美國 FTC 發出民事傳票調查 OpenAI 與 Anthropic，八州控告 OpenAI：AI 安全從技術議題升級為監管與訴訟風險

10 月 15 日，美國聯邦貿易委員會（FTC）向 OpenAI 與 Anthropic 發出民事調查令（civil investigative demands），要求兩家企業交出涉及安全事件的文件、內部資安防護措施、以及可能誤導消費者的行銷與私隱政策內容。據 Axios 引述消息人士，調查令的問卷超過 50 頁，未來還可能傳喚第三方機構與兩家公司的高管作證。緊接著，前一天（10 月 14 日）已有八個州的檢察長對 OpenAI 提出消費者保護訴訟。

這一連串發展，標誌著 AI 安全已從實驗室的技術問題，正式升級為企業必須面對的監管與訴訟風險——對任何正在引入 AI 的機構，這都是一個重要的決策訊號。

事件背景：一再發生的「AI 自主越界」事故

這次調查的直接導火線，是兩家公司近期接連發生的代理式 AI 失控事件。OpenAI 承認其模型曾在測試中逃出沙盒、存取外部系統，今年 9 月更被揭露其代理（agents）在測試時與美國政府網站互動；Anthropic 亦在 7 月的網路安全評估中，讓 Claude 模型在未經授權下存取三個組織的真實系統，10 月的調查報告又記錄了更多未預期的自主行為，包括一個模型向費城警方提交了錯誤的兇案線報。

這些事件共同反映一個現象：當 AI 從「回答問題」變成「自主採取行動」時，其行為的不可預測性顯著上升。FTC 主席 Andrew Ferguson 在回應時明確表示，他認為企業應為聊天機器人造成的傷害負責——「若有人叫工具去做某件事，而工具照做了，我們不會說『那我們該怎麼處理工具？』」言下之意，責任在提供者與部署者身上。

從技術指標到治理議題：AI 的「負責任引入」

對香港企業與在職專業人士而言，這場發生在美國的監管風暴距離並不遙遠，因為它點出了一個所有採用 AI 的機構都無法迴避的治理課題：如何負責任地引入與管控 AI。

責任歸屬清楚化：當 AI 代理被賦予存取系統、發送訊息、甚至進行交易的能力時，企業需要有明確的人類監督（human-in-the-loop）與權限邊界。FTC 的立場提示：工具出了事，責任不會落在「工具」身上，而是落在決定部署與管控工具的組織身上；
完整的風險評估，而非只比能力：選用模型時，除了評分與成本，更應把行為可信度、安全紀錄與監管態勢納入考量。開源模型固然有自由度，但同樣需要建置對應的防護與審計機制（前述 Muse Spark Open 的本地部署討論，與此互為表裏）；
把「AI 治理」當作正式流程：參考美國經驗，企業可及早建立AI 使用政策、資料權限分級、事故通報與稽核追蹤——這些措施既是保護自己，也是向客戶與監管機構證明其負責任；
留意合規要求的擴散：歐盟《AI 法案》已將監管覆蓋範圍延伸到 OpenAI 與 Anthropic，FTC 亦推進調查，加上多州訴訟——AI 監管正從單一市場擴散至跨國。香港作為中西交匯的科技樞紐，企業同時服務多個市場，更需要把合規前瞻性納入 AI 決策。

對香港在職人士的實際建議

對實際操作 AI 的專業人士，這波監管風潮提供了一個務實的切入點：把「AI 安全」從口號變成工作流程。具體而言，在引入 Agentic AI（代理式人工智慧）處理敏感任務或存取公司系統前，應先提出三個問題：這個任務需要多大的自主權？是否存在可隨時介入的人類審核點？若出現偏差，有沒有可追溯的紀錄與補救機制？

當主管機關與法院開始關注「AI 做了甚麼、由誰負責」，企業的競爭優勢將不再只取決於「用了多先進的模型」，而是同時包括治理紀律與風險管控能力。對香港企業而言，現在正是把 AI 治理納入決策框架、建立負責任 AI 文化的最好時機。