AI 常見問題

所有機構，包括行政部門、高等教育和獨立機構，皆可從您目前造訪的 VITA AI 網頁開始；亦可參考 VITA AI 政策與技術標準、其機構 AI 投資組合負責人，及/或 VITA Commonwealth Enterprise Architecture (EA) 團隊。

若有此 FAQ 以外的問題，請聯絡您的 VITA Commonwealth 技術策略合作夥伴 (CTSP)，或 VITA EA 團隊。

如有其他問題，亦可傳送至：vccc@vita.virginia.gov。 

如有關於特定 AI 技術的技術問題，請聯絡您指定的 VITA 企業架構師。

AI 功能正迅速成為整個 IT 領域軟體和服務的標準功能，包括許多您機構已經在使用的產品。隨著供應商擴展或更新其產品，各機構應對現有工具中引入的新 AI 組件或功能保持警惕。

如有疑問，請詢問您的解決方案負責人或供應商。

根據 人工智慧（AI）利用政策，所有 Executive Branch agencies 應註冊其內部和外部 AI 系統的使用，以便進行監督與核准，從而確保此類系統的可信、安全與可靠使用。

已過時 – 僅供參考 – 人工智慧註冊與核准目前是一個多步驟流程，需要在 Archer 應用程式中註冊用例，一旦核准，也需要輸入至 VITA 的 Planview CTP 應用程式以進行必要的核准（例如：您的機構負責人和您的秘書（僅限外部 AI））。

如果您對如何在 Archer 應用程式中註冊您的 AI 技術有任何疑問，請聯絡您所屬機構指定的 EA，他們將很樂意為您提供協助。如果您對 CTP/Planview 有任何疑問，請聯絡您所屬機構指定的 ITIMD 分析師。

儘管沒有針對 AI 既有用途的豁免，但並非所有用途都需要記錄在登錄檔中。如有疑問，請詢問您指定的機構 EA。

• 如果 AI 解決方案符合以下三個條件，則不需要註冊：

• 內部朝向
• 不使用個人數據
• 不包含在生產系統中（非生產系統的例子是沙盒，開發和測試系統僅使用合成或公開可用的數據）

• 如果 AI 解決方案符合下列任何條件，則需要註冊：

• 外面
• 使用人員資料
• 用於生產系統中
• 支援機構的關鍵任務或業務重要流程
• 包括 SEC530 資訊安全標準所定義的敏感資料
• 需要審核以進行雲端服務評估

AI 註冊與核准流程和 COV RAMP 滿足相關但獨立的目的，且它們必須按特定順序進行，以保護各機構免於不必要的成本與工作負擔。

視情況而定。

不

視情況而定。

供應商如何使用該 AI，以及該用途是否會影響 Commonwealth？

如果供應商嚴格將 AI 用於內部、非英聯邦目的（例如，員工使用像 Claude 這樣的 AI 工具來分析不涉及英聯邦資料或服務的電子郵件），則無需進行披露或註冊。

然而，當供應商的 AI 使用直接支援 Commonwealth 業務流程、影響機構使命或具有面向公眾的影響時，則需要進行註冊。這包括任何影響決策、流程、資料處理或提供給 Commonwealth 或其公民之服務的 AI 功能。

註冊責任也取決於 AI 使用的來源方式：

如果 VITA 要求或需要供應商使用特定的 AI 功能，則 VITA 有責任確保該 AI 使用案例已輸入至登錄檔中。如果供應商提議在向 VITA 或任何機構提供服務時使用 AI，則供應商必須啟動註冊流程，並與 VITA 合作完成該流程。

簡而言之，任何涉及 Commonwealth 資料、系統或業務功能的供應商 AI 使用行為都必須進行註冊，無論是由供應商發起還是由 VITA 指導。

任何由行政部門機構使用或採購的 AI 系統，包括獨立式、嵌入式或生成式 AI，都必須在兩者中進行註冊。

Ardoq 中的文件記錄應在規劃階段、ITIM 提交之前開始。及早記錄文件可確保：

• 與企業架構標準保持一致
• 納入風險審查流程
• 對 VITA 和指定企業架構師的透明度

隨後，必須在從採購到部署和除役的整個生命週期中進行更新。

各機構應包含：

所有必填欄位中均有足夠的資訊，以完整定義提交核准的使用案例。

任何欄位皆不得留白。

各機構必須在部署前將新的 AI 系統註冊到 COV AI 登記冊中，並透過 Ardoq 提交詳細資訊。

每年都會進行更新，以記錄任何變更並確保與 COV 政策和標準持續保持一致。

機構 IT 代表 (AITR) 和資訊安全官 (ISO) 負責：

• 確保條目完整且為最新狀態，
• 追蹤並報告使用指標，
• 與 VITA 和 CIO 協調任何更新或變更。

各機構還必須指派一名 AI 資料治理官員，以監督文件記錄並維持年度審計。

各機構必須對高風險 AI 系統進行年度審計，以確認：

• 數據最小化做法
• 同意管理
• 日誌與存取追蹤
• 遵守去識別化、偏差緩解與安全協定

審計結果必須提交給 VITA 和行政管理部長。

1.在預先規劃、採購和正式上線等里程碑節點

2.  每當關鍵屬性變更時：所有者、資料分類、生命週期狀態

3.在 ITIM 季度更新期間，以確保架構準確且符合規範

僅使用合成/公開數據的沙盒、測試或 AI 免於正式註冊/文件記錄。 但如果該系統：

• 是否計劃用於生產用途，或
• 支援關鍵任務流程，或
• 需要雲端服務審查

然後需要進行 CTP/Archer 註冊以及 Ardoq 文件記錄。

並非完全獨立。根據政策，AI 系統還必須：

1. 已在 CTP/Planview 中註冊
2. 已登入 Archer 進行風險清單盤點
3. 由機構負責人核准（若為外部 AI，則需秘書核准）並反映在 CTP 和 Archer 中
4. 記錄於 Ardoq 中，作為企業級架構治理的一部分

Ardoq 文件是對這些步驟的補充，而非取代。

如果您的 AI 解決方案涉及任何形式的人員數據，例如個人、敏感或可識別資訊，您的機構必須能夠清楚解釋該數據是如何被收集、使用、保護和管理的。您的文件和核准請求至少應包含：

任何由 Commonwealth of Virginia 機構開發的 AI 解決方案都必須清楚證明其擁有使用訓練中所涉及之每個資料集的權限，包括來自公開來源的資料。各機構必須能夠識別並記錄所有使用的資料集，解釋每個資料集為何適用，並描述該資料如何對 AI 系統的運作和輸出做出貢獻。

是的

可以使用 AI 生成的程式碼，但必須在嚴格的人工監督下進行。任何由 AI 工具產出的程式碼在納入機構系統之前，都必須經過徹底的審查、驗證和測試。

登錄檔的即時性意味著 Commonwealth 的 AI 登錄檔必須始終反映機構所使用的每一項 AI 系統的準確且最新的清單，包括新部署的解決方案、長期存在的舊有系統、嵌入式功能以及生成式工具。這是一份隨時反映機構真實 IT 組合的動態紀錄。

原因：
因為《人工智慧利用政策》要求完整記錄各機構如何使用 AI，以確保透明度、監督、人類驗證及合乎倫理的部署。最新的登錄檔對於履行這些義務至關重要。 

不

任何支援關鍵任務或業務重要功能、處理公民/企業資料，或需要雲端審查的現有 AI 系統都必須註冊，即使是多年前部署的系統也不例外。

原因：
核准流程適用於任何內部或外部 AI 系統，且政策規定各機構必須記錄其 IT 組合中 AI 的使用位置與方式，舊有技術亦不例外。 

每當識別、修改、替換或新使用 AI 系統時，必須持續進行更新。

原因：
機構治理要求規定註冊條目必須保持完整且最新，年度審計亦依賴於準確的文件紀錄。持續維護可防止可能削弱監管的缺口。 

將註冊限制為純新增系統，會導致嵌入式、繼承式或舊有 AI 無法被追蹤。這會在合規性、人工監督審查、風險管理和公民透明度方面造成盲點。

原因：
該政策強調記錄所有 AI 使用情況，確保無論系統何時建立，都能進行負責任且合乎道德的部署。AI 責任同樣適用於獨立式、嵌入式或生成式 AI。 

請立即在 AI 登錄檔中註冊，完成必要的核准，並更新相關的治理文件。

原因：
所有 AI 系統都必須經過核准工作流程並進行記錄，以便 VITA 和秘書處審查人員能夠評估公平性、人類監督、資料管理和風險。 

機構 IT 代表 (AITR)、資訊安全官 (ISO)、指定的機構治理人員以及 VITA 的企業架構部門，在發現、記錄、審核和維護 AI 條目方面皆扮演共同的角色。

原因：
該政策賦予各機構記錄 AI 使用情況、完成核准以及保持登記冊條目更新的責任，而 VITA 則負責維護記錄並提供監督。 

稽核旨在驗證登記項目是否準確、完整，並與實際系統使用情況一致。調查結果有助於識別差距，並確保治理資料處於最新狀態。

原因：
高風險系統的年度審計和持續的機構治理審查取決於完整的登記冊條目，且結果必須提交給 VITA 和行政部長。 

是的，但僅限於系統嚴格處於非生產環境（沙箱、開發或測試）且使用合成或公開資料的情況。

原因：
「嵌入於標準商業產品中的 AI」之核准豁免不適用於實際用於生產環境的系統。即使不需要註冊，治理要求仍強制規定必須掌握清單資訊。 

1. 對系統和應用程式執行全面掃描，以識別嵌入式或舊有 AI。
2. 區分生產與非生產用途。
3. 註冊所有生產 AI 系統。
4. 完成 Planview CTP 核准。
5. 進行定期內部審查與年度審計。
6. 維護機構治理下所需的紀錄文件。

原因：
這些行動符合關於文件、核准工作流程、審計及治理要求的政策章節。 

它確保了全州的一致性、合乎道德的使用、面向公民系統的透明度，以及對「人工智慧 (AI) 利用政策」的統一合規性。

原因：
該政策要求各機構記錄 AI 的使用地點與方式，並向 VITA 提供治理相關資料。目前的註冊項目支援負責任且一致的全州監督。 

各機構無需為嵌入於標準商業產品中的 AI 提交登記核准。然而，各機構仍必須透過清單盤點實務來保持對嵌入式 AI 的了解。

原因：
核准流程明確豁免了標準商用軟體中嵌入的 AI，但仍需對第三方資源進行清單管理。 

目前的登錄檔有助於各機構追蹤第三方 AI 的使用位置，以便他們評估供應商測試、文件、保固、數據使用限制和安全防護措施。

原因：
該政策強制要求進行供應商審查、測試審核、合約要求和庫存管理，以降低第三方風險。 

它協助各機構識別所有處理 Commonwealth 資料的 AI 系統，以確保符合《政府資料收集與傳播實務法》(Government Data Collection and Dissemination Practices Act)、資料最小化、保留期限及安全指標的要求。

原因：
該政策要求採取嚴格的隱私和數據保護措施，並對高風險系統進行年度審計，這兩者都取決於確切了解哪些 AI 系統存在。 

它使機構能夠透過明確識別哪些系統會產生影響公民的決策、面向公眾的內容或自動化輸出，來滿足揭露要求。

原因：
該政策要求對影響公民的外部 AI 系統進行公開揭露、內容標記、使用前通知及透明化。準確的登記項目可支持這些義務。 

是的。各機構必須了解哪些系統使用 AI，以便將正確的強制性免責聲明語言應用於輸出、決策和內容。

原因：
該政策規定，每當使用 AI 來生成或協助輸出時，必須包含特定的免責聲明用語和透明度規則。準確的登錄檔意識至關重要。

最新的登記冊條目使機構和審查人員能夠評估每個 AI 系統的人工驗證、監督和可解釋性，從而防止未經監控的「黑箱」決策。

原因：
該政策禁止無法解釋的決策邏輯，並要求人類監督以驗證結果並解決意外後果。 

它確保每個 AI 系統（包括舊系統）都具有明確的宗旨、公共利益和支持文件（包括 RIA 審查），並符合現代標準。

原因：
該政策要求每個 AI 系統必須證明其對公民的價值，並記錄在商業案例流程中評估過的替代方案。 

維護完整的登錄檔條目，透過建立跨機構 AI 系統的統一權威資料集，減少了協調上的落差。

原因：
機構治理要求強調清晰的文件記錄、最新的追蹤，以及向 VITA 提供紀錄的可用性，所有這些都有助於減輕碎片化。 

完整的登記冊可確保各機構能夠滿足審計要求，證明符合政策標準，並向 VITA 和政策領導層提供準確的治理資料。

原因：
各機構必須對高風險系統進行年度審計、追蹤 AI 使用情況、維護文件，並將結果提交給 VITA 和行政秘書，這些工作皆取決於註冊表的準確性。