SAMPLE · Track B · 進階
單元四：AI 安全——風險管理角度
Module 4: AI Safety — Risk Management · 建議 2 小時
學習目標
- 由供應商／模型角度做盡職審查要點。
- 識別財務資料特有風險並建立變更管理。
- 懂得事故應變嘅基本步驟（教學用）。
4.1 模型與供應商風險評估
- 了解數據處理條款：會唔會用作訓練、保留幾耐、有冇分包商。
- 查閱獨立認證或審計報告作為盡職審查一部分。
- 評估供應商集中風險：單一工具中斷對關鍵流程嘅影響。
4.2 財務資料特有風險
| 風險 | 說明 |
|---|---|
| 資料外洩 | 客戶財務／個人資料貼入無管治 AI 工具，脫離機構掌控 |
| 幻覺導致誤報 | 未經核實採用 AI 編造數字／條款 → 報表錯誤 |
| 版本漂移 | 唔同時間／工具答案唔同，缺乏一致性同可追溯性 |
4.3 變更管理與版本控制
- 記錄邊個工具、邊個版本、邊個日期用於邊項工作。
- AI 建立／修改嘅公式經人手覆核確認後先正式採用，並記錄核准人。
4.4 事故應變（教學框架）
- 發現錯誤或懷疑外洩 → 即時停止使用該提示詞／工具，保留記錄。
- 評估影響範圍（客戶、報表期間、交易）。
- 按機構政策向主管／資訊保安匯報；視乎情況考慮 PDPO 相關通報（見單元五）。
- 事後檢討：修正提示詞、使用範圍或內部政策。
盡職審查清單（教學用）
- 資料會否用於訓練？可否關閉訓練／企業版私有處理？
- 資料存放地區、保留期限、刪除流程是否寫清？
- 有冇分包商清單？外洩時幾耐內通知客戶／機構？
- 服務中斷時：有冇人手後備流程可以完成月結？
- 變更管理：新模型版本上線前，關鍵提示詞要重新跑一組回歸測試（已知答案數據）。
4.5 回歸測試（教學）
新模型版本上線前，對關鍵提示詞跑一組已知答案 SAMPLE 數據；結果漂移就要凍結舊流程並調查。事故應變四步：停止→評估範圍→匯報→事後修正政策。
SAMPLE 練習 · 供應商盡職審查
示範機構：Harbourdesk Secretarial（虛構 · SAMPLE only）
事務所考慮採用某生成式 AI（SAMPLE 情景）。列出五條你會問供應商嘅問題，並指出「單一工具做晒月結」嘅集中風險。
參考答案（點擊展開）
- 會否用於訓練？可否關閉？②保留期與刪除？③資料地區？④分包商清單？⑤外洩幾耐通知？
- 集中風險：服務中斷就做唔到月結——要有人手後備流程。