誰准它動錢、動客戶資料：權限表與出事時的那個人，責任不會落在 agent 身上

40% 的公司已經讓 AI 自己動手，但四分之一說不出出事誰負責

「AI 幫公司做事」已經從試辦走進日常。Deloitte 2026 年問了全球 24 國、3,235 位企業主管，其中 40% 說公司已經允許 AI 在不用人批准的情況下執行決策或動作，至少到中等程度。意思就是這些公司的 agent 拿到了自己按下送出的權限。同一份調查裡，23% 的主管承認，AI 產生負面結果時，責任歸誰說不清楚。

兩個數字放在一起看，問題就出來了。放手的人比想清楚責任的人多。這篇文章處理的就是這件事，權限表怎麼寫、怎麼釘進系統、出事那天責任怎麼回到一個有名有姓的人身上。

同一份調查還有一個數字值得一起看，81% 的受訪者說 AI 讓決策與執行變快了。變快本身是好事，但錯誤發生的速度也跟著變快。以前一份文件要蓋三個章，每個章都是一次人工檢查。現在 AI 產出後直接送出，中間那些檢查點不見了。

多數公司導入 agent 時，先談它能做什麼，很少先問它做完之後誰簽名。權限給了，流程接了，責任卻懸在半空中。Forrester 2026 年的資安調查裡，49% 的資安決策者把能自己動手的 agent 列為顧慮（Forrester，2026-06-03），這說明風險不是沒人看到，只是還沒寫進制度。

「它自己會判斷」是最危險的一句話

「它自己會判斷」聽起來像讚美，其實是一句風險宣告。agent 會照你給的規則執行，遇到規則沒寫到的情況就停下來，或者照自己的判斷亂做。它沒有法律人格，不能簽名，也不能替公司去開會。歐盟 AI Act 對高風險系統只要求一件事，必須有人盯得住它，而這個盯的人只能是自然人。微軟的 agent 身分治理文件也把負責人寫成硬要求（Microsoft，2025）。

真正的問題很單純，它判斷完之後，誰要為那個判斷站出來。找不到這個人，那 40% 的放手就是把風險往外推。

權限表怎麼寫：從「它能看什麼」到「它能動什麼」

把工作交給 agent，多數人先寫它要做的事。真正難寫的那一頁是它能碰什麼。權限常被當成一個開關，開了全開，關了什麼都不能用，結果不是綁手綁腳就是一路通行。比較合理的做法像給新同事開系統帳號，一項一項列出來，每一級配不同的門檻。

四層權限分級：讀、寫、送、付

第一級是讀，看得到資料但不能改，查詢與摘要多半停在這裡。第二級是寫，可以新增或修改內部資料，例如把會議紀錄寫進共用文件，這時要有人事後抽查。第三級是送，東西會離開公司，寄信給客戶、發布公告、回覆客訴都算，所以送出前必須有人看過。第四級是付，動錢、下訂、退款、簽約，門檻最高，通常要兩個人複核。

越往後走，人介入的密度越高。一張表把哪個 agent、哪一級、誰核准列清楚，就夠用了。

三個硬規則：負責人、到期日、留痕跡

分級之後要綁三條規則。第一，每個 agent 要有具名負責人，寫名字，不要寫部門，因為部門不會被叫進會議室。微軟的治理文件把這條列成硬要求，agent 在整個生命週期都要有人提供監督（Microsoft，2025）。第二，每項權限要有到期日，時間到自動失效，要用再申請，同一份文件也要求存取不得長於所需時間。第三，每個動作留下可回查的紀錄，誰在什麼時候核准了什麼、依據哪一條規則。

至於要放多寬，NIST 的 AI 風險管理框架給了個好用的說法，人與 AI 的分工是一條光譜，從全自動到全人工，按風險挑位置，不必二選一（NIST，2023）。落到實務就是讀全自動、寫抽查、送事前看、付兩人簽。

實作：把權限釘在系統裡，不是釘在公告欄

公告欄上的權限規定，貼上去那天大家看過一次，之後就變成牆上的裝飾。要讓限制真的生效，得把它寫進系統的預設值，讓人在做事時自然撞到邊界，而不是靠他記得。

Claude Code 的預設值：唯讀開場、目錄邊界、提示疲勞

Anthropic 的 Claude Code 就是這樣設計的。它開場預設唯讀，只能看不能改，要動檔案、跑指令、執行測試，都得先問過人（Anthropic，2025）。它同時設了工作目錄邊界，agent 只能在自己被指定的資料夾裡活動，外面再包一層沙箱，把執行環境隔開。限制寫在工具裡面，想繞也繞不過去。

不過一直跳確認視窗也會出事。使用者按到第十次同意之後，手指會比腦袋快，這種提示疲勞本身就是漏洞。官方文件因此建議用允許清單分攤，把重複、低風險的動作先列進去，讓注意力留給真正需要判斷的那幾次。驗收的方法也一樣，要看環境終態，不能只聽 agent 回報，這篇agent 說它做完了，你要怎麼知道真的做完：看環境終態，不看它的自我報告寫的就是怎麼查。

財報解析系統的三道限制怎麼設計

我們替客戶做過一套財報解析教學系統，資料來源是公開財報，每年大約 225 到 240 家醫院，三年下來累積七百到一千兩百筆。麻煩在格式，有的檔案可以直接複製文字，有的字型編碼壞掉，有的是整份掃描圖；科目名稱有兩套寫法，單位也有千元與元兩種。以前人工一份一份抄，上百份要整理很久。

系統上線時，客戶交代了三道限制，正好對應三種風險。第一道是學生上傳的檔案只供當次對照，不寫入資料庫，別人的資料不會留在系統裡。第二道是每個工作階段限定對話次數，用量框住了，教學節奏也可控。第三道是只能看本院歷年與同業對照，不能一次抓走全庫，視野有範圍，資料就不會被整碗端走。

這三條站得住，是因為功能單一、範圍清楚、驗收標準具體。反過來說，做一個什麼都能聊的助理，權限永遠開不完，也永遠驗不完。這也是我們在一個職位拆成十二張工作單：把工作交給 agent 之前要先做的事，從寫職務說明書開始裡先談職務說明的原因。

出事那天：責任怎麼回到那個人身上

導入 agent 的討論多半停在它能做什麼，很少先問它做錯事那天，誰要進會議室。agent 沒有法律人格，不能簽名、蓋章、出庭，所以賠償、對客戶說明、對主管機關回覆，終究落在公司以及公司指定的那一位自然人身上。真正難的是平常就把證據留下來。

三種出事劇本與對應的舉證清單

實務上會出事的情境多落在三類。動錢，例如超額退款或重複下單；漏客戶資料，例如 A 客戶的文件留在 B 客戶的工作階段；做錯判斷，例如不該扣抵的憑證被判成可扣抵。三種的共同點是事後第一個問題都一樣，當時誰核准、依據哪條規則、留下什麼紀錄。

這些東西平常沒留，內部調查會卡住，對外說明只剩道歉。「是 AI 自己決定的」這句話在調查桌上站不住腳，工具是你選的、權限是你開的、規則是你寫的，客戶與主管機關看的就是這條鏈條。把 agent 當新同事管理的好處在這裡，職務說明、權限表、覆核人一開始就寫明白，出事那天責任自然回到被指名的人身上，不會消失在對話框裡。

替代方案有限公司觀點：權限給得剛剛好，它才真的像同事

上一章談的是出事後那條責任鏈，這一章換個角度，講我們怎麼在事前把權限分好。agent 像不像同事，取決於權限給得剛剛好。給太少，它永遠只能在你面前回答問題；給太多，它會在你沒看著的時候做掉不該做的事。我們公司目前跑七個 agent，這套分法是繳過學費才定下來的。

我們七個 agent 的權限怎麼分

分法很簡單，就是分內外、分主動與被動。七個裡面，兩個專門接我直接交代的任務，一個對內負責營運、一個對外負責業務，剩下三個處理重型任務。前四個屬於「我叫它做」的被動角色，後三個是「時間到就該動」的主動角色，兩邊的權限刻意切開，主動那三個只能碰自己那條流程，不能跨進客戶資料。

執行長常講一句話，用了 AI 卻沒有給權限，就會一直停在對話框裡問答。我們看過太多企業卡在這裡。所以我們把權限集中在自己本機的機器上，雲端只留必要的模型呼叫。純地端養不起、純雲端不敢放，端雲混合是我們目前認為划算的做法。

流程上，人只做前期規劃與後期檢討，中間盡量不插手，因為一插手效率就掉，專案幾乎一定失敗。台灣企業最常犯的兩個錯，我們的觀察是老闆想一次到位，以及不願意給權限。前者讓範圍失控，後者讓 agent 永遠停在聊天階段。做得成的通常是單一功能的 agent，權限設好、只負責那幾件事。專案為什麼卡住，我們在買了最強的模型，專案還是死掉：企業 AI 卡住的三個地方，多半是流程、權限與驗收裡拆得比較細。

也要誠實說，我們踩過的雷多半來自模型的審美與品味，跟權限無關，選後訓練完整的模型差很多。遇到高度機敏的資料，要嘛自己處理，要嘛挑世界智力指數前三的模型。

常見問題 FAQ

Q：不給 agent 權限，它好像什麼都做不了；給了又怕它亂動錢和客戶資料，到底該怎麼拿捏？
關鍵在分級，一次只給它做那一件事需要的權限。文章裡那個財報解析系統就是範例，三道限制把權限縮到教學真正需要的範圍。微軟的治理文件也要求兩件事，agent 在整個生命週期要有一位負責人，存取權限不得超過所需的時間。先從單一功能、範圍清楚的 agent 開始，不要一次做太複雜。

Q：agent 自己做了決定還出了事，責任算誰的？可以叫它負責嗎？
不行，agent 不能簽名，也不能負責。出事時負責的是公司，以及那位被指派的自然人。Deloitte 2026 年的調查顯示，40% 的企業已允許 AI 不用人批准就執行決策，但 23% 說出事時責任歸屬不清。所以導入時就要指定負責人，把誰核准這個權限、誰驗收這個結果寫下來。權限開到哪裡，那個人的名字就要簽到哪裡。

Q：權限開出去之後，我要怎麼知道它沒有偷偷亂來？
靠預設值跟查核，不要靠它自己回報。Claude Code 的權限架構是預設最小權限，開場唯讀，要改檔、跑測試、執行指令都得先問，還有工作目錄邊界與沙箱。NIST 的框架則提醒，監督強度要依風險分級，有些系統不需要人盯，有些必須。實務上就看環境終態，例如資料有沒有真的寫進資料庫，而不是聽 agent 說它完成了。Forrester 2026 年的資安調查裡，49% 的資安決策者把 agentic AI 列為顧慮，這個數字值得放在權限表旁邊一起看。

📩 有任何問題或需要協助，歡迎聯絡我們：[email protected]