TRUST POLICY / 政策與模型治理
讓 AI 使用條件，
成為可執行的控制。
將模型風險分級、使用條件與人工覆核嵌入請求判斷。當限制條件成立時，優先拒絕，而不是讓一條允許規則覆蓋風險。
預約 Trust Policy 展示資料類型：敏感客戶資料
示例請求：將敏感客戶資料送往外部模型。
依風險治理
模型分級對應使用限制
保留人工判斷
需覆核的用途先核准再放行
拒絕條件優先
不以允許規則覆蓋禁止條件
01 / RISK TO RULE
把治理要求，
轉成模型可使用的明確條件。
從風險評估到每筆請求的允許、覆核或拒絕，讓政策不只停留在文件中。
- 01
模型風險分級
依模型特性、資料敏感度與使用用途設定風險級別，對應不同限制與覆核要求。風險分級由企業治理準則定義。
- 02
使用條件設定
以模型、部門、角色、用途與資料條件定義可用範圍。讓經核准的模型只在符合條件的情境中被使用。
- 03
人工覆核流程
對需審查的用途指定責任人與覆核要求。核准前不自動放行；人工覆核也不能覆蓋明確的拒絕條件。
- 04
拒絕優先控制
當允許與拒絕規則同時命中，拒絕優先。沒有符合的允許條件時不放行，避免例外授權變成繞過治理的入口。
02 / DENY TAKES PRECEDENCE
允許不是預設，
拒絕不能被例外覆蓋。
明確區分允許、待覆核與拒絕；每一個判斷都能對應到政策條件。
| 請求條件 | 決策結果 | 控制依據 |
|---|---|---|
| 敏感資料 × 禁止的外部模型 | 拒絕 | 命中拒絕條件，優先停止請求 |
| 高風險用途 × 尚未取得核准 | 待覆核 | 交由責任人判斷，核准前不放行 |
| 核准模型 × 符合用途與資料條件 | 允許 | 無拒絕條件且滿足所有必要條件 |
| 未符合任何允許條件 | 不放行 | 不以未命中規則作為預設允許 |
此為政策邏輯示例；風險級別、條件與覆核責任須依企業實際制度配置。
03 / IN PRACTICE
讓 AI 的使用自由，
建立在清楚的治理條件上。
針對不同風險與責任的用途，選擇適合的控制方式，而非一律開放或一律禁止。
新模型導入
業務希望導入新模型，但風險與使用邊界尚未確認。
先設定模型風險級別與核准用途，再開放符合條件的請求。
高責任用途
AI 輔助產出涉及客戶決策或重要業務判斷。
設定人工覆核與責任人，避免未經核准就直接使用。
政策衝突處理
部門例外允許，卻同時命中敏感資料的禁止規則。
拒絕條件優先執行；例外允許不會覆蓋禁止事項。
04 / CONNECTED GOVERNANCE
政策連結身分、資料與治理責任。
Access 提供身分與權限脈絡，Protect 提供資料保護；Policy 執行使用條件，再連結 Monitor 與 Governance 的追蹤及管理流程。
ENFORCE POLICY WITH CONFIDENCE.
把企業的 AI 使用準則，
轉成每一次請求的控制。
帶著你的模型風險準則、使用限制與覆核需求，討論適合企業的政策治理方式。