您好，我是株式會社TIMEWELL的濱本隆太。這是技術外流系列的最後一篇。
第1篇把外流路徑拆成七條，第2篇把「人」的幾個階段接成一條線。這次談的是怎麼把它裝進組織裡。
這種題目通常會用一句「我們來成立一個跨部門專案」收尾。如果貴公司這樣就能動起來，那很好。實際上多半是：扛旗的人沒定下來、預算沒編到、半年後只剩下一份簡報。
先把結論放在前面。不要新設單位。ICP認定要點已經幫你把組織圖畫好了。
先講清楚台灣和日本的差別
這裡要先說一件事，不說會誤導。
日本的外匯及外國貿易法設有「輸出者等遵守基準」，2010年4月1日施行，幾乎所有出口人都被要求指定確認貨品是否屬於管制品的負責人，並對從事輸出業務的人員進行法令遵循的指導。也就是說，日本企業手上大多本來就有一個法定的器皿，問題只是有沒有在用。
台灣不是這樣。台灣的企業內部出口管控制度（ICP）是自願申請的認定制度，並非全體出口人的強制義務。所以台灣企業常見的狀況不是「器皿閒置」，而是「器皿還沒搭」。
這個差別會影響做法。在日本可以說「你已經有了，拿來用就好」；在台灣得說「有一份現成的設計圖，照著搭，比自己重畫快」。
那份設計圖就是企業內部出口管控制度認定要點。依該要點，企業內部應建構七項管理項目與三項篩選清單1：
七項管理項目
- 正式公告——對全體員工正式揭示實施內部出口管控制度
- 權責劃分——依組織架構規範各部門之內部出口管控責任
- 檔案紀錄——完整之管理檔案及交易檔案
- 訓練計畫——定期對與出口作業相關之員工提供訓練及教育
- 通報流程——發現可疑之出口交易時，通知內部出口管控主管部門
- 訂單處理流程——建立訂單處理系統之書面流程，以執行篩選及文件核對
- 內部查核——定期查核、確認各部門均依內部出口管控步驟辦理
三項篩選清單
- 我國戰略性高科技貨品出口實體管理名單篩選
- 出口管制貨品清單篩選
- 紅色警戒清單篩選
看第2項與第7項。**權責劃分與內部查核，本來就是組織設計的語言，不是報關的語言。**這七項不需要等到申請認定才能照著做。先把制度搭起來，之後要不要送件是另一個決定——不過送件通過另有三年效期輸出許可證、優先鑑定權等實質誘因，這部分我們整理在ICP認證完整指南。
把七條路徑載到這七項上
第1篇列的七條路徑，放到現成的器皿上，位置是這樣：
| # | 路徑 | 在ICP架構裡的位置 | 需要額外補的 |
|---|---|---|---|
| 1 | 貨品與技術輸出 | 本來就是ICP的對象（訂單處理流程＋三項篩選） | 無，流程已經有了 |
| 2 | 招募 | 擴大「訓練計畫」與「權責劃分」的範圍 | 把接觸關鍵技術職務的查核程序寫進權責劃分 |
| 3 | 在職人員 | 檔案紀錄（存取權限與紀錄） | 把權限異動也納入檔案紀錄的定義 |
| 4 | 離職人員 | ICP之外，屬人資與法務 | 保密與競業禁止的書面、補償紀錄接回權責主管 |
| 5 | 設備與供應鏈 | ICP之外，屬採購與資訊 | 採購品的實際製造商可回溯的紀錄 |
| 6 | 實體攜出 | ICP之外，屬資訊與總務 | 與既有資安規範接起來 |
| 7 | AI代理人與機器人 | 哪裡都沒有 | 以主體身分加進權限清冊 |
看得出來，第1條與第3條已經在ICP的射程內。第2條把「訓練計畫」和「權責劃分」的範圍拉寬就進得來。第4到第6條分屬別的部門，但不需要把規章合併，只要拉一條線讓資訊匯集到權責主管那裡就夠了。
麻煩的是第7條。這一條在任何現有規章裡都沒有位置。
把AI代理人與機器人登記進清冊
台灣在AI這一塊的框架已經成形。立法院於114年12月23日三讀通過《人工智慧基本法》，數位發展部並同步研議「人工智慧風險分類框架」2。行政院層級另有112年10月3日函頒的「行政院及所屬機關（構）使用生成式AI參考指引」，以及114年10月8日函頒的「國家關鍵基礎設施應用人工智慧參考指引」，民間可以參照其原則34。
不過這些都是框架與原則層級。「AI代理人要用什麼欄位登記進權限清冊」這種顆粒度的事，目前還是得企業自己訂。
那要怎麼訂？不需要另建一套AI治理制度。把對人做的事原樣套用就好。
在權限清冊上加進AI代理人與機器人的行，填和人一樣的欄位：
- 碰得到什麼——讀得到哪些文件、呼叫得到哪些API、進得去哪些場域
- 權限由誰核給——核准人與核准日期
- 什麼時候失效——有效期限。不要發沒有期限的權杖
- 執行有沒有留下紀錄——讀了什麼、往外送了什麼的日誌
- 有沒有對外傳送的路徑——若有，傳送目的地是否已限定
這五項和第2篇裡人的管理項目幾乎一樣。差別在於，AI不會離職，所以要用「失效」主動取代「離職」。人有離職這個天然的斷點，權限會跟著斷；發給代理人的權杖，除非有人去停，否則會一直活著。
這一點值得多說一句，因為它是最容易漏的。公司裡導入AI工具通常是由業務單位自己發動，權杖是專案期間為了方便而發的，專案結束沒有人記得回收。三年後那把權杖還在，發的人已經離職了。第2篇談人的時候，我說「離職之後還沒結束」；談AI的時候，是「根本沒有結束這件事」。
著手的順序與預算
想一次做完會失敗。我建議的順序是：
第一階段（本週）。 確認權責主管是誰。有申請ICP認定的公司，這在認定要點的「權責劃分」裡一定有。沒有申請的公司，就是現在指定。這件事沒定下來，後面全部會停住。
第二階段（一個月）。 做盤點。要保護的技術是哪些，對照行政院公告的42項國家核心關鍵技術確認有沒有落在裡面；碰得到這些技術的人、設備、AI各是誰。**這個階段不做防範，只把清單做出來。**沒有清單就去評估產品，講不出來自己缺什麼。
第三階段（三個月）。 在清單裡，從沒有留紀錄的路徑先補。先顧「判斷的依據有沒有留下」，再顧「判斷本身對不對」。事後說得出理由，比當下判斷完美更有價值——第2篇提過，營業秘密法的「合理之保密措施」與國安法的「授權範圍」，都是靠紀錄才說得清的東西。
第四階段（半年）。 件數超過人力負荷的部分才自動化。到這裡才輪到評估工具。
預算方面，我的實際感受是，擴大既有的出口管制與資安預算範圍，比另外爭取一筆新預算容易過。「把出口管制的體制擴大到涵蓋整體技術外流」這個說法，比「新設一個技術外流防範專案」的簽核距離短得多。而且如果順便把ICP認定拿下來，三年效期許可證帶來的作業減省是可以量化的效益，簽呈上寫得出數字。
成效怎麼衡量
體制搭好之後，用什麼判斷它有在運作？我看三個。
第一個是說得出理由的比率。過去做過的判斷，有多少比例能連同依據重現出來。這個數字低的體制，稽核與訴訟都撐不住。
第二個是從確認到判斷的天數。出口管制也是在跟時間賽跑。確認太慢，現場就會開始跳過確認。嚴格和被遵守是兩回事，把流程收在可運作的速度內，是體制這一側的責任，不是現場的責任。
第三個是盤點的新鮮度。第二階段做出來的清單，上一次更新是什麼時候。放了半年沒動的清單，和沒有清單差不多。這一點在台灣特別要注意：國家核心關鍵技術認定辦法規定技術主管機關每年定期檢討清單5，清單本身就會動。去年確認過「我們不在裡面」，今年不一定還成立。
我們開發的TRAFEED是做出口管制貨品鑑定與交易對象篩選的AI代理人，但實際被看重的，我感覺不是鑑定本身，而是鑑定的依據會留成紀錄這件事。跨多國管制名單比對、追資本關係，把結果連同參照的法規條文一起輸出。事後說得出「當初為什麼那樣判斷」的狀態，就是這樣做出來的。
鑑定準確率在95%以上（與岡山大學共同驗證，本公司統計），判斷方法已取得專利（日本專利第7862062號），目前有20個以上的組織在使用。要再說明一次：最終判斷仍由貴公司的出口管制權責主管作成，AI的角色是把材料與依據整理齊全。在法遵領域不把判斷本身交給機器，是我們從設計階段就沒有改過的方針。細節在TRAFEED的頁面。
體制討論用的資料：我們備有整理TRAFEED比對哪些資料、自動化到哪裡、從哪裡開始由人判斷的白皮書。適合拿來讓權責主管、人資、法務、採購、資訊部門建立「外流路徑有七條，器皿用ICP就夠」這個共同前提。→ 下載TRAFEED白皮書（免費，需登記公司名稱與公司電子郵件）
如果想直接從ICP的建置著手，我們也備有ICP導入自我檢查表。
系列總結
三篇下來的結論：
- 技術外流不是只有出口管制，至少有七條路徑（第1篇）
- 先動人的入口。把招募、在職、赴陸、離職接成一條線；台灣的競業禁止有法定要件與補償門檻（第2篇）
- 不新設器皿。用ICP認定要點的七項管理項目當設計圖。台灣的ICP是自願認定，所以問題常常是「還沒搭」而不是「閒置」1
- AI代理人與機器人，用和人一樣的五個欄位登記進權限清冊。AI不會離職，所以要主動設失效
- 順序是：定權責主管 → 盤點 → 補紀錄 → 自動化。盤點之前不要挑工具
法規會落後於現場，這是它的性質，不是它的缺點。但沒有理由等。要做的事只是既有框架的延伸——在主體盤點裡，加上非人的那幾行。
想先確認自家現況，可以做出口管制體制免費檢測。體制設計本身的討論，歡迎從聯絡我們開始。
參考資料
Footnotes
-
經濟部主管法規共用系統「企業內部出口管控制度認定要點」（七項管理項目：正式公告、權責劃分、檔案紀錄、訓練計畫、通報流程、訂單處理流程、內部查核；三項篩選清單：實體管理名單、出口管制貨品清單、紅色警戒清單）. https://law.moea.gov.tw/LawContent.aspx?id=FL066671 ↩ ↩2
-
數位發展部新聞稿「立法院三讀通過《人工智慧基本法》 構築我國AI創新與安全治理基石」（立法院114年12月23日三讀通過；數發部並研議人工智慧風險分類框架）. https://moda.gov.tw/press/press-releases/18316 ↩
-
行政院「行政院及所屬機關（構）使用生成式AI參考指引」（112年10月3日函頒）. https://www.ey.gov.tw/Page/448DE008087A1971/40c1a925-121d-4b6b-8f40-7e9e1a5401f2 ↩
-
行政院「國家關鍵基礎設施應用人工智慧參考指引」（114年10月8日函頒）. https://ohs.ey.gov.tw/File/C5E29BFB9E72EAB9 ↩
-
國家科學及技術委員會主管法規共用系統「國家核心關鍵技術項目及其主管機關」（行政院115年2月13日院臺科字第1141037623號公告，自同日生效，計42項；修正總說明載明技術主管機關應依國家核心關鍵技術認定辦法第10條第1項每年定期檢討）. https://law.nstc.gov.tw/LawContent.aspx?id=GL000594 ↩
