2026 年 6 月下旬，布魯塞爾做了一件監管機關不常做的事：多給企業一些時間。歐洲議會在 6 月 16 日通過、歐盟理事會在 6 月 29 日採納的 AI 數位綜合修正案，把《歐盟人工智慧法》的高風險義務往後延了至少 16 個月。新聞標題寫「延後」，不少公司看成「取消」，於是把準備工作收進抽屜。偏偏最可能碰到一般企業的透明度規則完全沒動，仍會準時在 2026 年 8 月 2 日生效。

只要公司使用 AI，而今天幾乎所有用電腦的公司都算，就值得寫一份小型企業 AI 政策。用 1 到 2 頁說清楚哪些工具可以用、哪些資料可以放進去、哪些資料絕對不行，以及成果送到顧客面前前由誰檢查；再配上一套輕量的季度流程，就有了不必付企業級價格的 AI 治理。本文整理現行法規時程、政策必備的 5 個部分，以及一套 30 天建置方法。

《歐盟人工智慧法》：2026 年 8 月 2 日哪些規則會生效

《人工智慧法》在 2024 年 8 月生效，義務分階段上路。到了 2025 年底，協調標準、各國主管機關與官方指引明顯跟不上時程，AI 數位綜合修正案因此延後涵蓋招募、信用評分與關鍵基礎設施的高風險制度，卻保留適用範圍更廣的透明度要求。

日期適用內容
2026 年 8 月 2 日第 50 條透明度規則：使用者與 AI 互動時要揭露，新系統產生的內容要標示
2026 年 12 月 2 日2026 年 8 月 2 日前已上市的生成式系統，開始使用機器可讀浮水印；禁止製作未經同意的私密影像與兒童性虐待素材
2027 年 12 月 2 日附件三獨立高風險系統義務生效，包括招募工具與信用評分
2028 年 8 月 2 日附件一受管制產品內嵌 AI 的高風險義務生效

第 50 條最可能碰到一般小公司，因為它看系統做什麼，而不是主管機關把風險分在哪一級。網站聊天機器人接待訪客時，要說明對方正在與 AI 互動；公開使用 AI 生成的影像、聲音、影片或文字，也要能辨識。生成式系統供應商還要提供機器可讀標示，已在市場上的系統則有到 2026 年 12 月的短暫緩衝期。

加拿大企業也不能只看公司註冊地。只要系統或輸出在歐盟境內使用，歐盟以外的提供者與部署者都可能適用。溫哥華公司的聊天機器人若服務法蘭克福訪客，或行銷團隊向歐洲受眾發布合成媒體，就可能落入範圍。違反透明度義務的罰鍰最高為 1,500 萬歐元，或全球營業額 3%，以較高者為準；中小企業適用兩者中較低的金額。比例原則的確存在，只是兩個大數字裡較小的那個，仍然很大。

所以，聽見「歐盟延後 AI 法」就全面停工，正好會暴露在未延後的義務下。修法替困難案件爭取時間，沒有替常見用法爭取時間。

加拿大現況：自願守則就是實務標準

加拿大原本放在 C-27 號法案內的《人工智慧與資料法》（AIDA），在國會於 2025 年 1 月 6 日休會後失效，現任政府也沒有重提。2026 年 6 月公布的國家 AI 策略著重採用與投資，希望企業 AI 使用率從約 12% 提高到 2034 年的 60%，目前並未規劃全面 AI 立法。簡單說，渥太華比較想看你多用 AI，而不是多填表。

因此，聯邦政府在 2023 年 9 月發布的《先進生成式人工智慧系統負責任開發與管理自願行為守則》，成了實際上的全國基準。它沒有法律強制力，但當中的 6 項原則，包括問責、安全、公平與平等、透明、人為監督與監測，以及有效性與穩健性，正是主管機關、保險公司與大型客戶希望在企業做法裡看到的內容。若你已完成 公司的 AI 倫理架構，這些原則不會陌生；政策則讓原則真正管得到日常工作。

「自願」仍有兩個限制。第一，隱私法一直都在，聯邦 PIPEDA 與卑詩省 PIPA 等省級法規，早已約束個人資料能不能放進 AI。員工把顧客名單貼進免費聊天機器人，今天就是隱私問題，不必等新法。第二，加拿大沒有 AI 法，也不會消除歐盟曝險。最後形成一個有點倒過來的局面：最可能約束加拿大小公司的成文 AI 規則在歐洲，國內衡量你做得是否合理的標準卻是自願守則。寫成政策，才能不用每天重新想一次。

AI 可接受使用政策：5 個真正有用的部分

大型企業的 AI 政策常有 40 頁，因為有 40 個人要核准。小公司用 5 個部分、2 頁就夠了。文字要平白，因為沒人讀的政策也管不到人。

適用範圍

先寫清楚政策適用誰，包括員工、承包商與任何能接觸公司資料的人；再把 AI 使用定義得寬一點，涵蓋公開聊天機器人、既有軟體新增的 AI 功能、逐字稿與會議工具、影像生成器及程式助理。許多公司盤點後才發現，實際 AI 足跡是老闆原先估計的兩倍，因為一半功能是隨軟體更新進來的，不是刻意採購。

資料分級

把資料分成 4 級，並逐級說明可用方式：公開資料是已經發布的內容；內部資料是日常工作材料；機密資料包括財務、合約與未公開計畫；禁止資料則包括顧客個資、員工紀錄、付款資料與保密協議涵蓋的內容。公開與內部資料可放進核准工具；機密資料只能進入有合約資料保護的工具；禁止資料永遠不能放進任何 AI，不管它能把摘要寫得多漂亮。

核准工具

列出公司真正審查過的工具，並要求使用企業帳號，而非個人帳號，因為商用方案通常可關閉資料供模型訓練。新工具要有簡短申請流程，先查供應商資安、資料保留條款與訓練資料做法。若仍在挑第一批工具，採用 先找問題再試辦的方法 能讓名單維持短而有用。

禁止用途

4 條規則足以涵蓋大部分風險。禁止資料不得進入 AI；涉及招募、懲處、信用或個別顧客定價等重大影響，不得只靠 AI 決定，必須由人審查並負責；受眾合理期待揭露時，不得把 AI 作品當成人工製作，2026 年 8 月 2 日後，許多情況也是歐盟法律義務；最後，免費工具同樣要走審查流程，因為你的資料可能正是它的收費方式。供應商審查應沿用 資安管理紀律，未審查的 AI 只是最新一種未審查軟體。

問責與檢討

指定一名負責人。5 到 50 人的公司需要的是有人多戴一頂帽子，不是一個委員會；這個人更新核准名單、處理新工具申請，也記錄事件。要求員工通報 AI 失誤，例如錯誤內容寄給顧客，或資料貼錯地方，而且通報本身不受責難，否則政策得到的只會是沉默。每 6 個月排一次檢討，因為沒人照看的 AI 政策，過期速度跟魚差不多。

小公司治理節奏：把 NIST AI RMF 縮到能執行

政策是一份文件，治理是使用它的習慣。美國國家標準暨技術研究院的 AI 風險管理架構（NIST AI RMF）免費、自願，4 項功能也很適合縮小使用。治理代表政策存在、有人負責並定期檢討；盤點代表公司有一份所有 AI 系統及接觸資料的清冊；衡量代表定期抽查正確性、偏誤與語氣；管理則是依結果行動，包括再訓練員工、限制工具或停用。

較正式的做法是 2023 年發布、可驗證的 AI 管理系統標準 ISO/IEC 42001，邏輯與 ISO 27001 等標準相同，採取規劃、執行、檢查、改善循環，也逐漸成為部分供應鏈的採購條件。多數小公司先把 NIST 的功能變成日常節奏，等顧客合約或標案明確要求時再考慮 ISO 42001 驗證。驗證是治理證據，最好等真的有人要看再花錢買。無論選哪套，AI 治理都應放進 整體數位轉型計畫，讓工具、資安與規則往同一個方向走。

30 天建置計畫

第 1 週做盤點。問團隊用了哪些 AI、拿來做什麼、接觸哪些資料，並提供既往不咎的通報機會。現在浮上檯面的影子 AI，比事故發生後才找到便宜得多，而且清單通常比你猜的長。

第 2 週做分級與選擇。把資料分成 4 級，選出核准工具，將個人帳號改成企業帳號，能關閉訓練就關閉，沒通過基本檢查的工具則停用。

第 3 週寫 2 頁政策、指定負責人，再誠實回答 3 個歐盟問題：網站聊天機器人是否面向歐盟訪客？行銷是否向歐盟受眾發布 AI 內容？公司是否在歐盟銷售 AI 產品？任何一題答「是」，第 50 條揭露與標示就是眼前工作。

第 4 週做訓練與排程。用 30 分鐘講解政策，以 2 到 3 個真實例子示範哪些資料可貼、哪些不行，再把每 6 個月的檢討日期放進追蹤其他期限的 法令遵循架構。有行事曆的政策才活得下去；沒有的只是一份 PDF。

常見問題

《歐盟人工智慧法》會管到加拿大的小公司嗎？

可能會，判斷重點是使用地，不是公司所在地。面向歐盟訪客的聊天機器人、發布給歐洲受眾的 AI 行銷內容，或銷往歐盟的 AI 產品，都可能納入範圍。最常見的是 2026 年 8 月 2 日起適用的第 50 條透明度義務；延到 2027 年 12 月與 2028 年 8 月的高風險制度，則主要影響招募、信用與其他重大決策。

AI 可接受使用政策應包含什麼？

包括適用範圍、資料分級、核准工具、禁止用途，以及問責與檢討。50 人以下的公司以 2 頁為宜。最常見的缺口不是少了某段文字，而是沒有指定維護政策的人。

加拿大法律要求公司一定要有 AI 政策嗎？

目前沒有聯邦法律直接要求。AIDA 在 2025 年 1 月失效，2026 年國家 AI 策略也沒有強制規則。不過，PIPEDA 與省級隱私法有實際效力，自願守則、保險續約與大型顧客的供應商問卷也會檢查企業做法。政策雖不是法定勾選項，卻是守住隱私義務與處理歐盟曝險最實用的方法。

小公司需要 ISO 42001 驗證嗎？

目前很少。先用免費的 NIST AI RMF 執行治理、盤點、衡量與管理，並留下紀錄；等特定顧客、標案或主管機關要求時，再把既有做法正式化。好的 AI 治理比較像營運紀律，而不是法律專案：短政策、明確負責人、固定日期。若你想請熟悉 小型企業策略 的人一起檢查草案，第一次聊聊不收費。