太陽能手電筒 為什麼台灣企業的AI應用還在等天亮

 

再過不到七天，就要踏入2026年，今日人工智慧已經從小時候的卡通漫畫，跳出來可以幫我畫這個文章的封面、幫我修正錯誤。生成式AI已經不是什麼新鮮事了。打開新聞到處都在講AI，社群上大家都在討論AI，廣告更不用說了，全是AI。ChatGPT、Claude、Gemini這些名字每天出現在你眼前。國外的企業早就把AI當成基本工具在用，麥肯錫說用AI的公司生產力提升了40%，Google的員工平均每天節省2小時工作時間，微軟報告顯示75%的知識工作者已經在用生成式AI。

台灣呢？我們大多數的企業還在討論要不要用。很多員工其實已經不知不覺在用了。從基層員工到主管，大家私底下都在用ChatGPT，可能大多是免費仔，一部份則是付費使用。寫信用AI潤稿、做簡報用AI生成大綱、整理資料用AI摘要、寫程式碼用GitHub Copilot、做設計用Canva的AI功能。每個人都知道這些工具能提升效率，能省時間，能做出更好的成果。

很多員工是自己花錢，因為台灣市場中，越大的公司，流程越多，反而小型的電商因為人力短缺，引入AI越快(因為老闆就是員工啊!)

人家都已經上太空了，我們不能連殺豬公的刀都沒有吧。

但就在這個時候，部分企業內部的阻力出現了。例如有的公司資安部門開出了一連串要求：要符合行政院及所屬機關使用生成式AI參考指引、要比照機密等級管制、要封閉式地端部署。問題是這些要求根本做不到。市面上多數垂手可得的AI服務都是雲端SaaS模式，沒有封閉式地端部署這種選項。那些國際大廠像OpenAI、Anthropic、Google，人家有全球標準的資安認證流程，不會為了你一家台灣企業...這就是事實。

更重要的是，競爭對手早就在用這些工具了。還在內部審查，市場已經不等人了。

法規錯用與概念混淆

當資安部門很認真地把那份指引印出來，上面寫著機密要怎麼處理、封閉式環境要怎麼樣。看起來很專業，很嚴謹。但你仔細看那份指引的第9點、第10點就會發現，它根本不是給私人企業用的。適用對象寫得很清楚：公營事業、公立學校、行政法人、政府捐助的財團法人。它用的詞是「機關」，不是「企業」。那份指引的官方Q&A第一項還寫了：「本指引非屬法律，不具強制性。」連政府機關用都只是參考，現在卻被拿來當企業的強制標準。

這違反了行政法的基本原則，政府不能隨便拿一份參考文件來要求人民或企業做什麼，這叫「法律保留原則」

更大的問題是概念混淆。那份指引講的機密，指的是國家機密文書及一般公務機密文書。這是依據國家機密保護法及其施行細則來的，這是涉及國家安全、國防、外交的事項。這是國家層級的東西，洩漏出去可能危害國家安全。但私人企業哪來的國家機密？除非你是台積電那種每個國家都想要他的秘密的、員工離職帶走東西還被用國安法辦，不然一般企業有的是營業秘密，受營業秘密法保護。這是兩回事，完全不同的法律體系。資安部門把這兩個搞混了。他們看到「機密」兩個字，就把企業的商業文件當成國家機密在管。

那封閉式地端部署是什麼等級的要求？

這是政府機關處理機密文書的標準。更極端的例子是氣隙隔離(Air Gap)，像核電廠控制系統、軍事指揮網路、情報機構的機密系統，電腦跟外部網路完全沒有任何物理連接，連Wi-Fi、藍牙都沒有。為什麼要這樣？因為處理的是國家安全、軍事機密、核能安全這種等級的資料。

封閉式地端部署雖然沒那麼極端，但也要求AI模型必須在公司內部伺服器運作，或者用專屬VPN、專線連到台灣的伺服器。這同樣是針對國家機密設計的管制措施。

但企業的內部文件、客戶資料、會議記錄，需要用這種標準嗎？

如果真的要這樣搞，那所有SaaS服務都不能用了(或者是半殘)。ChatGPT、Claude、Slack、Zoom通通不能用，白蘭氏雞精那個堅持要通通去做雞精的阿北就出現了。

因為這些服務的資料都要傳到雲端去處理，沒辦法封閉式地端部署。（GPT可以啦、其他的也有辦法勉強做到，但那個維運成本就...)

那企業到底該用什麼法規？

如果你是數位發展部管的數位經濟產業，該適用的是數位經濟相關產業個人資料檔案安全維護管理辦法。這個辦法的重點是「個人資料保護」，不是「國家機密」。企業資安部門該關心的是：個資有沒有被好好保護？有沒有符合個資法的要求？供應商有沒有通過SOC 2、ISO 27001這些國際認證？資料傳輸有沒有加密？存取權限怎麼控管？

不是把自己當成國安局，用處理國家機密的標準來管商業文件。

雙重標準與商業代價

很多企業其實早就在用一堆雲端工具了。Teams、Workspace、Salesforce(最近這好敏感)、還有LINE、甚至有些公司還有Wechat、Telegram(這立法院質詢好多次)，這些不都是雲端服務嗎？裡面不都有客戶資訊、業務數據、內部文件嗎？如果用了好幾年了，資安部門從來沒說有問題。但現在要用新的AI服務，就突然要地端部署？這就是雙重標準。對舊工具睜一隻眼閉一隻眼，對新工具特別嚴格。說穿了，不是真的為了資安，而是對新東西的不信任跟恐懼。

從商業的角度來看，這件事的影響很大。首先是機會成本，當競爭對手已經在用AI提升效率時，你還在內部審查，這個時間差就是競爭力的差距。人家可以更快回應客戶、更快做決策、更快推出新服務。你慢一步，市場就被搶走了。再來是人才問題，現在的年輕人才期待公司有好的工具。如果你的公司禁這個禁那個，好的人才會想來嗎？他們會選擇那些擁抱新科技的公司。更重要的是組織文化，當內部流程過於僵化，每個創新都要面對一堆阻力，久而久之，整個組織就會失去活力。

更現實的問題是，員工已經在用了。他們只是沒跟你講而已。他們用自己的帳號、自己的信用卡訂閱這些服務，在公司電腦上偷偷用。你以為禁止就有用嗎？沒有。你只是把風險從「公司統一管理」變成「員工各自為政」。哪個風險比較大？

合理的做法應該是公司提供合規的AI工具，規範使用方式方法，做好資料保護。而不是一刀切全部禁止，結果員工還是在用，只是你看不到而已。

用周星馳的話說：太陽能手電筒在晚上，你看不到是你的問題。

回到商業本質

謹慎當然沒錯，但謹慎跟僵化是兩回事。

謹慎是識別風險、評估風險、管理風險。風險有高中低，不同的風險用不同的方式處理。高風險的嚴格管制，中風險的加強防護，低風險的正常使用。這才是風險管理。

僵化到把所有東西都當成高風險，這才是組織的絆腳石，他不安，而是防、是阻。

如果一個AI服務用的是AWS或Google Cloud的基礎設施，已經有SOC 2、ISO 27001甚至27701，資料傳輸儲存加密，完整的存取控制，這算什麼風險等級？那你應該做的對應是什麼？別把低風險當高風險管。那就不是風險管理，而是因噎廢食。

這種情況反映的其實是更大的問題。資安部門專業能力很強，但對法律的理解可能不夠。

他們看到政府有一份AI使用指引，就直接拿來用，沒有先確認適不適用。法務部門可能知道法規適用有問題，但資安不聽，或者根本沒問過法務。

業務單位知道這些要求做不到，但沒有足夠的話語權。

結果就是各說各話。如果企業真的要把資安管制提升到國家機密等級，這應該算是重大營運政策調整，要經過董事會討論。但現實往往是，資安部門就拿著一份政府參考指引，其他單位有所忌憚，因為資安這兩個字太有殺傷力了，誰敢說不重視資安？

企業該怎麼辦呢？

首先我的建議是，確認適用的法規是什麼，不要亂引用。(這點真的別亂搞，讓人看笑話）

其次，把概念搞清楚，國家機密、公務機密、營業秘密是不同的東西。

再來跨部門溝通，讓法務、資安、業務等等相關的單位一起討論

評估真實的商業影響，不只看風險，也要看機會成本。討論完後，在標準修改前要思考影響範圍、修改後要全面盤點影響、也就是專案管理中的變更要做的全套。因為內控跟法規有一些不同，就跟你發現了裂縫，你補強的時候，也要看結構其他地方是不是有問題。

最重要的是，決策要回到商業本質。企業存在的目的是創造價值、服務客戶、賺取利潤。所有的管理措施都應該服務於這個目的，而不是為了管理而管理。

在這個快速變化的時代，企業不能再用老方法管理新事物，專業的歸專業，但不要專業到忘了企業經營的本質。