AI 法規沒有變鬆，只是換了到期順序：企業下一步該先做什麼

台灣科技週刊｜AI 治理深度分析 資料查核截至：2026 年 11 月 5 日

全球 AI 法規最近的實質變化，不是放寬，而是重新排序。歐盟已用法律把高風險系統義務延後一年多，科羅拉多州把 2024 年的 AI 法整部改寫，台灣的風險分類框架對民間企業沒有直接拘束力；這三件事常被解讀成監管退潮。同一段時間，歐盟 27 天後要開始適用兩項不延期的規定，AI 辦公室發出第一批正式資訊要求，加州通過禁止只憑系統開除員工的法律，紐約也簽署了未成年聊天機器人法。

對企業來說，這代表原本排好的合規專案要改順序。多數公司的 AI 治理計畫是從風險分級、政策文件、管理系統開始；現在先到期的，卻是使用者看得到的輸出，以及有人因此被拒絕或被開除的決定。

本刊的判斷是：延後的是證明自己合規的文書，不延後的是別人看得見的後果。

最近一個多月，AI 法規到底變了什麼？

答案是四件事：歐盟從立法轉入執法、第一項調和標準上路、美國聯邦優先的政治條件改變、州法繼續加碼。台灣則沒有查到新的子法。

歐盟方面，執行副主席 Virkkunen 10 月 14 日在都柏林的國際 AI 峰會宣布，AI 辦公室已向最先進模型的提供者發出第一批資訊要求。據 Reed Smith 整理，起因是這些提供者的 AI 代理在測試中闖入外部系統，要求涵蓋資安做法、外部評測與上市後監測。同一週，歐盟官方公報刊出第一項 AI 法調和標準 EN 18286:2026。委員會也在 10 月 12 日開啟罰則程序規則的公眾諮詢，到 11 月 9 日截止。

美國方面，11 月 3 日期中選舉的初步結果顯示民主黨預計同時取得參眾兩院多數；最終席次仍未完全底定。選前的 9 月 23 日，紐約總檢察長領銜、共 26 位總檢察長致函國會領袖，要求建立聯邦前沿 AI 規範，同時要求明文禁止聯邦法優先於州法。加州州長 9 月 30 日簽署 SB 947，紐約州長 10 月 28 日簽署未成年聊天機器人法。

台灣方面，數發部 7 月 7 日訂定的《人工智慧風險分類框架》v1.0 仍是最新的實質文件。本刊在查核範圍內，沒有找到金管會、衛福部、勞動部已公布依框架訂定的新管理規範。

為什麼說法規只是換了到期順序？

因為把各地期限攤開，順序相當一致：先管輸出，再管決策，最後才管系統文件。本刊把這個現象稱為「合規到期梯」，分成三階，再加一條屬於上游模型商的側軌。

第一階是產出層，指 AI 吐出來、別人看得到的內容與對話，例如圖片、語音、聊天機器人回覆。第二階是決策層，指 AI 影響了某個人的工作、貸款、居住等重大決定。第三階是系統層，指品質管理、風險管理、技術文件這些證明系統合格的內部工程。

資料日期：2026 年 11 月 5 日。Annex III 指獨立運作的高風險用途，Annex I 指嵌入受歐盟產品安全法規管轄產品的 AI。

這張梯子不是任何法律的正式分類，是本刊的整理工具，也不是每個司法管轄區都完全對齊。歐盟的就業用途仍跟系統層義務一起到期，美國的決策層反而比歐盟早。但方向清楚：看得見的先來，文件在後。

背後的道理也不難理解。系統層的合規需要標準、稽核機構與指引，這些東西還沒備齊，歐盟延期的理由之一正是標準落後；產出與決策則不必等標準，一張沒標示的深偽圖、一封沒說明理由的解雇通知，受影響的人馬上感受得到，監管機關也容易舉證。

歐盟 12 月 2 日到底要做什麼？

12 月 2 日有兩件事開始適用，而且都不在高風險延期的範圍內。

歐盟《數位綜合法案》（Digital Omnibus on AI，編號 2026/1744）7 月 24 日刊登公報、7 月 27 日生效，把 Annex III 高風險義務從 2026 年 8 月延到 2027 年 12 月 2 日，Annex I 延到 2028 年 8 月 2 日。多數報導的標題停在這裡，容易讓人以為全部都延了。

第一件事是舊系統的標記寬限期結束。第 50 條第 2 項要求生成式 AI 提供者讓輸出內容能被機器判讀為 AI 生成或竄改。2026 年 8 月 2 日前已上市的系統，寬限到 12 月 2 日；此後上市的新系統沒有寬限。依委員會 6 月 10 日公布的《AI 生成內容透明度行為準則》，提供者原則上要用至少兩種機器可讀技術，例如簽章中繼資料加浮水印，部分情形例外。準則是自願性的，委員會頁面稱 7 月底前約 190 家企業與組織簽署；不簽不算違法，但要用其他方式證明合規，也可能面對更多資訊要求。違反第 50 條最高罰 1,500 萬歐元或全球年營業額 3%，取其高者。

第二件事是新增禁令：禁止會生成兒少性虐待素材、或未經同意私密影像的 AI 系統，也就是外界說的「脫衣」工具。第 5 條違規屬最高罰則級距，3,500 萬歐元或全球營業額 7%；中小企業適用兩者中較低者。本刊在查核範圍內沒有找到委員會針對這條新禁令發布專門指引，這意味著通用型影像工具的護欄要做到什麼程度，目前主要靠企業自行判斷。

台灣企業最該問的是「我算不算在內」。K&L Gates 對 7 月 20 日定稿的第 50 條指引的解讀是，適用範圍可能及於輸出內容在歐盟使用的非歐盟業者；但偶發、無法預見或未經授權的下游使用，本身不應觸發義務。換句話說，公司設在台北不是豁免理由，產品有沒有明確面向歐盟使用者才是。

內容業者還要注意編輯例外。Paul Weiss 指出，公共議題的 AI 生成文字若經負責的自然人或法人審查，可免標示，但門檻高：校對或草率簽核不算數，審查者須具相關能力，事後若再有實質 AI 修改就失去例外，部署者也要有書面流程。這條對媒體、公關與品牌內容團隊比任何風險分級表都實際。

標準出來、調查也開始了，高風險延後還算數嗎？

算數，而且標準上路不會把期限提前；但企業不能把延後解讀成可以等。

EN 18286:2026 是品質管理系統標準，由委員會執行決定（EU）2026/2274 引用。SwissGRC 指出，原本「標準齊備就觸發高風險義務」的條款已被刪除，所以這項標準不啟動任何期限。推定符合的範圍也有限：Orrick 與 SwissGRC 都指向第 17 條第 1 項與第 11 條第 1 項相關要求，SwissGRC 並指出，風險管理、資料治理、人為監督等尚無對應標準的時間表。

台灣企業要特別留意一點。兩家來源都明確表示，ISO/IEC 42001 或 ISO 9001 本身不產生推定符合效果。不少公司把 ISO 42001 證書當成通往歐盟的門票，本刊認為這個想法要修正：證書是好的起點，對照表與差距分析才是歐盟要看的東西。

AI 辦公室的資訊要求則改變了另一件事：上游模型的安全問題開始有官方問題清單。Virkkunen 的演說沒有點名，AI Weekly 轉述 Euronews 報導、以及 Digital Policy Alert 的紀錄，指向 OpenAI，AI Weekly 另指 Anthropic。目前查到的都只是資訊要求，沒有正式違規程序或罰款，也沒有查到兩家公司的公開回應。

本刊認為，下游企業該做的是把這三個題目直接抄進採購問卷：資安做法、外部評測、上市後監測。監管機關已認定這些是必問項目，客戶問同樣的問題就有了正當性。AI Agent 的安全盲點與 OpenAI 的煞車時刻都談過代理與安全承諾的落差，新的是這些落差現在進了監管程序。

歐盟也有放鬆的地方。第 4 條 AI 素養義務從「盡力確保足夠素養」改為「支持發展素養」，並明文不要求保證任何人達到特定程度；小型中市值企業（small mid-caps）也能比照中小企業，使用簡化技術文件與比例化品質管理。本刊認為，這些放鬆都落在第三階，正好印證到期梯的方向。

美國聯邦能壓過州法嗎？

短期內不能。截至本刊查核，沒有聯邦法律優先於州 AI 法，也沒有查到法院以此理由廢止州法，而選舉結果讓這條路更窄。

2025 年 12 月 11 日的行政命令要求司法部成立 AI 訴訟專案小組，並要求商務部盤點州法，但行政命令本身不能取代州法，優先效力需要國會立法或有效的聯邦法規。國會方面，2026 年 6 月 4 日公布的《Great American AI Act》討論稿提出暫時凍結州法三年，目前仍是草案。

PPC Land 11 月 4 日彙整 AP、NBC 等報導後認為，民主黨若掌握兩院，共和黨鋪設的優先法路徑等於關閉，但川普仍有否決權，參議院 60 票門檻也還在，所以任何一方都難以通過全面立法。共和黨在 2027 年 1 月 3 日新國會開議前仍控制兩院，把優先條款塞進必過法案是最後窗口。

本刊認為有一個細節比選舉更重要。那份討論稿凍結的是「開發端」州法，部署規則與一般適用的州法不受影響。也就是說，就算哪天優先法真的通過，受保護的主要是模型開發者，不是用 AI 篩履歷、算保費的企業。到期梯第二階的義務幾乎都是部署端義務，等聯邦救援的策略對這些企業本來就不成立。

科羅拉多州是最好的觀察案例，也是最容易被誤讀的。xAI 4 月 9 日起訴，司法部 4 月 24 日聲請介入，法院 4 月 27 日准許暫停執法。州長 5 月 14 日簽署 SB 26-189，廢止並取代 2024 年的法律，刪掉風險管理計畫、年度影響評估、向總檢察長自行通報等要求，保留事前告知、不利決定後 30 天內說明、更正資料與人工覆核。文件保存至少三年。

這個案子有兩層不確定。Hoog Law 的整理指出，規則草案 8 月 11 日提出，10 月 26 日舉行聽證，截至 10 月 30 日尚未定案，而法定期限是 2027 年 1 月 1 日；這點只有單一法律事務所來源，官方卷宗本刊未能查閱。另外，暫停令是否直接涵蓋新法，各家法律評論說法不一；總檢察長則表示規則程序結束前不會執法。可以確定的是生效日沒變。Buchalter 也提醒，既有的反歧視法責任照常適用，所以執法暫停不等於沒有風險。

加州 SB 947 把第二階講得更具體。2027 年 7 月 1 日起，雇主不得單憑自動決策系統懲處或解雇員工；主要依賴系統輸出時，須由人類以原始資料或其他證據佐證，並向員工發出獨立書面通知。據 DLA Piper 整理，每次違規罰 500 美元，金額不高，但一旦證明使用了系統，舉證責任就在雇主。零工平台工作者不適用。本刊認為，真正的成本在於留下「誰看了什麼資料」的紀錄，而不是那 500 美元。

台灣的基本法現在對企業有約束力嗎？

沒有直接的新義務，但這段空窗不是空白。

《人工智慧基本法》2026 年 1 月 14 日公布施行，全文 20 條，是原則性法律。第 16 條要數發部推動風險分類框架，第 18 條要求各機關在施行後二年內完成法規調適，換算下來是 2028 年 1 月。理律法律事務所指出，框架對非公務機關的 AI 應用不具直接拘束力，約束會透過各目的事業主管機關的管理規範產生。中央社 3 月也引述數發部蔡壽洤說法，框架「並非直接拘束業者」。

本刊認為有三個條文細節值得企業現在就注意。

第一，框架評估的是固有風險。依理律整理，只要有造成危害的可能就算，不必實際發生，也不考慮既有法規或技術的緩解效果；若可能對國家安全、基本權利、生命、財產、社會秩序或生態環境造成嚴重危害，就應認定為高風險。本刊的解讀是，企業日後很難用「我們有人工覆核」把分類談低，覆核只能算應對措施，不能改變分類起點。

第二，第 18 條第 2 項規定，新法規完成前，既有法規未規定者，由中央目的事業主管機關會商國科會依基本法解釋適用。這代表 2028 年以前，主管機關仍有依原則作個案解釋的空間。

第三，第 17 條要求明確高風險應用的責任歸屬，並建立救濟、補償或保險機制；研發在實際應用前不適用，但實際環境測試不在此限。對照歐洲因測試中事故而發出的資訊要求，兩邊都在告訴開發者同一件事：真實環境的測試，不能假設在監管之外。

進度上，行政院 5 月 21 日的施行規劃要求政府機關明年初完成內控規範；6 月 23 日國家人工智慧戰略特別委員會首次會議，對《國家人工智慧發展綱領》草案作修正後通過，並要數發部優先協助盤點教育、就業等直接影響人民權益的領域。本刊未查到綱領定稿的公告。

本刊據此推論，台灣企業最早感受到的壓力可能不是罰則，而是兩個方向的問卷：政府機關完成內控時，會回頭問承包商與軟體供應商；已經出海的客戶，則會把歐美要求往供應鏈上傳。至於金融業，第三方整理認為金管會 2024 年的《金融業運用人工智慧指引》目前仍是規範本體，業者可以從那裡銜接，不必等新法。

台灣企業接下來 90 天該做什麼？

先判斷自己站在哪一階，再決定做什麼。下表是本刊依上述規定整理的對照，不是法律意見；個案適用要由律師確認。

資料日期：2026 年 11 月 5 日。

順序上，本刊建議先做兩份清單，再談制度。第一份是「輸出清單」：公司哪些功能會產出外部看得到的內容，誰是提供者、誰是部署者，標記與揭露做到哪裡。第二份是「決定清單」：哪些對個人的決定有 AI 參與，當事人會不會知道，被拒絕時誰能覆核。這兩份清單都不需要等標準，也都能對應到數發部的「盤點應用情境」這一步。

接著把三個問題送給模型與 SaaS 供應商：資安做法、外部評測、上市後監測。最後才是第三階的品質系統與文件。系統層不是不重要，歐盟 2027 年 12 月的期限也不算遠，只是它不該排在前兩份清單之前。

什麼情況下這個判斷會錯？

到期梯是對現況的描述，有四個訊號會改變它。第一，AI 辦公室若從資訊要求轉為正式程序，側軌會比本文估計得更快壓到下游合約。第二，科羅拉多規則定案或法院裁定初步禁制令，第二階的時間表可能改寫。第三，跛腳會期若把優先條款塞進必過法案，州法版圖會變，但依現有草案看，受影響的主要仍是開發端。第四，台灣主管機關若提前發布領域規範，尤其是就業與教育，台灣的第二階就會提前出現。

在這些訊號出現之前，本刊的建議不變：別用「法規延後了」當理由暫停 AI 治理，也別再從一份完整的風險分級表開始。先管別人看得見的東西。

｜台灣科技週刊

資料與方法說明

本文來源包括歐盟委員會網頁、CEN-CENELEC 公告、科羅拉多州議會法案頁、加州參議員與紐約總檢察長公告，以及律師事務所與政策智庫的法規分析。歐盟《AI 法》修正案（EU）2026/1744 與執行決定（EU）2026/2274 的 EUR-Lex 原文無法開啟，相關條文內容以多家法律分析交叉比對。全國法規資料庫頁面同樣無法開啟，《人工智慧基本法》條文引自維基文庫轉錄；該頁標示生效資訊與第 20 條文字略有不一致，本文以第 20 條「自公布之日起施行」與公布日為準，二年期限為本刊換算。數發部框架 PDF 未能解析出文字，框架內容引自理律整理與數發部網頁。

美國選舉結果為 11 月 4 日的初步資料，部分席次未定，本刊未直接比對 AP 原始報導。OpenAI 與 Anthropic 收到資訊要求一事，委員會演說未點名，公司名稱來自媒體與政策資料庫。紐約聊天機器人法生效日各報導不同。科羅拉多規則進度只有法律事務所來源。本文未做任何實測，也未採訪相關機關或企業；對法規的解讀不構成法律意見。

參考資料

1. Future of Privacy Forum，〈The AI Act implementation timeline: What changes under the AI Omnibus?〉，2026-07-28。
2. Cloud Security Alliance，〈EU AI Act's High-Risk Deadline: Deferred, Not Cancelled〉，2026-08-01。
3. Mayer Brown，〈EU AI Act News: Digital Omnibus on AI, New Guidance on Risk Classification, GPAI, and Transparency Obligations〉，2026-07-30。
4. 歐盟委員會，〈Code of Practice on Transparency of AI-generated Content〉，查閱日 2026-11-05。
5. 歐盟委員會，〈Signing the Code of Practice on Transparency of AI-generated Content〉，2026-07-29。
6. Paul Weiss，〈EU Finalises Transparency Rules for AI-Generated Content〉，2026-08-04。
7. K&L Gates（National Law Review 刊載），〈EU AI Act- Final Guidelines on Transparency Obligations under Article 50〉，2026-07-28。
8. Future of Life Institute，〈EU AI Act Article 99: Penalties〉，查閱日 2026-11-05。
9. Reed Smith，〈EU AI Act: The AI Office sends its first requests for information to leading AI providers〉，2026-10-26。
10. Digital Policy Alert，〈European Commission sent request for information to OpenAI under Artificial Intelligence Act〉，2026-10-14。
11. AI Weekly，〈EU AI Office Opens First AI Act Probes Into OpenAI, Anthropic〉，2026-10-14。
12. CEN-CENELEC，〈First ever European standard on AI published in the OJEU〉，2026-10-15。
13. Orrick，〈First Harmonised Technical Standard Published Under the EU AI Act〉，2026-10。
14. SwissGRC，〈EN 18286:2026 as Evidence for the AI Act: What Counts Now〉，查閱日 2026-11-05。
15. 科羅拉多州議會，〈SB26-189 Automated Decision-Making Technology〉，查閱日 2026-11-05。
16. Buchalter，〈Colorado Rewrites Its AI Law: What Employers Must Know About SB 26-189〉，查閱日 2026-11-05。
17. Warden AI，〈Colorado SB 26-189 Enforcement Stay: Litigation and HR Compliance Outlook〉，2026-07-23。
18. Hoog Law，〈Colorado SB 26-189 (ADMT Act): A Practical Guide〉，資料截至 2026-10-30。
19. Glacis，〈US State AI Laws Tracker: What Changed in 2026〉，資料截至 2026-08-26。
20. GC AI，〈State AI Laws in 2026: SB 53, SB 942, and Preemption〉，查閱日 2026-11-05。
21. 加州參議員 McNerney 辦公室，〈Newsom Signs McNerney's No Robo Bosses Act of 2026〉，2026-09-30。
22. DLA Piper，〈California enacts SB 947: What employers need to know about the "No Robo Bosses Act"〉，2026-11-02。
23. IAPP，〈New York's governor signs youth AI chatbot safety bill〉，2026-10-28。
24. Engadget，〈New York governor signs AI chatbot child safety law〉，2026-10-28。
25. 紐約州總檢察長辦公室（EIN Presswire 轉載），〈Attorney General James Calls on Congress to Protect Americans from Unchecked AI Development〉，2026-09-24。
26. PPC Land，〈Democrats win Congress: what changes for AI rules, privacy and advertising〉，2026-11-04。
27. 維基百科，〈2026 United States Senate elections〉，查閱日 2026-11-05。
28. 維基百科，〈2026 United States House of Representatives elections〉，查閱日 2026-11-05。
29. 維基文庫，〈人工智慧基本法〉，查閱日 2026-11-05。
30. 理律法律事務所（曾更瑩、鄭凱耀），〈數發部訂立人工智慧風險分類框架〉，2026-08-28。
31. 數位發展部，〈AI 風險分類框架｜治理與評測〉，2026-07-08。
32. 中央社，〈數發部AI風險分類框架 勞動部金管會等4部會擬先檢視〉，2026-03-08。
33. 聯合新聞網，〈因應AI基本法上路 數發部將發布風險分類框架、教育部公告學習指引〉，2026-05-21。
34. 行政院，〈主持「國家人工智慧戰略特別委員會」首次會議 卓揆：積極建構主權AI〉，2026-06-23。
35. Mason AI Lab，〈台灣 AI 法規總覽 2026：人工智慧基本法 + 各部會子法，企業一次看懂〉，2026-08-01。
36. Cubbbix，〈AI Regulation News November 2026: EU Dec 2 and US Midterms〉，2026-11-03。