當 AI 成為決策者的幕僚：誰決定？誰挑戰？誰負責？
當決策者有了 AI
企業真正需要治理的，也許不是人工智慧，而是被 AI 放大的權力
生成式 AI 進入企業之後，我們談了很多風險。
資料外洩、模型幻覺、著作權、個資、偏誤、Prompt Injection，以及企業機敏資訊是否應該輸入大型語言模型。
然而，在實際參與企業資訊治理的過程中，我逐漸注意到另一個可能更難被察覺的問題：
AI 降低的不只是取得知識的成本，也正在降低決策者跨越專業分工的成本。
當一位決策者可以直接透過 AI 取得策略、財務、技術、資安甚至法遵觀點時，企業原本依靠不同專業角色形成的制衡，是否也正在一起被壓縮？
過去，企業經營者提出一項構想之後，往往需要經過不同專業角色的轉譯與挑戰。
經營者提出願景，專業主管釐清目的，PM 與 SA 建立需求，財務人員檢視效益，資安與法遵確認風險，最後才交由執行團隊落地。
這個過程很慢。
甚至令人感到官僚。
但我們可能忽略了一件事：
那些令人不耐煩的摩擦，本身就是治理的一部分。
一、當 AI 消除了「專業翻譯」的成本
生成式 AI 改變了這個結構。
今天，一位沒有特定技術背景的經營者，只要輸入：
「我們想利用 AI 改善公司的營運效率，你會怎麼規劃？」
幾分鐘之後，AI 就可以協助產生：
* 商業目標
* KPI
* ROI
* 需求規格
* 系統架構
* 30／60／90 天 Roadmap
* 風險分析
* 專案計畫
原本只是一個方向性的經營意圖，很快就可能被展開成一份看似完整的企業方案。
這是一項巨大的生產力進步。
過去需要不同專業角色共同完成的資訊整理、分析與轉譯工作，現在可能在數十分鐘內完成。
因此，領導者很自然會開始產生一個問題：
如果 AI 已經可以協助我完成策略、需求與技術分析，我為什麼還需要這麼多中間管理者？
這個問題並不荒謬。
甚至可能是未來企業組織扁平化的重要驅動力。
但問題在於：
AI 消除了資訊取得的障礙，並不代表它消除了治理存在的理由。
二、AI 可以提供 Decision Intelligence，卻不能自然取得 Decision Accountability
AI 可以產生答案。卻不承擔結果。
系統半夜故障，AI 不需要起床處理。
資安事件發生，AI 不需要向董事會說明。
專案延期，AI 不需要面對團隊。
跨部門發生衝突，AI 不承擔組織關係的成本。
監管機關或稽核人員提出問題時，AI 也不會成為最終責任人。
因此企業必須區分兩件事情：
Decision Intelligence
誰提供判斷所需的資訊？
以及：
Decision Accountability
誰為決策承擔責任？
生成式 AI 正快速提升前者。
但後者仍然屬於人與組織。
AI 可以參與決策。
但責任不能因此消失。
三、比 AI Hallucination 更值得警覺的：Decision Authority Illusion
生成式 AI 最廣為人知的風險之一，是 Hallucination。
模型可能以高度自信的方式產生錯誤內容，而這類風險在涉及重大決策的情境尤其值得注意。然而，企業治理可能還存在另一種不同層次的「幻覺」。我暫且將這種現象稱為：
Decision Authority Illusion — 決策權威幻覺
它不是指 AI 產生錯誤答案。而是當 AI 能快速替一項想法補上數據、架構、ROI、風險分析與執行計畫時，決策者可能逐漸產生一種感覺：「這個想法已經被專業分析驗證。」一位決策者原本可能只有一個模糊想法。
經過 AI 整理之後，突然出現：
市場分析、ROI、KPI、風險矩陣、Roadmap、甚至系統架構
原本只是「構想」的東西，開始具有「方案」的外觀。 但這裡存在一個非常重要的差異：Idea → Structured Argument，但 並不等於：Idea → Independent Validation。AI 將一項想法結構化，不等於 AI 證明了這項想法。
四、AI 可能是 Devil’s Advocate，也可能成為 Confirmation Bias Engine
生成式 AI 本身沒有必要支持決策者。
如果設計得當，它完全可以被要求：
「請反駁我的假設。」
「列出五個可能失敗的原因。」
「站在 CFO、CISO、營運主管與第一線使用者的角度挑戰這個方案。」
「什麼證據出現時，我應該停止這項計畫？」
此時 AI 是非常優秀的 Devil’s Advocate。
但反過來，如果使用者只是要求：
「幫我證明這個方案可行。」
「幫我算出它可能帶來多少 ROI。」
「幫我寫一份說服管理團隊的提案。」
AI 同樣可以完成。
此時 AI 就可能成為：Confirmation Bias Engine — 確認偏誤放大器。 因此真正需要治理的，不只是 AI Output。 還包括：人是用什麼問題要求 AI 產生這個 Output？
甚至更進一步：使用者究竟是在要求 AI 分析一個問題，還是在要求 AI 替既有答案尋找理由？
五、一條新的企業風險鏈正在形成
過去企業重大決策通常會經過不同專業角色。即使效率不高，仍存在天然的制衡。生成式 AI 則可能形成一條新的高速決策鏈： 領導者直覺 → AI 結構化 → AI 合理化 → 權威確認 → 組織執行
真正值得關注的是： 速度增加了，但 Challenge 是否同步增加？如果沒有，就可能形成：直覺 → AI 合理化 → 權威確認 → 快速執行 → 風險集中
從另一個角度來看，AI 正同時降低企業的多種成本：
Knowledge Cost ↓
Analysis Cost ↓
Documentation Cost ↓
Execution Cost ↓
這些都是值得歡迎的進步。 但企業必須小心另一項成本也被一起消除：Challenge Cost ↓。過去一項重大決策必須經過不同專業角色，不只是因為資訊分散在不同的人手上。也是因為不同角色天然具有不同的責任、立場與風險視角。
如果 AI 讓一位決策者可以同時模擬 CFO、CIO、CISO、法務、PM 與架構師的意見，我們就必須問： 這真的代表六個專業觀點都被納入了，還是同一個人的假設，被 AI 用六種專業語言重新表達？
因此 AI Governance 不應只治理 Model。也應治理：AI 如何參與企業決策。
六、真正成熟的治理，需要保留 Constructive Friction
企業數位轉型經常追求：
「減少流程。」
「縮短決策。」
「消除摩擦。」
「讓資訊直接到達決策者。」
這些方向本身沒有問題。 但風險治理提醒我們：並不是所有摩擦都應該被消除。
資安審查是一種摩擦。
Architecture Review 是一種摩擦。
Change Management 是一種摩擦。
法遵審查是一種摩擦。
財務投資評估也是一種摩擦。
甚至一位專業主管對最高決策者說：「我不同意。」這也是一種摩擦。
我把它稱為：Constructive Friction — 建設性摩擦。 它的目的不是拖慢企業。而是避免企業以極高速度往錯誤方向前進。 這與風險管理的精神並不衝突。
Open FAIR 強調建立共同的風險語言、提升分析的一致性，並讓風險決策能夠被 challenge 與 defend；在分析品質上，也重視 assumptions 與 rationale 的記錄與檢視。
所以 AI Governance 真正該問的也許不是：「如何利用 AI 消除所有決策摩擦？」 而是：「哪些摩擦可以由 AI 消除，哪些摩擦反而必須刻意保留？」
七、NIST AI RMF 提供了一個重要的思考方向
NIST AI RMF 將 AI Risk Management 分為四項核心功能：
1. GOVERN 建立政策、責任、風險文化與治理結構。
2. MAP 理解 AI 使用情境、目的、利害關係人與可能影響。
3. MEASURE 透過量化或質化方式理解 AI 的可信度、限制與風險。
4. MANAGE 依據風險優先順序進行處置、監控與改善。
其中真正值得注意的是 GOVERN 的位置。治理不是 AI 完成分析之後，最後才附加的一道審核程序。真正成熟的治理應該更早回答：誰可以使用？誰可以提出？誰可以挑戰？誰可以批准？誰必須負責？
換句話說：AI Governance 不只是治理 AI 做了什麼。
它也開始需要治理：人如何利用 AI 取得、強化與執行決策權力。
八、ISO/IEC 42001 的意義也不只是「管理 AI」
ISO/IEC 42001 將 AI 放入管理系統的概念中。
其核心精神與其他管理系統類似：不是要求企業找到一套永遠正確的技術答案，而是透過政策、角色與責任、風險管理、監督、評估與持續改善，建立可以被管理的組織機制。
換句話說：真正成熟的 AI Governance，不是相信 AI 不會犯錯，而是建立一個即使 AI 犯錯，組織仍能發現、修正並承擔責任的系統。
這與企業治理本身其實沒有太大的不同。問題從來不是：「我們能不能保證不犯錯？」而是：「當我們可能犯錯時，有沒有制度讓錯誤被看見？」
九、AI 時代，需要重新定義的不是 CIO，而是 Professional Challenge
如果 CIO 的價值只是：「把經營者的想法翻譯給 IT。」那麼生成式 AI 確實正在侵蝕這項價值。如果 CIO 的價值只是：「比經營者更懂資訊技術。」 這項資訊優勢也會快速縮小。
但企業中的 CIO、CFO、CISO、法務以及其他專業主管，從來不只有 Knowledge Function。他們還存在另一項不容易被看見的功能：Independent Challenge Function
AI 可以模擬 CFO、CIO、CISO、法務與架構師的觀點。但如果所有 AI 都由同一位決策者提問、提供背景、設定假設，最後再由同一位決策者選擇答案，那麼這些角色並沒有真正形成五個獨立的治理力量。
它們可能只是同一個權力中心的不同聲音。這也是為什麼，在三道模型的治理概念中，重點從來不是「誰比較重要、誰比較權威」，而是誰應該負責什麼，以及不同治理角色能否真正發揮功能。
因此，AI 時代專業主管真正稀缺的價值，可能逐漸從 Knowledge 轉向：
Independent Judgment
Challenge Authority
以及：
Accountability
未來企業最不缺的，可能就是答案。 真正稀缺的將是：判斷哪些答案值得執行。以及：在所有人都想快速執行的時候，有沒有人仍然有能力，也有權力，要求重新驗證。
十、從 Human in the Loop 走向 Human Accountability in the Loop
我們常談 Human in the Loop。但未來企業也許需要更進一步思考：Human Accountability in the Loop。人的存在，不應只是最後按下「Approve」。而應該能夠回答：
* 誰提出問題？
* 誰提供資料？
* AI 參與哪些分析？
* 使用了哪些假設？
* 哪些假設來自決策者？
* 是否要求 AI 提供反方論證？
* 哪些資訊尚未被驗證？
* 哪位專業角色具有 Challenge 權？
* 誰做 Go / No-Go？
* 誰承擔結果？
這一點其實也與 FAIR 的分析精神相通。
Open FAIR 的目的之一，就是讓組織能以共同語言理解風險、提升分析的一致性，並能夠 challenge and defend risk decisions。因此，我們或許可以把 AI 時代的企業決策治理，收斂成三個最基本的問題：
Decision Authority 誰決定？
Challenge Authority 誰有權要求證據、提出反對，甚至要求暫停？
Decision Accountability 誰承擔結果？
AI 可以存在於三者之間，提供 Decision Intelligence。但是成熟的治理，不應讓 Decision、Challenge 與 Accountability 因為 AI 的出現，全部坍縮到同一個權力中心。
結語：當答案變得廉價，判斷將變得昂貴
生成式 AI 正在快速降低知識、分析與方案產生的成本。這是一場不可逆的生產力革命。未來企業的管理層級可能減少。組織可能更加扁平。領導者也可能直接與 AI Agent 及執行團隊協作。這些改變未必是壞事。甚至可能讓企業變得更敏捷。
但當專業知識變得容易取得，真正稀缺的可能不再是：誰知道答案。
而是：誰能判斷答案值不值得執行。
以及：誰仍然有能力，也有權力，對答案提出質疑。
所以 AI 時代真正值得治理的，也許不只是人工智慧。而是當人工智慧讓每一位領導者都擁有近乎無限的顧問能力之後，我們是否仍然保留了一套制度，讓權力可以被挑戰、決策可以被驗證、責任可以被追溯。
企業最終仍然必須回答三個古老而簡單的問題：
誰決定？
誰挑戰？
誰負責？
AI 最大的企業風險，未必是它有一天擁有太大的權力。更值得警覺的，也許是——它讓原本已經擁有權力的人，第一次感覺自己不再需要任何人挑戰。