金融生成式 AI 控制檢查：資料流、來源版本、權限與事件紀錄

金融生成式 AI 的控制設計，需要回答兩類問題：系統當時做了什麼，以及它被允許做什麼。來源引用、資料權限與模型品質是不同的檢查項目；不能只因回答有引用，就認定它可對外使用。

這份清單供工程、資安、法遵與內稽共同整理架構和操作證據。先確認工作範圍與適用要求，再決定需要哪些控制，不預設所有機構或 AI 用途都適用相同的核准程序。

六組控制：留下可檢查的證據

金管會的 2024 年 6 月 20 日 AI 指引採風險導向，屬不具拘束力的行政指導。具體的法令、委外與機構核准要求需分別確認，不能由這份控制表推導通用的董事會核准、同意或資料落地規則。

從來源系統到檢索、模型服務、輸出及外部工具，逐段列出資料、接收者與權限。不要只記錄模型服務的機房，而忽略觀測平台、錯誤紀錄、標註服務或備份。

供應商評估可確認處理地點、服務條款、資料留存與訓練用途、次處理者、刪除方式及事件通知。境內部署不自動解決所有風險；境外服務也不能只憑所在地，直接推定所有用途都被禁止。由負責團隊依資料、目的、規範與契約作出決定。

日誌應保留處理事件所需的證據，同時限制敏感內容。可依情境使用請求識別碼、文件版本與受控的證據參照；完整原文若有保存需要，另行約定存取、遮罩與期限。

檢索系統要知道目前使用者能讀哪些文件，工具也要知道這次請求能做哪些動作。這些檢查應在服務端執行；提示詞中的「不要洩漏」不能取代授權。

OWASP 的 2025 Prompt Injection 風險說明指出，外部文件也可能影響模型行為，RAG 並不能完整消除這類風險。工具權限應受限，重要動作應依風險安排核准。

以內部政策問答為規劃例子，可測試無權讀取的文件、文件內的指令、過期版本與查無依據的問題。需要確認被拒絕的內容不會透過引用、快取或日誌再被顯示；系統應能把例外交給負責人處理。測試通過一次，也不能保證所有未來輸入都安全。

事件紀錄可以協助重建當時使用的資料與設定，並查明保留的輸出、人工修訂和實際動作。這與重新呼叫模型得到完全相同的文字，是不同的要求。

Anthropic 在 2026 年 1 月 9 日的評測說明區分一次測試的不同嘗試，因為模型輸出會在執行間變動。確認模型或檢索變更的影響時，可以使用代表性案例與多次嘗試；接受標準仍應由工作風險決定。

若缺少過去紀錄，後補的功能不能證明先前未保存的行為。之後的控制仍可改善，但應清楚標示證據缺口與啟用時間，不宣稱已把歷史完整還原。

交接時可實際走過一次來源更新、越權拒絕、人工修訂、事件回報與停用接手。記錄結果、待處理問題及負責人，再由適當的核准人決定是否上線。

持續監控的範圍與評估頻率，依工作量、風險和變更安排。有人每天使用，只能說明使用情況；系統品質、適用要求與可追溯性，仍需要各自的證據。