AI 事故需不需要對外揭露？先查法規義務，不是自行判斷
AI 事故是否需要對外公告或通報主管機關，屬於法規遵循判斷，本文提供個資法等相關官方條文的查詢入口與判斷方向，不給一定要或不用揭露的確定結論，複雜個案務必洽詢法務或主管機關再行動，切勿僅憑網路上的個人經驗分享就自行下結論。
先分清楚三種不同的揭露對象
對外揭露可能是指通知受影響的當事人、向主管機關通報，或是公開發布新聞稿說明。這三者的觸發條件、時限與內容要求都不一樣，先確認自己這次面對的具體情境屬於哪一種類型，才不會把需要通知當事人的義務，誤解成一定要公開對外發新聞稿，反而造成不必要的資訊擴散。三種情境也可能同時存在，這時應該分別列出各自的時限與內容要求，而不是用其中一種的標準套用到全部，混用標準容易讓對外說明的時機與內容彼此矛盾。
個資法第十二條是最常見的查證起點
個人資料保護法第十二條現行生效的條文規定，機構若違反本法規定、致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人；這是目前仍在適用的版本。該法在民國一百十四年十一月十一日經總統公布修正，新增了知悉即應通知當事人、並應向主管機關通報等義務，但修正條文的施行日期尚未確定，須由行政院另行公告；查證時要特別留意，全國法規資料庫網頁預設顯示的常是尚未施行的修正版本，需要另外點選頁面上的舊法規內容連結，才能看到目前實際生效的條文，不要誤把尚未施行的修正條文當成現在就要遵守的規定，查證時也建議直接記下查閱的日期，方便日後確認資訊是否已經過期。
罰則存在，但不代表每個事件都適用
個資法對非公務機關的罰鍰規定在第四十七條至第五十條之間，一般情形金額從新臺幣二萬元到二百萬元不等；若涉及未依規定訂定個人資料檔案安全維護計畫，且情節重大或屆期未改正，罰鍰上限可達一千五百萬元，並得按次處罰。罰則存在是提醒企業不能輕忽，但實際是否構成違反、罰鍰級距為何，仍要看具體事實是否符合條文要件，不能只因為發生事故就自動推定必須公告，也不能因為金額看起來不高就完全不當一回事，罰鍰以外，事故對客戶信任的影響通常才是更長期的成本。
沒有明確條文對應時，怎麼處理
如果查了現行條文與主管機關說明，仍找不到明確對應這次情境的規定，正確的做法是把已查到的資料與疑問整理清楚，交給法務或直接洽詢個人資料保護相關主管機關確認，而不是自行推論一個結論就對外公告或選擇沉默。查無明確依據不等於可以不處理，而是需要更謹慎地確認，並把查證過程完整留存，以備日後需要說明當時的判斷依據，這份紀錄本身也能證明公司當時是審慎處理而非置之不理。
對外說明的內容也要保守
即使確定需要對外說明，內容也應以已查證屬實的事實為主，例如受影響的資料類型與已採取的補救措施，避免加入尚未確認的原因推測或無法兌現的承諾。公平交易法第二十一條規定，事業不得在足以影響交易決定的事項上做出虛偽不實或引人錯誤的表示，對外聲明說得太滿，之後可能反而衍生額外的法律風險，因此草稿完成後最好再請法務看過一次用詞。
常見問題
只是內部系統小範圍異常，也要通知客戶嗎？要看是否符合個人資料被竊取、竄改、毀損、滅失或洩漏的情形，單純系統效能問題如果沒有涉及個人資料外洩，通常不在這條規定的範圍內，但實際判斷仍建議洽法務確認。通知當事人跟通報主管機關是同一件事嗎？不是，通知當事人是讓受影響的人知情，通報主管機關則是依規定向政府單位陳報，兩者對象與內容可能不同，需要分別確認。找不到律師的情況下，可以先做什麼？可以先把事實、時間線與已查到的條文整理成書面資料，方便之後諮詢時能快速說明情況，這一步本身不構成法律判斷，但能加快後續處理的速度。個資法修正案什麼時候會正式上路？目前公布的修正條文施行日期尚未確定，須由行政院另行公告，企業應持續留意官方最新消息，不要以未施行的條文作為現在的判斷依據。已經對外說明過一次，後來發現內容有誤怎麼辦？應儘快發布更正說明，清楚指出哪部分修正，比放著不處理更能維持公司的可信度。多個主管機關都可能有管轄權時，要分別通報嗎？不同主管機關的權責範圍可能重疊也可能不同，建議整理清楚事實後一併請教法務，確認需要通報的對象是否不只一個。
現在可以做的小練習
把目前查到的個資法第十二條全文與查證日期存成一份公司內部參考文件，標明這不是法律意見，遇到事故請洽法務，並定期回頭確認條文是否已有新的修正或生效狀態變化。
官方參考與延伸學習
- 個人資料保護法第 12 條－114 年 11 月 11 日修正條文（尚未施行，全國法規資料庫）
- 個人資料保護法第 12 條現行生效條文（112 年 5 月 31 日版，全國法規資料庫舊法規內容）
- 個人資料保護委員會籌備處：個資法修正公布說明
- 公平交易法第 21 條（全國法規資料庫）
- 全國法規資料庫
延伸閱讀
- 企業用 AI 出包怎麼辦？從誤答、外洩到客訴的處理順序
- 疑似 AI 資料外洩：先封鎖存取、再查範圍，不是先發公告
- AI 生成內容被指侵權：先查授權來源，再談公開回應
- 企業 AI 錯誤紀錄怎麼寫？把抱怨變成可追查的改善資料