修訂、核准並確認已落實。

建立一份找得到負責人的 AI 清冊，連結實際使用的模型、資料、工具、服務及基礎設施，新增、變更或停用時更新。

讓參與 AI 工作的人具備與職責相符的能力，透過實際案例確認會做正確判斷，能力不足時先補訓或安排協作。

除了首次風險評估，依排定週期重新檢查 AI 對人員、社會與業務的實際影響，將新發現傳達給能處理的人。

由未直接負責受查工作的人員，抽查控管是否真的執行有效，將缺失交給負責人改善並確認改善結果。

管理金鑰從產生、啟用到輪替、撤銷及銷毀的每個狀態；疑似外洩時停止用它加密新資料，並保留可查核紀錄。

保護機房與安全區的出入口，確認人員及設備身分，記錄進出並讓異常告警有受訓人員處理。

保護機房電力、通訊與環境控制，持續監測並保養測試，讓溫濕度或公用設施異常不會直接造成服務中斷。

設備、媒體或資料離場前先核准並管制交接，報廢或再利用時採適當清除／銷毀方法並驗證，避免資料跟著流出。

在人員取得資料與系統存取前，完成適當任用及保密安排，說清楚責任；調職或離職時交接工作、撤權並收回資產。