法律要求留下紀錄。那麼，由誰確認?

上個月，歐盟延後了AI法高風險義務的適用時程。獨立型系統移到2027年12月，內建於受規範產品的系統移到2028年8月。而且這與其說是確定的日期，不如說是最後期限——只要執委會確認標準已經備妥，時程仍有可能提前。

消息傳出後，許多組織鬆了一口氣。行事曆上圈起來的日子往後挪了一年多，這是很自然的反應。

不過，看看它為什麼被延後，現在要放心可能還太早。

先看看延後的理由

主要理由是，用於符合性評估的調和技術標準尚未備妥。在「要依據什麼來證明符合」都還沒定下來的情況下就設定期限，企業等於要去符合一個並不存在的基準。主管機關承認了這個為難之處，於是多給了一些時間。

制定標準本來就不容易，何況對象至今仍在變動。所以這項決定本身並不是問題所在。

只是有一件事因此變得清楚：往後挪的是期限，不是問題本身。

「要拿什麼來證明」並不是法規創造出來的問題。法規只是為這個問題訂下了回答的期限，期限往後挪並不會讓問題消失。反過來說，連主管機關自己都還沒定出答案這件事，等於正式確認了這個問題比想像中更難。

一種就是各位剛才看到的，延後。但也有無法延後的條文。同一部法律的透明性義務依原訂時程在8月生效，而在那裡發生的是另一件事。

「要做什麼」定了，「怎麼做」卻是空的，於是各業者依自己的解讀開始執行。而在公告執行內容的同時，他們也一併說明了限制。有些標記在轉換檔案格式或重新儲存後可能消失，有些標記可能出現在原本由人撰寫的文字上，經過大量編輯後也可能無法辨識。

提出指引的一方情況也差不多。單一方法無法滿足法律要求的全部條件，所以請多層並用——目前能給的建議大致就到這裡為止。既然無法指定方法，也只能建議組合。

兩項條文看起來相反，成因卻是同一個。法律規定什麼必須被達成，至於怎麼達成，則是日後從當時已經存在的選項裡挑。若還沒有可挑的，就只剩下延後，或者讓大家各自試試看。

韓國的《人工智慧基本法》也正經過類似的位置。高影響AI的責任、影響評估、透明性義務都寫進了法條，但由誰來確認這些結果，目前仍在制度之外。業者自行評估、自行留存紀錄的結構先建立起來，而確認那些紀錄的那一層被留到了後面。

管轄不同，條文也不同，空著的卻是同一個位置。

退一步看，會浮現一個區分。

有些是法律明文要求的。留下紀錄。保存一定期間。有人要求時要說明。這些寫在條文裡，是否違反也相對清楚。

但這些要求要能成立，得先有一件沒寫進條文的事為真：那份紀錄日後會被當成可信的東西接受。 要求留下紀錄，前提是這份紀錄有一天會在爭議中被拿來當依據。否則就沒有留的必要了。

保障這個前提的條文，哪裡都找不到。法律只說要留，卻不過問這份紀錄留在誰手上。

有意思的是，先走到這個地點的不是法規文件，而是實務圈的討論。

近來的指引反覆提到兩項要求。一是負責稽核的基礎設施，應與其所檢視的營運系統分開管理——也就是職能分工。二是多個代理人經過數十個中間決策之後，要在事後回溯責任鏈，在技術上與法律上都不確定——也就是歸屬的困難。

兩者都不是新見解。職能分工在會計與資安領域是很老的原則。動錢的人和記帳的人分開，營運系統的團隊和檢視其日誌的團隊分開。為什麼要分開？因為當同一方兩者兼任，紀錄就失去了作為紀錄的力量。不是因為誰不誠實，而是因為再也沒有辦法確認那份誠實。

而這條老原則，還沒有走到代理人的決策紀錄這裡。

代理人決定了某件事並執行。那份紀錄會留在哪裡？多半留在營運該代理人的一方的系統裡。行為的主體，同時兼任自己紀錄的保管者。

平時，這個結構不會造成任何麻煩。麻煩從爭議發生時開始。對方必須把那份紀錄當作依據來接受，而一直保管那份紀錄的，正是爭議的另一方當事人。紀錄再怎麼詳細準確，都沒有任何人站在能夠確認它的位置上。

這時常見的回應是「那就把紀錄留得更細一點」。增加欄位、細化時間、拉長保存期間。方向是對的，但那是另一層。細緻度提高的是紀錄的品質，並不會改變紀錄所在的位置。

歸屬的困難也出自同一個位置。

在數十個中間決策之後回溯整條鏈，無論資料多完整，最後仍會落回解讀的問題。哪一步是關鍵、在哪裡超出了範圍，得由讀紀錄的人來判斷。而提出紀錄的一方，通常對判斷的結果有利害關係。

所以需要的並不是更好的事後紀錄，而是在決策做成的當下就已經固定在外部的邊界。

如果「決定要做什麼」在執行之前就留在當事人手伸不到的地方，事後需要回溯的部分也就少了那麼多。不需要回溯的部分，已經定下來了。

為免誤讀，補充一句：這不是主張用外部取代內部紀錄。

內部系統最清楚實際發生了什麼，那份細緻度從外部模仿不來，也沒有模仿的理由。外部需要的不是細緻度，而是位置——「決定要做什麼」以及「邊界到哪裡」被放在與當事人分開的地方。

內部與外部不會互相代替。它們各自獨立存在，在爭議發生時交疊。而在交疊的那個點上，話才終於說得完。

法規終究會提出標準。那個標準會以內部文件化為中心，還是延伸到外部確認，目前還不知道。

不過，等標準出來，和知道現在還有什麼沒解決，是兩回事。期限往後挪所騰出的時間是緩衝，同時也是在法規替你決定之前、自己先想一想的空間。

有一條值得想一想的路。被要求留下的紀錄就讓它留在原處——那是各自的系統最清楚的工作，沒有改變的理由。只是把「決定要做什麼」以及「範圍到哪裡」，在進入執行之前，也在當事人之外留下一份。內容不必搬過去。只要有「什麼時候、在什麼邊界上決定的」就夠了。

聽起來像是件大事，其實我們早就在做了。重要的約定會寫成書面，有時還會把那份書面交給第三方保管，而不是留在任何一方手上。不是為了把內容全部攤開，而是為了在日後說法出現分歧時，事先定好一個可以回去的地方。

要求留下紀錄的規定，如今已經多到滿出來了。但由誰來確認那些紀錄，還沒有任何人要求過。這並不會讓問題消失。它更可能成為往後愈發突出的根本問題。