香港人工智能總會（AIHK）發布 209 頁的《企業及機構負責任採用人工智能指引》，提出「know your agent」（KYA），建議企業部署 AI agent 前界定用途、准用工具、數據存取上限、禁止動作及應變方案。指引屬自願性文件，任何機構都可使用。總會創辦人兼主席陳文理（Neil Tan）指出，AI 正由生成內容轉向實際採取行動，agent 已可存取公司電郵、雲端硬碟，甚至財務帳戶。
AIHK 指引：接入內部系統的 AI agent 至少列高風險
AIHK 指引建議，連接機構內部系統的 AI agent 應至少列為「高風險」級別處理。指引把每個 AI 使用個案歸入 3 個風險級別，例如內部文案草擬工具的管控要求，會遠低於影響信貸審批、招聘或醫療決策的系統。
總會主席在發布會上把風險控制措施分為「基準」「提升」及「高影響」3 個層級，並指涉及人員、金錢、安全或權利時需要更嚴格控制。
AI agent 可代表機構執行多步驟任務，因此指引建議管治範圍要涵蓋 agent 在流程中採取的行動，而非只審核最終產出。付款、合約承諾及對外通訊等難以逆轉的行動，亦應先經人手批准。
AIHK 的 KYA 要求界定權限及保留停止能力
AIHK 的 KYA 概念借用銀行業「know your client」的說法，要求企業在部署 AI agent 前界定其用途、准用工具、數據存取上限、禁止動作及應變方案。陳文理在發布會上另強調，機構要保留隨時停止 agent 的能力，同時善用沙盒環境測試。
KYA 並非 AIHK 獨有的說法。香港金融管理局（金管局）早前在金融科技周推出銀行業 Project SAGE，並發表 agentic AI 管治討論文件，同樣以「Know Your Agent」為重點之一，研究 agent 的身份憑證、授權範圍及人手介入機制；惟金管局討論文件與 AIHK 指引是兩套獨立文件。
AIHK 建議每個 AI 用例設具名負責人
AIHK 指引建議每個 AI 使用個案都設具名負責人，並由一名高級行政人員對機構的 AI 措施負責。指引亦建議由董事局監督，建立全機構通用的 AI 應用中央登記冊。
總會主席指出，不少大型企業及機構的 AI 項目沒有具名負責人，一旦 AI 模型或 agent 未經授權採取行動，可能出現責任爭議。指引適用於大企業、中小企、非政府機構、專業團體及教育機構；他表示，指引沒有按機構規模或能力訂明審查程度，以保留執行彈性。
香港未有 AI 專門法例，AIHK 指引作立法前參考
香港目前沒有專門的 AI 法例，總會主席希望 AIHK 指引在立法前成為企業 AI 管治的彈性「橋樑」。這份自願性指引以《個人資料（私隱）條例》及數字政策辦公室《人工智能道德框架》為基礎，並參考歐盟、美國、英國、中國內地、日本、南韓及新加坡的做法。
指引由總會及轄下安全及管治委員會歷時近一年制訂，委員會成員包括香港大學、香港科技大學、香港浸會大學及嶺南大學的學者。
IT 部門可把 AIHK 的 KYA 清單用於權限設定
按 AIHK 指引的 KYA 建議，IT 部門可先盤點每個 agent 連接的電郵、雲端硬碟及財務系統，再按用途、准用工具和數據存取範圍逐項開通權限。接入內部系統的 agent 至少列為高風險，盤點結果可用來決定需要哪些管控。
企業亦可考慮在系統層面封鎖禁止動作，將權限範圍記入 AI 清單；付款、合約承諾及對外通訊等難以逆轉的操作，可在流程中加入人手批准關卡，並記錄 agent 採取的步驟。沙盒測試與停止機制則可列入部署前的測試和批准要求，配合事件應變機制使用。
指引設有 4 階段路線圖，首 90 天先建立明確問責、獲批工具清單及數據使用許可等基礎管治，之後逐步推進至規模化應用和獨立第三方驗證。指引另列出 4 個實務步驟：指定負責高管及用例負責人；設定批准工具、數據邊界和員工使用規則；建立 AI 清單、風險篩選及事件應變機制；以及培訓用戶並訂定測試和批准要求。
對負責部署的團隊來說，每個 agent 可以接觸甚麼、做到哪一步，以及誰有權叫停，都可在投入使用前先交代清楚。
來源：Artificial Intelligence Association of Hong Kong (AIHK)、SCMP、EJ Tech、Tech Times
