五個欄位先被排進了合約：臺灣 AI 法規，是一頁還沒印好的驗收單

2026 年 10 月 3 日，APPI News 刊出一篇由張饒輝撰寫的文章，討論企業採購 AI 工具時，該把哪些責任寫進供應商合約。文章的切入點很實際：臺灣的《人工智慧基本法》官方說明列了七項原則，數發部的風險分類框架拆成盤點、識別、評估、應對四步，但兩份文件都沒有給民間企業一份通用的契約範本。原則是給政府讀的，合約是企業自己要寫的。這中間的落差，正是設計觀察值得停留的地方。

先從一個小細節看起。那篇文章的作者給了一個明確的判斷：合約條款不要只寫「符合相關法規」。這六個字看起來嚴謹，實際上是一個空欄位。它沒有告訴採購單位要向供應商索取什麼文件，也沒有告訴驗收的人拿什麼證據放行。一份能執行的合約，排版邏輯要倒過來：先想好驗收時手上要有哪幾張紙，再回頭寫條款。

文章把這張「紙」拆成五個欄位：資料用途與儲存、模型與服務變更、驗證與稽核、事故與人工介入、停用與退出。每個欄位都對應到具體證據，例如資料流圖與刪除紀錄、版本號與回歸測試結果、事件通報模板與演練紀錄、匯出檔與刪除證明。這個結構與其說是法律文件，更像一張表單的欄位設計：條款欄寫責任，證據欄寫交付物，兩欄對齊，缺一項就知道哪裡沒做完。

這套欄位並非憑空發明。文章指出，數發部的公部門 AI 應用參考手冊已經把模型用途、資料來源、模型版本、輸出、權責、人工監督、監控、更新與驗收拆成可操作欄位。手冊服務的對象是政府機關，不能直接變成民間企業的法定義務，但它的欄位結構可以被借來做企業內控。這是一個很典型的設計移植：制度的骨架不變，換掉填寫的主體。

法規依據也給得具體。個資法第 2 條把記錄、輸入、儲存、刪除、輸出等行為都列為個人資料的處理，第 5 條要求處理不得逾越特定目的的必要範圍。這代表企業要能說明供應商收到哪些欄位、為何需要、何時刪除。若輸入涉及病歷或健康檢查資料，個資法第 6 條另有一組例外條件，必須在採購前完成資料分類，而不是等模型上線後才問有沒有「隱私模式」。作者這句提醒，實際上是在講流程的先後順序：資料分類是欄位，隱私模式是功能，用功能欄位去追認合法性，順序就反了。

文章最有設計感的一段，是模型更新的驗收分級。供應商說「模型升級」時，企業要追問變了哪一層：基礎模型、系統提示、檢索資料、內容過濾、工具權限、輸出格式，還是資料儲存條款。每一層對應不同的驗證範圍。作者把變更分成三級：低影響的介面小改，跑格式與固定案例測試即可；中影響的模型版本或提示模板改動，要重跑代表性案例並檢查錯誤類型、人工修改率與成本；高影響的變更，文章原文在「其他重大」之後被截斷，但方向已經清楚：影響愈大的權益決定，驗證的範圍與放行的層級就愈高。

這種分級邏輯，與我們先前觀察過的smart-excel-mcp 把預覽與發送拆開的流程設計是同一個思路：把「變更」從一個模糊的事件，拆成有範圍、有等級、有對應動作的可讀介面。差別在於工具的變更發生在程式碼裡，供應商合約的變更發生在條款與版本號裡，兩者都需要有人負責讀、有人負責放行。

收在一個觀點上。臺灣的 AI 法規目前停在原則與框架的層次，這未必是缺陷；原則負責定方向，契約負責定交付。真正缺的是中間那一層把原則翻譯成欄位的動作，而這篇文章示範了翻譯的方法：從驗收證據回推條款內容，從變更層級回推驗證範圍。法規不會替企業寫合約，但一張欄位對齊的驗收單，可以讓「符合相關法規」這六個字，第一次變得可被檢查。