金管會資訊服務處處長林裕泰說得很直白：「未來AI嵌入行政及業務流程是遲早的事，不能等正式上線，才研究如何做好資安控管。」這不是客套話，是在提醒金融業：你以為導入AI只是技術問題,其實更是風險管理問題。2026年10月13日,金管會發布《金融業運用代理AI安全諮詢文件》,開放30日徵詢期。這份文件用「資料敏感度、動作影響範圍、AI能力邊界／可擴散性」三個維度做風險評估,並且採「就高不就低」原則——意思是,寧可把風險想得嚴重一點,也不要事後才發現低估了。
過去的AI幫你寫郵件,現在的AI可能自己決定要不要轉帳
以前金融業導入的生成式AI,頂多幫你整理會議紀錄、寫客服回應,最多就是答錯問題,不會真的影響業務流程。但這次諮詢文件聚焦的代理AI (Agentic AI),已經不是那個只會回答問題的助手了。它會自己規劃步驟、呼叫外部工具、跨系統執行任務。講白了,它可能自己判斷要不要幫客戶轉帳、能不能調閱敏感資料、該不該觸發風控警報。
風險已經從「說錯話」變成「做錯事」。這也是為什麼金管會在文件裡明確把代理AI定義為「具行動能力之非人類身分與工作負載」,要求金融業導入零信任架構,做好身分驗證與權限控管,並且採最小權限原則跟持續驗證機制。簡單說,就是別讓AI拿到不該有的權限,也別假設它「應該不會出錯」。
風險怎麼分級?關鍵在「它能碰什麼資料、做什麼決定」
金管會的風險評估邏輯很務實：看資料敏感度、動作影響範圍、AI能力邊界／可擴散性這三個維度,採「就高不就低」原則分級。以下是根據文件內容歸納的示意分類(實際應用還是要看各金融機構自己的情況跟完整文件對照)：
- 低風險情境：AI只能查公開資訊或跑標準化流程,比如幫客戶查基金淨值。
- 中低風險情境：可以接觸內部資料但沒有交易權限,像是生成客戶投資分析報告。
- 中高風險情境：能執行交易或調整帳戶設定,但需要人工最後確認,例如智能理財的下單建議。
- 高風險情境：完全自動化執行關鍵業務,直接影響資金流向或系統穩定性,比如自動核准貸款或執行大額轉帳。
風險等級越高,監理要求就越嚴。諮詢文件強調,金融機構要針對代理AI建立完整生命週期管理,正式上線前就要具備監控、停用、撤銷、復原、追溯跟異常處理能力。每一筆指令都要能回溯到觸發原因跟授權依據——這不是選配,是基本要求。
AI會搶走金融從業人員的工作嗎?更像是「工作內容被重新定義」
回到大家最關心的問題：AI會取代金融從業人員嗎?從政策方向看,答案比較接近「AI會讓部分工作自動化,但也會改變職務分工」。
金管會推動AI轉型的核心邏輯,是要讓金融業從人海戰術變成高效能團隊。基層重複性高的作業——像資料輸入、報表整理、簡易客服——可能會被自動化取代,但需要判斷、協調、風險控管的角色反而會更重要。林裕泰處長說的「資安不能等AI上線才處理」,背後的意思是：未來的金融從業者,必須具備監督AI、調校AI、防範AI失控的能力。不是會用AI就好,而是要知道AI在做什麼、為什麼這樣做、什麼時候該踩煞車。
政策方向已經明確,金融業準備好了嗎?
這次發布的諮詢文件,跟金管會在2025年12月30日發布的《金融資安韌性發展藍圖》在資安治理方向上是連動的。金管會主委彭金隆曾表示,期許金融業能成為台灣下一個重要產業支柱。但現實是：台灣金融業在AI應用跟資安防護的實戰演練上,還有不少功課要做。
金融業能不能在AI浪潮中站穩,不是看誰導入得最快,而是看誰能在效率跟安全之間找到最佳平衡點。目前諮詢文件還在徵詢意見階段,金融機構、資安專家跟相關業者可以把握30日徵詢期間,提供實務建議,協助金管會完善後續政策研議跟文件修訂。畢竟,這不只是金管會的事,而是整個產業要一起面對的挑戰。
", "keywords": "代理AI, 金融業AI應用, 金管會資安政策, AI風險管理, 金融科技監理" } ```
