观塘一家小工作室想上线一个帮客户起草营销文案的聊天机器人。创始人的清单很短：选个模型、控制预算、上线。随后投资方的尽调清单却问：你们如何处理数据泄露、模型偏见与事实错误——这三个风险类别，写在一份创始人从未听说过的政府指引里。香港对AI治理的回答正是这份文件：是建议，不是命令，而搞清它的边界，如今已是与这座城市的AI生态打交道的一部分。
发布了什么、由谁制定
文件是《香港生成式人工智能技术及应用指引》，由数字政策办公室于2025年4月15日公布。为制定该指引，数字办委托香港生成式人工智能研发中心（HKGAI）——一个2023年经AIR@InnoHK创新研发平台资助成立的研发中心——就生成式AI的准确性、责任与信息安全展开研究，基于实际部署经验和业界意见提出适当规则。
其法律地位常被误读：这是已公布的指引，不是立法。背后没有许可制度，不附罚则，也没有强制备案环节。它是一件软法工具——政府自己的定位是建构一套"符合香港情境、具本地特色"的治理框架，在创新、应用与责任之间求平衡。数字办已承诺随技术演进定期更新内容。
面向谁、要求什么
指引面向三类对象，其实务分量来自覆盖全链条：
- 技术开发者——构建模型或决定技术用途者。指引聚焦数据泄露、模型偏见与错误，提供以可靠稳定为目标的安全开发与设计实践。
- 服务提供者——将现成模型二次封装为工具与服务的平台和企业。重点在于运营中的合规与安全，尤其是处理用户数据与系统生成内容时。
- 服务使用者——接触生成内容的创作者与传播者。指引要求其了解所用工具的风险，避免违法或不道德使用，并保护自身个人资料。
对三者，一条原则贯穿始终：遵守法律是治理的首要要求。内容与服务不应违反法律法规、社会道德观念，以及知识产权和个人私隐——香港现行刑事与监管法律在网上网下同等适用。
软法的逻辑与坐标
香港的路径刻意落在光谱的一端。欧盟拥有综合性的强制性《人工智能法案》，高风险义务分阶段至2027、2028年落地。中国大陆按服务逐项监管，算法推荐、深度合成与生成式AI服务均有约束性规则，通过安全评估（安全评估）与备案（备案）机制执行，合成内容标识义务自2025年9月起强制适用。
香港则选择了"指引+现行法律"。数字办此前已于2021年为政府决策局和部门发布《人工智能道德框架》，2023年8月更新补充生成式AI内容。新指引把实务期望扩展到更广的生态，却不增加新的许可层。对投资者与境外供应商的读法是：香港的监管姿态是促进型的——鼓励采用，同时示意滥用行为将由现行刑事与数据保护法律处理，而非专门的AI成文法。
据脑机网（BrainNet）首席科学家李安观察，香港这份指引最好被读作"文字里的沙盒"——在任何约束性规则到来之前，以低成本方式让审计留痕、偏见测试与用户告知成为行业习惯。这一读法也符合指引自身的生命周期：数字办已表示将与HKGAI及业界团体保持联系、定期修订。
诚实的局限
- 属自愿性质，指引不创设可强制执行的权利义务；对方声称"合规"也无法对照审计标准核验，因为指引并未附认证标准。
- 指引不凌驾于行业监管之上——香港的金融、医疗与私隐规则继续独立适用，其与指引的衔接仍依赖实践积累。
- 本文描述截至2026年11月的政策面貌；此后可能出台约束性文件或新版本，请以数字办网站最新版为准。
普通人现在能做什么
- 若你构建或转售触及香港的生成式AI服务，按指引的三类对象结构对照自身控制措施——开发者、提供者、使用者——在客户或投资方发问之前，先补齐数据泄露、偏见与错误处理的短板。
- 留存自身治理实践的证据：模型评估日志、事件响应与用户告知，在软法之下同样是尽调问卷的标准答案。
- 若在内地一侧运营，两套制度分开处理：香港指引属自愿，内地生成式AI服务则面临强制安全评估（安全评估）、备案（备案）与内容标识——不要用同一套打法应对两边。