上週 2026 年 8 月 20 日，路透社報導一則很值得企業重新思考 AI 治理的案例。美國加州第一區上訴法院第四庭在 7 月公佈的 Del Biaggio v. Bansen 判決中，認定律師 Carlton Floyd 提交的法律文件含有錯誤引用與虛構引文。Floyd 也承認曾使用生成式 AI 補充部分內容，卻沒有在提交前完成必要查證。法院最後對他處以 1,500 美元制裁，並要求將判決副本送交加州律師公會。
這個事件值得我們注意的是，Floyd 原本打算把 AI 產生的法律引用交由助理檢查，而不是由自己或其他律師重新審閱。法院認為，即使這套安排最後沒有真的出錯，也不足以履行律師本人應負的專業責任。
這正好碰到企業談 AI 治理時最常出現的問題：「AI 可以先做，最後還是要有人確認。」，但我們真正要問是，到底那個人確認了什麼？
有人按下「確認」，不代表真的有人在把關
Human-in-the-loop 這是個熱度很高的名詞，經常被理解成「AI 做完之後，再交給人確認」。從概念上來說，這沒錯，但卻很容易被簡化成流程圖上的一道簽核。
AI 先整理合約，再由法務看一下；AI 先完成財務分析，再由主管批准；AI 先篩選履歷，再由人資確認結果。從流程上看，都保留了人工介入。但如果覆核者只是快速瀏覽、沒有回到原始資料核對，或者本身根本不具備足夠的專業能力，那麼這個「人工確認」究竟還有多少治理意義？
英國資訊專員辦公室（ICO）的人工覆核指引就特別強調，有意義的人工介入，不只是安排一個人在最後按下同意鍵。覆核者必須具備適當的知識與經驗，也要真正擁有改變結果的權限。
所以企業不能只問：「這個流程最後有沒有人檢查？」，還要繼續問：「這個人真的有能力發現錯誤，而且有權說不嗎？」
要人把關，至少得做到「懂、能、敢、負責」
如果把美國國家標準暨技術研究院（NIST）、英國 ICO 與歐盟《AI 法案》對人工監督的原則，轉成企業比較容易理解的語言，大致可以整理成四件事：懂、能、敢、負責。
第一是「懂」：
負責覆核的人，必須真的懂這件工作。例如： AI 協助醫師做醫療判斷，不能只由熟悉 AI 操作的人確認；AI 協助審查法律文件，最後判斷者仍需具備法律的專業知識。
第二是「能」：
企業必須給覆核者足夠的時間、資料與工具。如果一名員工每天被要求確認數百份 AI 產出，再完整的簽核制度也很容易變成形式作業。
第三是「敢」：
這一點往往比技術更容易被忽略。如果企業文化變成「AI 都已經算好了，為什麼還要重新檢查？」或者每次推翻 AI 都得承擔更多程序成本，員工很快就會學會：接受 AI 是最省事的做法。
第四才是「負責」：
AI 可以整理、分析、提出建議，甚至完成大部分工作，但最後責任不能消失在「模型說的」、「系統算的」或「供應商提供的」之間。
這四個詞不是任何單一法規直接列出的要求，而是目前不同 AI 治理框架，都共同指向一件事：人工監督真正要保留的，不是人的存在，而是人的判斷能力。
AI 愈可靠，人反而可能愈不會檢查
Human-in-the-loop 還有一個更棘手的問題。假設一套 AI 剛導入時只有八成準確率，使用者通常會很小心，每一份結果都仔細檢查。但當它連續幾個月表現良好，人便會逐漸建立信任。工作方式可能慢慢從：「我要確認 AI 有沒有做錯。」，變成：「看起來應該沒問題。」這就是 AI 治理常談到的自動化偏誤（automation bias），也就是人們容易過度相信自動化系統的判斷，因而降低自行查證或質疑的傾向。
因此，AI 變得愈可靠，剩下那一小部分錯誤有時反而更難被發現。如果 AI 寫錯一份內部會議摘要，通常還有補救空間。但如果錯的是醫療判斷、貸款核准、重大採購、法律文件或安全檢查，那最後 1% 或 2% 的錯誤，就可能帶來完全不同的後果。
所以，真正有效的人工把關，不是要求「AI 做完的每一件事都要有人再看一次」，而是先分清楚：哪些事情如果判斷錯了，後果很嚴重，不能只靠 AI 決定。
一封行銷文案和一筆貸款，本來就不該用同一套標準
AI 幫忙寫一封公司內部 Email，和 AI 協助判斷一個人能不能取得貸款，風險當然不一樣。AI 整理會議紀錄，和 AI 協助醫師做治療判斷，也不能用同樣的方式檢查。
企業真正要做的，不只是決定「這個 AI 工具可不可以用」，而是先看這件工作如果出錯，後果會有多嚴重。錯了之後能不能查證？會不會牽涉金錢、法律責任、人身安全或客戶權益？AI 只是提出建議，還是已經可以直接替人執行？
風險低的工作，人工檢查可以簡單一些；風險高的工作，就必須更清楚地規定：誰來確認、要查哪些資料、最後由誰做決定。
也就是說，真正要設計的不是「每件事都要不要有人看」，而是：哪些關鍵地方一定要由人來把關。
出了問題，能不能回頭知道當時發生了什麼？
當 AI 真正進入公司的日常工作，還有一件事會變得很重要：如果之後出了問題，能不能查清楚當時 AI 做了什麼、人又做了什麼判斷。
現在很多公司的做法仍是：「可以用 AI，但重要內容一定要有人確認。」這可以當作起點，但還不夠。如果 AI 已經參與正式工作，公司就需要留下更清楚的紀錄。例如：AI 當時參考了哪些資料？員工有沒有回頭確認原始來源？如果有人否決 AI 的建議，是誰做的決定？為什麼？又有哪些情況必須交給主管重新判斷？
美國 NIST 的 AI 風險管理框架也建議企業記錄這些重要過程，包括哪些 AI 結果被人工改掉、曾經出現哪些錯誤，以及最後為什麼決定繼續或停止。所以，好的 AI 治理不只是「最後有人看過」，而是整個決策過程都能留下紀錄，出了問題之後也查得回來。最後公司應該能回答一個很基本的問題：「當時為什麼會做出這個決定？」
新創的機會，也許就在 AI 和責任之間
當大型 AI 模型愈來愈容易取得，單純做一個「幫企業寫報告、讀文件、整理資料」的 AI 助理，未必還能形成長期優勢。企業真正難的，往往不是 AI 會不會做，而是敢不敢真的把工作交給 AI。
一旦 AI 進入正式工作流程，問題就會變得更實際：它用的是哪些資料？誰可以操作？出現異常時誰來處理？哪些結果一定要由人確認？如果最後做錯了，能不能查清楚當時發生了什麼？這些事情不像 AI Demo 那麼吸睛，卻更接近企業真正願意付錢解決的問題。
對台灣新創來說，機會未必是和大型模型公司比「誰的 AI 更聰明」，而可能是幫企業解決另一個更現實的問題：如何讓企業放心把 AI 真正用在工作裡。
Del Biaggio v. Bansen 畢竟只是法律業的一宗案件，不能直接套用到所有產業。但它提醒我們一件重要的事：AI 可以幫人做愈來愈多工作，卻不能把責任也一起帶走。
所以，Human-in-the-loop 真正重要的，不只是流程最後還有一個人按下「確認」，而是這個人仍然看得懂、查得到、敢說不，也清楚知道自己要為最後結果負責。