AIF-C01 領域 5：安全、合規與治理

必懂觀念

在整個 AI 工作流程實施最小權限，控制誰能呼叫模型、存取來源資料、管理提示及讀取日誌。保護傳輸中與靜態資料，並了解敏感資訊可能在哪裡進出系統。

• 用 IAM Role 與 Policy 限定權限，不共用憑證。
• 依資料分類選擇加密與金鑰控制。
• 記錄模型與應用活動，以利監控、事件回應與稽核。
• 檢查 Prompt Injection、敏感資料外洩及 Agent 權限過大。

常見考題判斷

安全、隱私與合規相關但不相同。技術上安全的系統仍可能違反保存、資料落地或同意要求；治理則定義擁有者、核准用途、監控及審查方式。