企業管理 AI 的實際做法平均 41.1 分，前段只有 16.7%；CIO 替自家打的分數，多半比實際做法還保守。
企劃╱CIO Insight 調查小組‧文╱何信達
資訊長怎麼評價自家的 AI 治理？根據 CIO Taiwan《2027 CIO Insight 調查》，在已評估或導入 AI 的企業中，52.3% 的 CIO 自評「沒有正式政策，AI 使用完全靠個人或個案判斷」，自評達到「有政策且大致執行」以上的占 26.8%。過半 CIO 自評，公司還沒有正式的 AI 治理政策。
自評之外，本刊以「AI 治理成熟度指數」看實際做法，四項各 0 到 3 分：是否有正式的 AI 治理框架或政策、是否掌握員工使用的 AI 工具、是否建立 AI 應用清冊，以及 AI 決策出錯時是否有責任歸屬流程。
加總換算成滿分 100 分，分數越高代表治理越到位。今年平均 41.1 分，中位數 41.7 分；依分數分成三段：60 分以上為「前段」，只有 16.7%；30 到 59 分為「發展段」，占 48.7%；未滿 30 分為「起步段」，占 34.6%。
最多企業的 AI 治理落在發展段，金融業與醫療業領先。產業之間，金融業 55.6 分、醫療業 53.8 分，高科技製造業 44.8 分，服務業 35.2 分、傳統製造業 33.6 分。
把 CIO 的自評換算到同一把尺上，平均只有 21.7 分，比實際做法低。結果與一般對「過度自信」的想像相反，多數 CIO 低估了自家的治理。65.7% 的 CIO 自評低於實際做法，27.8% 大致相符，自評高於實際做法的只有 6.5%。五大產業都呈現同樣方向：金融業實際做法 55.6 分、自評 40.6 分，醫療業 53.8 對 41.3，高科技製造業 44.8 對 21.5，服務業 35.2 對 14.1，傳統製造業 33.6 對 15.6。
分數高低也要對照產業的監管強度與 AI 應用的風險。臺北榮民總醫院資訊室主任郭振宗觀察，金融涉及金錢、醫療攸關生命，主管機關對 AI 應用的要求比較嚴謹；其他產業受到的衝擊沒那麼大，多半先用，再想怎麼管理。指數的產業排序與這個觀察一致：金融業與醫療業在前，服務業與傳統製造業在後。
AI 治理分數低，不代表無管理。臺大醫院資訊室協理尚榮基說，臺大醫院訂有 AI 治理的辦法，但即便醫院沒有專門的 AI 治理辦法，既有的規章與人工把關仍會正常運作。另一位服務業資訊長則依風險分級配置資源：高權限、涉及敏感個資的應用列為高風險，低風險應用不投入過多治理資源。
AI 治理成熟度指數衡量的是專為 AI 建立的正式機制做到多少；所以在對照分數時，要一併考量自家的監管要求，以及 AI 應用實際承擔的風險。
關於 CIO 自評 AI 治理為何偏保守？尚榮基的說法提供一種解釋。他相信多數企業已開始擬定 AI 治理辦法，但不敢說已經落實，就像資安治理大家都在做，每次 ISO 27001 稽核仍會有缺失。換作他自評，也不會給自己「已落實」這麼高的評價。
一位投資控股公司資訊部副總經理也質疑「已落實」的定義，建議拆成政策、技術控管、風險評估與持續監督四個面向來問。本刊的 AI 治理成熟度指數同樣不問 CIO 是否「已落實」，改看政策框架、工具掌握、應用清冊與責任歸屬四項具體做法，與他拆開來問的思路相近。
先定政策或與上線並進：多數 CIO 不二選一
治理要先做完才上線，還是邊做邊上線？多數受訪資訊主管認為不必二選一：先建立最低限度的規則讓應用上路，再依風險逐步加嚴，或讓治理與導入同步推進；主張先治理再上線的屬於少數。各家做法由先治理到並進，可以排成一條光譜。
光譜的一端，某高科技製造業資訊長先發布治理政策，再推動 AI。他的理由是，規則如果沒有先定義清楚，員工就會自行使用未經核准的工具，形成所謂的 地下 IT（Shadow IT），所以他先定政策。接著他把治理落到平台上：由 IT 建立共用平台，統一管理檢索資料庫、模型脈絡協定（MCP）與存取權限，並在這個平台上處理使用政策、稽核紀錄、AI 用量成本，以及 AI 資產的盤點。
一位服務業資訊長的立場也偏向先治理：先建立基本治理邊界、小規模試行，確認沒有治理疑慮再擴大，導入生成式 AI 工具時先確認權限與資料流向，後續才加上即時監控。他認為企業安全文化裡的持續監控、人在迴路（Human in the Loop）與風險分級都可以借用，零容錯則不完全適用。
英業達 AI 處長楊士興提到，建立符合公司規範的基本治理框架最為優先；而英業達資訊長黃英哲則表示必須讓主管與使用者感受到 AI 的實際效益，再隨應用規模擴大，逐步細化治理機制。
光譜中段是「依風險調整」，差別在依什麼條件加嚴。全國電子資訊長黃漢傑認為，AI 治理不必在「先治理」或「先上線」之間二選一，而是先建立最低必要的治理機制，讓低風險應用快速落地，再隨著資料機敏程度、應用範圍與 AI 自主程度提升，逐步加強治理與控管。郭振宗看的是應用類型：他依衛福部要求，兩年多前已建立涵蓋 AI 盤點、風險辨識與生命週期管理的治理制度，風險較低的應用仍鼓勵先用。華泰電子資訊長王金秋看資料機敏程度，辦公室生產力工具先開放，生產資料後開放；康達盛通生活事業數位資訊科技協理丁平碩則看 AI 被授權的程度。
也有企業讓治理與導入完全同步。野村投信資深副總經理胡慧中藉試點專案同時建立治理與驗證系統，系統上線時，四層式治理架構也同步經核准層級通過。某傳統製造業數位主管同樣同步推動，AI 工具依個人、部門、全公司分級，誰能開發 AI 代理、發布技能模組也分級授權。
光譜另一端，尚榮基認為治理與應用推動並進，沒有先後。他用汽車比喻：汽車剛發明時，不可能等所有交通規則都寫好，才發展汽車產業，沒有實務經驗也不會知道怎麼治理。他指出，醫院本來就有臨床試驗審查與資訊安全管理等規章可以套用，AI 運算的結果也大多需要也由人員把關。
綜合來看，各家的差別在治理資源投入的時間點，以及依什麼條件加嚴。
治理前段企業，56.9% 效益可量化
治理和成效有沒有關係？業界的期待不同。尚榮基的答案很直接：治理的效益是降低風險，「治理是要有成本的」，還會拖慢 AI 應用推展的速度。黃漢傑則希望問卷調查應能呈現治理與成效的連結。
若以今年問卷數據來回覆此需求，可依 AI 治理成熟度指數的起步段、發展段、前段三級比較。AI 效益「有內部量化數據」以上的比例，起步段 8.7%、發展段 24.8%，前段達到 56.9%。已上線 AI 應用的實際效益「符合或超出預期」，三段依序為 24.0%、43.2% 與 78.4%；回答「尚無法評估」的比例則依序為 62.5%、43.2% 與 7.8%。治理起步段有六成以上無法評估成效，這也呼應多位受訪 CIO 所說，AI 成效難以評估。
治理前段企業，成效比較能被看見、被量化。不過，治理分數與成效之間只是相關，可能是治理讓成效變得可以衡量，也可能是經營本來就比較好的企業，比較早建立治理。
53.6% 企業沒有追蹤 AI 事件
治理的破口，常在看不見的地方。已評估或導入 AI 的企業中，被問到過去一年是否發生過 AI 相關事件，53.6% 回答「不確定，目前沒有系統追蹤 AI 相關事件」，42.8% 回答以上皆無，明確發生過事件的占 7.2%，最常見的是員工將機密資料輸入未核准的 AI 工具（4.9%），其次是 AI 產出的錯誤資訊被直接用於業務決策（2.0%）。過半企業答不出過去一年有沒有發生 AI 事件。
沒有追蹤，與看不見員工使用哪些工具有關。掌握員工 AI 工具的程度，只有 8.5% 有完整清單並定期更新，38.6% 大致掌握但不完整，36.3% 只知道 IT 核准的工具，16.7% 不清楚。只知道核准工具或不清楚的企業中，64.2% 也沒有系統追蹤 AI 事件；有完整清單或大致掌握的企業，這個比例為 41.5%。
事件發生後的應對薄弱。回答事故應對流程的企業中，47.0% 沒有 AI 專屬計畫、套用既有的資安事故流程，29.5% 完全沒有標準程序，有書面流程並定期演練的只有 3.3%。發生過 AI 事件的企業中，89.5% 沒有書面化並演練的 AI 事故應對流程。
[ 加入 CIO Taiwan 官方 LINE 、 Facebook 與 LinkedIn，與全球CIO同步獲取精華見解 ]
外部壓力集中在金融業與醫療業，其他產業感受到明確要求的都在一成以下。已明確感受到客戶或主管機關具體要求的企業占 8.6%，金融業 29.2%、醫療業 26.9%，高科技製造業 6.7%，傳統製造業與服務業都在 4% 以下；預期 12 個月內將面臨壓力、正在提前準備的占 30.3%，醫療業最高，達 46.2%。
有沒有外部壓力，受訪企業的經驗也印證這條分界。壓力來自客戶的，英業達的楊士興說，客戶要求做好 AI 治理以免資料外洩，並定期稽核，這股壓力加快了內部治理。壓力來自主管機關的，以公立醫院而言，則遵循衛福部與國科會的行政院及所屬機關（構）使用生成式 AI 參考指引。還沒有外部壓力的，王金秋說，治理要求目前來自內部，客戶尚無明確標準。胡慧中則善用外部事件：她向董事會決策經營團隊報告時，以實際發生的 AI 事件說明風險。
儘管最多企業的 AI 治理還落在發展段，CIO 看待自家治理也比實際做法保守，受訪 CIO 的經驗顯示，治理不必等到完備才上路：先弄清楚員工在用哪些 AI 工具、建立應用清冊、開始追蹤 AI 事件，再依風險決定哪些應用要管得嚴。三成企業預期 12 個月內將面臨合規壓力，一旦客戶與主管機關的要求明確，CIO 可能就得把這些內部準備，轉成對外交代的依據。
2027 CIO Insight 調查報告系列文章：
(1) 科技採用 / AI治理成熟度，兩重點指數定位產業現況
https://www.cio.com.tw/121955/
(2) AI 就緒與效益：八成 CIO 看好 AI，只有一成認為已準備好
https://www.cio.com.tw/121956/
(3) AI 治理：先讓風險看得見 再決定哪些要嚴管
https://www.cio.com.tw/121957/
(4) 科技採用：科技採用指數越高者 AI 越看得見導入效益
https://www.cio.com.tw/121958/
(5) IT 資源：資源有限，成本控管與效益分析，為企業 AI 導入成功關鍵
https://www.cio.com.tw/121959/
(6) CIO 影響力：積極投入 AI 策略，把地基搭得更穩固更安全
https://www.cio.com.tw/121960/(本文授權非營利轉載，請註明出處：CIO Taiwan)
