随着生成式人工智能加速落地，香港特别行政区（以下简称“香港”）正将AI置于产业发展的核心位置。香港2026-27年度财政预算案宣布成立AI+与产业发展策略委员会，并设立30亿港元资助计划，推动AI与各产业深度融合。香港正成为内地企业布局AI业务、拓展国际市场的重要平台。

在监管层面，香港尚无AI专项立法，亦无AI业务牌照制度。香港特别行政区政府（以下简称“香港特区政府”）立场是，大部分现行法例原则上同样适用于AI，AI服务提供者的业务如涵盖香港，即须遵守香港相关法律。据此，香港AI规管可分为三个层次：一是《个人资料（私隐）条例》《版权条例》《商品说明条例》等现行法例；二是香港的证券及期货事务监察委员会（以下简称“证监会”）、香港金融管理局（以下简称“金管局”）等行业监管机构就AI应用发出的通函及要求；三是香港特区政府数字政策办公室及香港的个人资料私隐专员公署（以下简称“私隐专员公署”）发布的治理框架与指引。需要指出的是，"无专项立法"不等于"低监管"。私隐专员公署已连续三轮就机构使用AI开展循规审查，其发布的指引虽非成文法，却已成为合规检查的实际参照。本文将按上述三个层次梳理香港AI监管的主要要求，并与内地规则作简要对比。

一、规管架构总览

二、AI相关的横向监管指引

本节三份文件是香港现行规范中以人工智能为直接规制对象的成文材料，对AI项目的操作要求最为明确；第四节所述现行法例效力位阶更高，但均非为AI而设，须经解释适用。

1、《人工智能道德框架》

〔自愿性指引〕

2025年12月数字政策办公室发布的《人工智能道德框架》，旨在为所有在香港运营AI系统的机构提供参考性指引，同时适用于AI基础设施与模型提供商，以及AI服务提供商。

1）十二项核心原则

2） "三道防线"管治架构

《人工智能道德框架》建议AI项目采用"三道防线"的分层管治模式：

第一道防线：项目团队，负责日常风险评估、执行缓解措施及记录AI评估工作。

第二道防线：项目督导委员会及保证小组，负责独立审查项目、制定验收标准，并在批准前完成AI评估及确保符合AI道德原则。

第三道防线：资讯科技委员会或首席资讯官，负责审核、建议及监管高风险AI应用，可聘请外部顾问。

3）项目生命周期与影响评估

AI项目生命周期分为六个阶段：项目策略、项目规划、项目生态环境、项目开发、系统部署、系统运作与监察。机构须在各阶段持续进行风险评估与人为监督，形成反馈循环。框架附录C提供"AI应用影响评估范本"，机构应定期更新或在项目发生重大变化时重新评估。

2、《香港生成式人工智能技术及应用指引》〔自愿性指引〕

由数字政策办公室于2025年12月发布，为AI技术开发者、服务提供者及服务使用者提供应用生成式AI技术的实务操作指引，集中说明生成式AI的应用范围、技术局限、服务风险、治理原则及实务控制。该指引适用于基础模型，也适用于将第三方模型包装为聊天机械人、智能代理、内容生成工具或企业解决方案的服务。

1.)三类主体的界定

技术开发者：从事生成式AI系统基础模型及算法的开发、训练及维护的机构及个人

服务提供者：作为开发者与用户之间的中介，将生成式AI技术部署为面向客户的应用或服务的机构

服务使用者：出于个人或专业用途使用生成式AI服务的个人或机构

2)技术局限与服务阶段风险

模型幻觉：输出可能与真实情况不符，或编造不存在的事实、来源和数据

模型偏见：训练资料、标签、提示或部署环境可能使输出产生不合理差异

黑盒问题：模型结构复杂，开发者、服务提供者或用户未必能充分解释特定输出

服务阶段风险：包括不良内容、深度伪造、身份冒充、越狱、提示注入、资料泄漏及第三方工具被滥用

3.)风险分级与人为监督

指引采用风险为本思路，要求风险越高，合规评估、资讯透明、持续监察及人为监督程度越高。企业应结合输出是否影响生命健康、财产、就业、教育、信贷或其他重大权益决定监督强度。该分级形式上接近欧盟《人工智能法》的风险分级逻辑，但性质上属自愿性指引，不产生法定义务，亦无与分级挂钩的行政程序。

4)不同参与者的实务要求

技术开发者：建立数据团队及负责人、算法工程团队、质控团队及合规团队；对高风险生成内容（如深度伪造、身份证明文件）加设不可移除的水印或嵌入式标识码；就内容准确性、偏见、有害输出及私隐合规设立独立评估机制

服务提供者：保证服务合规及资料安全、系统安全及可信性；建立明确的财务协议与服务安全协议；开展服务风险评估及小规模试点

服务使用者：合法合规使用、坚持自主判断、建立机构政策及指引、明确说明是否使用生成式AI参与内容生成或决策、保护个人私隐、谨慎传播生成内容、尊重知识产权

3、《人工智能：个人资料保障模范框架》及配套工具

个人资料私隐专员公署于2024年6月11日发布，根据《私隐条例》下的六项保障资料原则，针对采购、实施和使用AI方案的机构，在四个核心范畴提出实用建议措施。

人为监督的三种模式：

人在环中（human-in-the-loop）：适用于高风险AI系统，由人类决策者保留控制权，防止及减低系统出错或输出不当结果

人在环外（human-out-of-the-loop）：适用于风险最小或较低的系统，AI在无人介入下采纳输出或作出决定

人为管控（human-in-command）：当前两者均不适用时（例如风险程度不可忽视，但人在环中不符成本效益或不可行），利用系统输出监督运作，有需要时介入

私隐专员公署AI相关工具谱系

《模范框架》并非孤立文件，公署已围绕不同场景持续发布配套工具，呈现由原则到框架、由框架到场景的演进。检索时应一并查核：

三、现行法例对AI业务的适用

本节所列法例均非为人工智能而设，但对AI的开发与应用具有全面约束力，违反直接产生民事及／或刑事责任。

1、个人资料及模型训练与《个人资料（私隐）条例》

香港机构在开发、训练AI及收集数据时须遵守《个人资料（私隐）条例》。下表左栏为附表1的法定要求，右栏为AI业务的实务落点，两者性质不同，引用时应予区分。

2、使用他人版权及其他知识产权法例作品训练模型是否侵权？

香港特区政府立场为：在开发、训练和提升生成式AI系统过程中使用他人知识产权的作为，受《版权条例》及香港其他知识产权法律规管，包括《专利条例》（第514章）、《注册外观设计条例》（第522章）及《商标条例》（第559章）。

3、《保护关键基础设施（电脑系统）条例》〔第653章〕

条例连同《实务守则》于2026年1月1日生效，主要适用于被指定的关键基础设施营运者，并非所有AI企业均直接受其规管。

但为受指定营运者提供模型、云端或安全服务的供应商，如其AI系统直接控制银行核心支付、医院诊疗系统、电网调度或机场运行，并被指定为关键电脑系统，则可能透过采购及合同承接架构、预防、事故通报和供应链控制要求。不遵守法定责任或专员指示属刑事罪行，最高可处罚款500万港元。

4、其他可能适用的法例

● 《商品说明条例》（第362章）：AI产品功能宣传的虚假商品说明与不良营商手法

● 《刑事罪行条例》（第200章）、《盗窃罪条例》（第210章）：AI换脸诈骗、深伪相关罪行

● 《服务提供（隐含条款）条例》（第457章）、《管制免责条款条例》（第71章）：AI服务合约的隐含条款与免责限制

● 普通法：疏忽侵权、保密责任、诽谤、合约责任，仍是AI致损时的主要救济基础

四、金融及其他行业监管

金融业是香港AI规管密度最高的领域。香港特区政府财经事务及库务局于2024年10月发出《有关在金融市场负责任地应用人工智能的政策宣言》，阐明香港特区政府政策立场；金融监管机构则各自发出具体要求。

1、证监会《致持牌法团的通函——生成式AI语言模型的使用》

发布于2024年11月12日。持牌法团如使用生成式AI语言模型或以其为基础的第三方产品，提供与受规管活动有关的服务或功能，应评估其数据治理与风险管理是否符合通函要求。

五项风险管控要求

高级管理层责任：在模型整个生命周期内落实有效政策、程序及内部监控，由具合适资格人士作出充分监督

模型风险管理：批准使用前及重大改动时充分验证；进行端对端测试；持续检讨监察效能

风险缓释：措施须与用例影响及风险严重程度相称，尤其针对幻觉风险；若用于客户接口，须明确披露用户正在与AI而非真人互动，且输出未必准确

网络保安及数据风险管理：对静态及传输中的非公开数据加密；建立识别入侵及适时暂停使用的机制

第三方提供者风险管理：适当尽职审查及持续监察，并留意外部服务提供商为数有限所带来的集中风险

高风险用例

依据证监会通函，对于可能影响客户投资判断的AI应用，持牌法团需要设置更严格的审核环节。利用AI语言模型向投资者或客户提供投资推荐、意见或研究，通常属于证监会界定的高风险场景。模型结果交付使用者之前，应由人员核验其中的事实，并识别和处理因模型幻觉产生的错误信息。如有关应用涉及业务性质或所提供服务类型的重大变化，持牌法团还须按照《证券及期货（发牌及注册）（资料）规则》履行通知义务，并应在早期阶段就相关业务计划与证监会沟通。

2、金管局的原则与通告

● 《应用人工智能的高层次原则》（2019年11月1日）：将管治要求贯穿于AI系统的设计开发、持续监察及维护等环节。认可机构应结合具体应用的特点及风险程度，落实相应的管理和控制措施。

● 《认可机构就应用大数据分析及人工智能的消费者保障》（2019年11月5日）：董事局及高级管理层须对AI作出的决定及程序负责；须确保模型为客户提供客观、一致及公平的结果，提供适当透明度，并实施有效的客户资料保障措施

● 《使用生成式人工智能的消费者保障通函》（2024年8月19日）：（1）在部署初期，认可机构应采用“人在环中”的监督方式，由人员保留对决策流程的控制；（2）在切实可行范围内，为客户提供退出使用生成式AI及请求人工介入的选项。若无法提供退出选项，应设置客户申请复核相关决定的渠道。（3）机构应向客户说明生成式AI的使用情况、用途及局限，并落实客户资料保障措施。

3、沙河GenA.I. 沙盒++

2024年8月，金管局联同数码港推出GenA.I. Sandbox第一版，当时仅针对银行业。

2026年3月5日，金管局、证监会、保险业监管局及强制性公积金计划管理局联同香港数码港管理有限公司推出GenA.I. Sandbox++，作为第一版的升级扩展版。监管方由金管局一家扩展为四家，覆盖行业由银行扩展至证券及资本市场、资产及财富管理、保险、强积金及储值支付工具。计划继续聚焦风险管理、反欺诈和客户体验三大方向，推进"以AI对抗AI"策略。参与机构可获相关监管机构的针对性监管指引、数码港的技术支持，并可免费使用数码港人工智能超算中心的GPU算力资源。

4、其他受规管行业

● 医疗：医疗相关AI应用，应结合具体功能、使用主体及宣传内容，评估《医生注册条例》（第161章）、《不良医药广告条例》（第231章）等法例的适用。

● 反洗钱：负有反洗钱义务的机构使用AI开展客户尽职审查时，仍须遵守《打击洗钱及恐怖分子资金筹集条例》（第615章）及适用的行业监管要求。

五、香港与中国内地AI规管规则对照及适用边界

附录

下列为本报告主要检索来源

[1] 香港特区政府：立法会关于人工智能聊天机械人的书面答复（2026年3月25日）

[2] 数字政策办公室：《人工智能道德框架》

[3] 数字政策办公室：《香港生成式人工智能技术及应用指引》

[4] 香港特区政府：关于生成式人工智能及合成内容标识的立法会书面答复

[5] 香港法例第486章《个人资料（私隐）条例》及附表1保障资料原则

[6] 个人资料私隐专员公署：《条例概览》

[7] 个人资料私隐专员公署：《人工智能：个人资料保障模范框架》（2024年6月）

[8] 个人资料私隐专员公署：人工智能专题资源中心

[9] 个人资料私隐专员公署：《雇员使用生成式AI的指引清单》（2025年）

[10] 个人资料私隐专员公署：关注OpenClaw及代理式AI的私隐风险（2026年3月16日）

[11] 个人资料私隐专员公署：完成审查60间机构使用AI对个人资料私隐的影响（2026年5月19日）

[12] 个人资料私隐专员公署：资料外泄事故通报专题

[13] 个人资料私隐专员公署：跨境资料转移第33条状态说明

[14] 个人资料私隐专员公署：《跨境资料转移指引：建议合约条文范本》（2022年5月）

[15] 个人资料私隐专员公署：《深度伪造的保障个人资料私隐指南》（2025年）

[16] 个人资料私隐专员公署：起底刑事罪行及停止披露通知专题

[17] 香港法例第528章《版权条例》

[18] 香港特区政府知识产权署：版权与人工智能公众咨询专题页

[19] 香港法例第362章《商品说明条例》；香港海关：不良营商手法

[20] 香港法例第200章《刑事罪行条例》、第210章《盗窃罪条例》

[21] 香港法例第390章《淫亵及不雅物品管制条例》、第579章《防止儿童色情物品条例》

[22] 香港法例第457章《服务提供（隐含条款）条例》、第71章《管制免责条款条例》

[23] 香港金融管理局：《应用人工智能的高层次原则》及消费者保障通函（2019年11月）

[24] 证券及期货事务监察委员会：《致持牌法团的通函——生成式AI语言模型的使用》（2024年11月12日）

[25] 香港特区政府财经事务及库务局：《有关在金融市场负责任地应用人工智能的政策宣言》（2024年10月）

[26] 香港法例第161章《医生注册条例》、第231章《不良医药广告条例》

[27] 香港法例第653章《保护关键基础设施（电脑系统）条例》及《实务守则》

[28] 香港特区政府：《保护关键基础设施（电脑系统）条例》生效公告（2026年1月1日）

权利声明

本文信息检索截止 2026年8月25日，仅作一般性参考。如需转载，请注明来源于微信公众号“C位数据谈”，本文不应视为针对特定事务的法律意见或依据。

联系邮箱：cathy.wu@watsonband.com