重點： 證監會於2026年11月2日公布《大型機構人工智能應用及準備情況調查》。調查顯示，大型持牌機構已普遍使用人工智能，逾半數已允許代理型工具在有限人為指示下規劃並採取行動。真正的約束並非是否採用這些工具，而在於系統一旦在工作流程中行事，是否仍有人能夠看見、質疑並制止。對持牌金融發行人，這一檢驗已見於調查及周邊官方文本。對其他已使用人工智能的港股發行人，同一檢驗源於董事既有的謹慎、技能及勤勉責任。是次調查覆蓋20家大型金融機構。證監會寫明，結果不應被詮釋為代表所有證監會持牌法團，亦不可讀成全部港股發行人的狀況。
2026年11月2日，證券及期貨事務監察委員會（證監會）公布《大型機構人工智能應用及準備情況調查》，調查期為2026年7月至8月。同日，證監會行政總裁梁鳳儀女士在香港金融科技周2026談及調查要點，香港金融管理局（金管局）亦發表《銀行業代理型人工智能管治討論文件》。此前已有金管局2026年10月15日的《負責任地採用人工智能的監管指引》，以及證監會主席黃天祐博士2026年9月18日在香港公司治理公會（HKCGI）企業管治研討會上的講辭。
調查對代理型人工智能的定義是：能夠在有限的人為指示下，自主規劃並採取行動以達到某個目標的人工智能。一旦這類系統接上內部數據、通訊、紀錄或交易系統，只審批最終輸出、或在用量上升後已無人可及的覆核，並不能讓董事會看見系統在過程中做了什麼。本組合沒有香港聯合交易所有限公司就人工智能新訂的上市規則。
大型機構調查不是港股發行人的普查
是次調查覆蓋20家大型金融機構：12家大型環球機構、5家中國內地背景大型機構，以及3家大型網上零售經紀行，連同其78家聯屬持牌法團。合計佔截至2026年6月30日止六個月，持牌法團已匯報證券成交逾75%。報告圖1將證券成交額佔比標為75.3%。除非另有說明，報告中的百分比按20家綜合回應計算，每家佔五個百分點。
證監會寫明，結果不應被詮釋為代表所有證監會持牌法團。數字描述的是這個大型機構樣本，既不代表全部持牌法團，更不可改寫成全部港股發行人的狀況。
金管局的指引、討論文件，以及2026年11月2日的Project SAGE公告，對象是認可機構。梁女士所談的網絡安全框架，是對持牌法團的規劃，尚未寫成現行規定。
應用已經走得很前，摩擦在於管治
在這個樣本裡，20家機構全部已在後台或支援職能中應用人工智能。20家中有19家（95%）預期未來12個月增加應用：9家預期顯著增加，10家預期較為溫和；餘下1家認為言之尚早。18家（90%）已將人工智能連接至內部系統；2家獨立運作。18家（90%）已使用或正在評估前沿人工智能作網絡防禦。
11家（55%）已允許在試行計劃或正式運作中使用代理型人工智能：6家（30%）已投入正式運作，5家（25%）正在受控試行或測試；其餘9家正在開發或考慮。20家中有16家（80%）預期未來12個月進一步應用代理型人工智能。
在擴展人工智能管治及風險管理框架的挑戰中，最常被提及的是擴展管治、生命周期監控措施及清單，共17家（85%）；13家（65%）提到技能、資源、問責及機構準備程度；12家（60%）提到模型驗證、監察、可解釋性及人手監督；11家（55%）提到監管及跨司法管轄區協調；9家（45%）提到數據、私隱、安全及第三方或集中風險。
這些答案，比採用率本身更能說明問題。在一個每家都已使用人工智能、多數已把它連接至內部系統的樣本裡，困難已不在把工具引入機構，而在於知道正在使用什麼、由誰負責，以及規模擴大後是否仍有人能夠監督。
看不見中間步驟的批准，並不構成監督
報告指出，人手監督亦需保持實質意義，不能依賴會隨應用規模擴大而變得不切實可行的人工檢視程序。對少量草稿有效的審批步驟，在政策文件裡可以看起來像一項監控；一旦系統能夠在已連接的內部系統裡規劃並採取行動，而且用量已非覆核人員所能盡讀，它就不再是監控。
梁女士從操作層面說到同一界限。證監會將按本調查及Sandbox++試驗，「適時」就代理型人工智能的採用提供額外指引，並為自主程度較高的應用制定原則為本、可操作的指引。不可能對每一個中間步驟都作人工覆核；證監會的方針焦點，是在整段工作流程中維持人員問責與監督。她指出，代理型人工智能會改變風險的性質與規模：可在多個步驟累積錯誤、採取未經授權的行動，並在無意中干擾其他機構。若董事會只看見最後的輸出，便看不見錯誤在哪些步驟裡累積，也看不見那項從未獲授權的行動。在這條鏈的末端簽名，並不是監督，只是記錄了有人被要求為自己無法檢視的工作承擔責任。
較高自主性可先用於影響較低、可逆的流程，例如部分後台及監察；客戶意見、投資組合決定及面向市場的執行，須有逐步加強的保障；代客戶行事時，自主程度應與風險相稱。
證監會把自己的方針表述為安全為先、以人為本、協作主導。按官方說明，這是指在人工智能獲授予更大權限時，仍須在端到端工作流程中維持清晰責任。
2026年10月15日，金管局以ART監管指引取代2019年高層原則：認可機構的董事會應批准人工智能策略及風險胃納；每個已部署用例要有負責人；並須有有效的人手監督。機構應及時提升政策與監控，文件並未寫死合規限期。金融穩定理事會同日發表的《負責任採用人工智能的良好作業方式》獲金管局指引引用，屬國際背景，不是香港硬法。2026年8月25日，個人資料私隱專員公署就在使用代理型人工智能時保障個人資料私隱發出指引，說明這一問題比金融監管的範圍更廣。
在披露中提及人工智能，並不表示已經能夠監督它
對持牌金融發行人，調查、梁女士的講話，以及金管局ART指引與討論文件，是監管機構現正向其規管範圍內機構提出的要求：應用擴展時，管治必須跟得上自主性。討論文件不引入具約束力的監管規定，不是就新規則諮詢，亦不產生新義務。意見截至2027年2月1日。同日的Project SAGE公告，屬探索工作的一部分，不是新的規則文本。梁女士計劃為持牌法團訂出網絡安全框架，設基準要求，並對較高風險狀況加強，這是規劃，不是已經生效的規定。
對其他已用人工智能做研究、文件、合規或客戶通訊的發行人，並沒有一條新的上市規則可以等待。相關的官方依據，是黃博士2026年9月18日的講辭。他引述香港公司治理公會的研究指出：近九成發行人在披露中提及人工智能，但不足20%報告具備清晰監督角色、政策及生命周期監控的結構化管治框架。這些數字是黃博士引述的公會研究，不是盈雪AMMO的調查，也不是證監會大型機構調查的發現。
這個差距，容易被看成只是文件未及補上，彷彿其餘發行人只要加一頁政策便可。問題不止於文件。年報或環境、社會及管治報告中的一句，可以把人工智能寫成工具、風險或機會，卻不會告訴投資者，也不會告訴董事會自己：誰可批准某項用途、系統獲准做什麼，以及如何在整個使用周期中受到監察。提及人工智能，是披露上的選擇；監督它，是經營上的能力。若只有前者而沒有後者，披露便可能走在董事會實際能夠承擔的前面。
職能可以授權，《公司條例》第465條下的責任不能外判
黃博士把責任放回公司法已經寫明的位置。《公司條例》第465條訂下謹慎、技能及勤勉的法定責任。職能可以授權，責任不能外判。這一區分，用在代理型人工智能上尤其清楚。董事會可以要求管理層、供應商或內部模型執行某項職能，但不能把授權視為已轉移法律責任，不論是輸出，還是系統在有限人為指示下採取的行動。一旦出現問題，仍然要問：董事當時知道什麼、問過什麼，以及監控是否與他們所允許的用途相稱。
按他的說法，每位董事都需要基線人工智能素養：不是編程能力，而是能夠提出尖銳問題、識別重大風險，並檢驗監控是否相稱。這並不是要求董事成為工程人員，而是要具備判斷監督是否仍然有實質內容的能力：是否有人掌握足夠資訊、時間與權限，去質疑、推翻或制止系統，以及這套安排在工作流程放大後是否仍然有效。若唯一的監控是機構無法應付的人工檢視隊列，董事會手上只有程序說明，並未履行這項責任。
對上市發行人，他提到公會的五項重點：知悉用途、高級人員擁有權、納入企業風險管理、人員問責，以及具透明度的匯報。董事會現在就可以用這幾點來檢驗：工具接了哪些內部系統；誰對輸出及工具可能採取的行動問責；用量擴大後，是否仍有人能夠介入。在證監會樣本中，連接已見於電郵或機構通訊，以及文件或知識儲存庫；部分受訪機構亦連接至客戶數據、合規監察，或交易、指令或投資組合系統。若這些答案不能集中取得，董事會等於被要求監督一套它看不見的能力。
關鍵日期
2026年8月25日： 私隱專員就在使用代理型人工智能時保障個人資料私隱發出指引。2026年9月18日： 黃天祐博士在香港公司治理公會企業管治研討會發表講辭。2026年10月15日： 金管局發表ART監管指引，取代2019年高層原則；金融穩定理事會同日發表良好作業方式。2026年7月至8月： 證監會調查的實地工作期。2026年11月2日： 證監會公布調查；梁鳳儀女士在香港金融科技周2026談及要點；金管局發表討論文件，意見截至2027年2月1日，並公布Project SAGE。
常見問題
1. 證監會這項調查是否描述全部港股發行人？ 不是。調查覆蓋20家大型金融機構及其78家聯屬持牌法團，合計佔截至2026年6月30日止六個月持牌法團已匯報證券成交的75.3%。證監會寫明，結果不應被詮釋為代表所有證監會持牌法團。這些數字也不應被改寫成全部港股發行人的狀況。
2. 聯交所是否已就人工智能訂出新的上市規則？ 就本文所依據的官源而言，沒有。本組合並沒有聯交所規定董事會必須採用某一套人工智能框架的新上市責任。對並非持牌金融機構的發行人，相關官方依據是黃博士所談的《公司條例》第465條董事責任，以及他引述的香港公司治理公會管治重點。
3. 證監會所稱的代理型人工智能是什麼？ 調查註1寫明：代理型人工智能是指能夠在有限的人為指示下，自主規劃並採取行動以達到某個目標的人工智能。在樣本中，20家裡有11家已允許在試行計劃或正式運作中使用，其中6家已投入正式運作。
4. 金管局討論文件是否已成為銀行或全體上市發行人的新規則？ 都不是。文件適用於銀行業，並自行說明：不引入具約束力的監管規定，不是就新規則諮詢，亦不產生新義務。意見截至2027年2月1日。2026年10月15日的ART監管指引，是對認可機構的期望，並不因此成為該範圍以外發行人的上市規則。
5. 若上市公司已用人工智能做研究、文件、合規或客戶通訊，董事會應從何入手？ 應先問自己能否監督已經允許的用途：工具接了哪些內部系統；誰對輸出及獲准採取的行動問責；用量擴大後，是否仍有人能夠介入。若這些答案不能集中取得，董事會等於被要求監督一套它看不見的能力。
結語
證監會樣本中的大型持牌機構已經在用人工智能，已經把它連接至內部系統，不少亦已允許代理型工具規劃並採取行動。數字只描述這個樣本。能夠引申到樣本以外的，是一項較窄的檢驗：董事會能否仍然看見自己已允許的用途、指出負責人，並在能夠規劃並採取行動的系統走出視野之前介入。董事不必等到新的上市規則，才做這項檢驗。公司法已有此要求。
編輯／撰稿：Amanda Cheung（Founder），盈雪 AMMO Group
