香港新兴人工智能管治框架

香港政府于2026年初重申，将继续以现行制度作为规管人工智能的主要手段，涵盖个人资料、金融监管、版权及消费者保障，并辅以行业指引，而非另立单一的人工智能法典。换言之，《个人资料（私隐）条例》、《证券及期货条例》所载的发牌及操守规定、反洗钱及反恐融资规则，以及普通法责任，仍是规管人工智能应用的“硬法律”主要来源。现阶段的渐进式监管着力于管治框架、指引及监管工具，以引导机构在现有法律框架内负责任地部署人工智能。

人工智能道德框架

《人工智能道德框架》的最初版本由数字政策办公室制定，旨在指导各政府部门规划、设计和实施人工智能及大数据项目，并明确将道德考量纳入人工智能生命周期的每一阶段。2025年12月，该框架获进一步推广，供所有在香港营运人工智能系统的机构参考。

《人工智能道德框架》订明12项人工智能道德原则，按主题划分为：透明及可解释；可靠、稳健及安全；公平；多元与包容；人为监督；合法与合规；数据私隐；安全；问责；有益的人工智能；合作与开放；以及可持续性与公正转型。

在治理层面尤为关键的是，《人工智能道德框架》提出了人工智能的“三道防线”管治模式：第一道防线为项目团队，负责人工智能应用的设计、风险评估及初步风险缓释；第二道防线由项目督导委员会和项目保证小组组成，负责独立审查与最终审批；第三道防线涉及资讯科技委员会/首席资讯官（可视乎情况加入外部顾问），负责持续监察人工智能策略及风险。

生成式人工智能指引

《香港生成式人工智能技术及应用指引》（2025年12月更新，下称《生成式人工智能指引》）由数字政策办公室于2025年4月发布，并于2026年持续优化。该指引汲取香港生成式人工智能研发中心的工作成果，务求以切合本地情况的方式，兼顾人工智能的创新、应用与责任。

《生成式人工智能指引》厘定三类主要持份者，分别为技术开发者（负责构建及训练模型）、服务提供者（包括在面向客户的应用中采用生成式人工智能的平台），以及服务使用者（将生成式人工智能服务用于个人或专业目的）。指引继而从五个维度构建人工智能治理框架，涵盖个人资料私隐、知识产权、犯罪防治、可靠性及可信度、系统安全，并要求各持份者据此评估使用场景。

就政策与监管层面而言，该指引的一大特点是构建起四级风险分类系统，分别为不可接受风险、高风险、有限风险及低风险，并辅以对应的治理策略。当中，对于具有“不可接受风险”的系统，应予以全面禁止并追究相应法律责任；属于“高风险”的用例须通过合规评估，设置人为监督机制，并接受持续监察；属于“有限风险”的系统着重自我评估与透明度责任；“低风险”应用则可采用较为宽松的企业自我认证模式。

《生成式人工智能指引》虽无直接法律约束力，但其所确立的架构已见诸政府各范畴的公开讲话及行业指引，预料将左右监管机构今后对人工智能相关风险的定性及监督方式。

“可信人工智能实践”

2026年1月30日，数字政策办公室发表题为“香港人工智能管治——可信人工智能实践：管治与第三方风险管理”的简报，对特区政府的人工智能政策思路作出适时更新与整合。简报重申，人工智能发展须“以安全为引领、以应用为驱动”，并确立人工智能管治的三大宗旨，即鼓励创新人工智能应用、缓减人工智能相关风险，以及推动人工智能在香港的广泛应用与进步。

根据2026年发布的资料，《人工智能道德框架》和《生成式人工智能指引》构成上述方针的核心支柱，并据此对焦各行业已经出台或正在制定的指引，当中涵盖司法机关指引、金融市场政策声明，以及针对人工智能应用的审慎监理原则。

2026年发布的资料特别强调第三方风险管理，敦促各机构将人工智能供应商、模型提供者及其他外部合作伙伴纳入风险组合的整体考量，要求严谨的尽职调查、合约约束、持续监测及明确的责任分配。文件并非仅聚焦内部模型风险，而是侧重第三方人工智能风险。例如，若依赖某境外模型供应商，其训练数据或使机构面临版权或数据私隐风险，模型更新亦可能引入新的偏见或安全隐患。

展望

香港现行的人工智能框架应被视为人工智能管治的基准。董事会及高级管理层须展现清晰的监督职能，建立“三道防线”架构，并将各项人工智能用例与框架的风险层级及管治维度逐一对应并记录。与此同时，企业应从严细化供应商及外判安排，确保相关安排全面覆盖数据保护、知识产权、系统安全、可靠性、偏见缓减、事故通报及审计权等方面。该框架虽无强制约束力，但监管机构、交易对手乃至法院日后判断在港部署人工智能是否尽责合理时，极有可能将其引为参照标准。

杨杨朱律师事务所合伙人胡铭深、律师符曼姿