字級
香港網絡安全與人工智能保險：新聞動態
一句總結：本頁按時間整理香港在網絡安全與人工智能（AI）保險方面的監管公布、事故統計與產品動態。每一項都附上公布日期、要點、來源與對企業的實際意義，方便你核對原文，而不是只讀一段摘要。
本頁最後更新：2026 年 10 月 1 日｜資料採集日期：2026 年 10 月 1 日
本頁怎樣運作
| 本頁會做 | 本頁不會做 |
|---|---|
| 記錄有明確公布日期與來源的監管、統計與產品消息 | 刊登未附來源或日期的傳聞、據悉類消息 |
| 說明每一項消息對企業風險與保障的實際意義 | 推介任何保險公司、產品或方案 |
| 標明資料屬官方原文、機構公布或媒體報道 | 提供保費報價、折扣或銷售優惠資訊 |
| 保留舊記錄，並在官方更新時標示 | 刪除或改寫已經公布的舊消息 |
一、監管與法規
2026 年 1 月 1 日｜《保護關鍵基礎設施（電腦系統）條例》開始實施
香港特區政府於 2025 年 6 月 27 日在憲報刊登生效日期公告，指定 2026 年 1 月 1 日為《保護關鍵基礎設施（電腦系統）條例》（第 653 章）的實施日期。
要點
- 條例於 2025 年 3 月 28 日刊憲，目的是向被指定的關鍵基礎設施營運者施加法定責任，確保其採取適當措施保護電腦系統，減低因網絡攻擊導致必要服務被干擾或破壞的可能。
- 條例施加三類法定責任：架構類（在港持續設有辦事處、設立電腦系統安全管理單位）、預防類（提交與實施安全管理計劃、進行風險評估、安排安全審核）、事故通報及應對類（參與演習、提交應急計劃、在指明時限內向專員通報安全事故）。
- 涵蓋界別包括能源、資訊科技、銀行及金融服務、陸路與航空及海運交通、醫療、通訊及廣播；另涵蓋維持重要社會及經濟活動的基礎設施，例如大型體育及表演場地、研發園區等。
- 據立法階段公開資料，違規罰款由五十萬至五百萬港元不等，持續違規者另設按日計算的罰款；嚴重事故的通報時限為兩小時。
- 政府表明，受規管的營運者以大型機構為主，中小企與一般市民不會受影響。
對企業的意義
條例本身只直接約束被指定的營運者，但影響會向下傳導：被指定營運者為了符合法定要求，必須把保安要求寫進採購合約、外判合約與服務水平協議，並要求供應商提供保安能力的證明，甚至要求供應商自行投保網絡保險。如果你是這些營運者的供應商，條例的要求最終會以合約條款的形式出現在你面前。
2026 年 3 月 5 日｜生成式人工智能沙盒++（GenA.I. Sandbox++）推出
金管局、證監會、保監局與積金局四家金融監管機構，聯同香港數碼港管理有限公司，宣布推出 GenA.I. Sandbox++。計劃由 2024 年推出的 GenA.I. 沙盒擴展而成，涵蓋銀行、證券及資本市場、資產與財富管理、保險、強積金及儲值支付工具。
要點
- 計劃聚焦三大範疇：風險管理、反詐騙、客戶體驗，並持續推進「A.I. 對抗 A.I.」策略，即以人工智能管理人工智能應用所帶來的風險。
- 參與機構可獲針對性監管指引、技術支援，以及免費使用數碼港人工智能超算中心的圖形處理器運算資源。
- 計劃列明的應用場景包括以 AI 進行保險核保與理賠流程，以及跨界的智能客戶聊天機械人與詐騙偵測系統。
- 申請期至 2026 年 6 月 30 日。
對企業的意義
保監局行政總監在公布中表示，計劃的思路與保監局的「人工智能促進計劃」一致。這意味著保險業的 AI 應用正由「個別機構自行測試」進入「監管機構有份參與的受控測試」階段。測試範圍與結論，日後會成為業界合規期望的參考基準。
2026 年 2 月 3 日｜私隱專員公署發表 2025 年工作報告
私隱專員公署發表 2025 年工作報告，同時公布介入三宗涉及個人資料保安的事故。
要點
| 項目 | 2025 年 | 2024 年 | 變化 |
|---|---|---|---|
| 投訴個案 | 4,228 宗 | 3,431 宗 | +23% |
| 資料外洩事故通報 | 246 宗 | 203 宗 | +21% |
| — 涉黑客入侵 | 81 宗 | 61 宗 | +33% |
| — 來自公營機構 | 79 宗 | — | — |
| — 來自私營機構 | 167 宗 | — | — |
| 循規審查次數 | 435 次 | 400 次 | +9% |
- 在 246 宗通報之中，來自學校及非牟利機構的有 92 宗，佔全部事故的 37%。
- 事故成因包括黑客入侵、遺失文件或便攜式裝置、經電郵或郵遞或傳真意外披露、僱員違規、系統錯誤設定。
- 三宗被介入的個案，全部屬於僱傭資料處理上的人為疏忽：將載有身份證號碼的終止僱傭通知書發送至即時通訊群組；部門主管未鎖上存放員工評核表的抽屜；行政管理人員誤把解僱文件的掃描本儲存至部門共用檔案。公署分別發出執行通知或警告信。
對企業的意義
三宗個案沒有任何一宗涉及「高技術黑客」。它們全部是日常流程與人為疏忽——這正是中小企最常見的風險來源，也是最容易透過流程與培訓解決的部分。同時要注意：資料外洩事故通報的增長速度（+21%），高於同期投訴的增長（+23%）以外的整體趨勢，反映監管正主動介入，而非只被動接收投訴。
2026 年 5 月｜私隱專員公署公布 60 間機構的 AI 循規審查結果
公署於 2026 年 1 月對 60 間機構展開人工智能循規審查，並於 5 月公布結果。據公開報道，受查機構之中 95% 在日常運作中使用 AI，過半數同時運行三套或以上 AI 系統；審查未發現違反《私隱條例》的情况，但公署建議機構建立管治架構、進行私隱影響評估與 AI 審計，並就代理式 AI 設立控制措施。
同期，公署於 2026 年 3 月就代理式人工智能（可自行執行任務的 AI 系統）發出獨立警示，並於其後發布《代理式人工智能篇：保障個人資料私隱》實務指引。
對企業的意義
監管的重點已由「有沒有用 AI」轉向「怎樣管治 AI」。對企業而言，這代表需要開始具備三類文件：AI 使用政策、私隱影響評估記錄，以及 AI 系統的行為紀錄。
2026 年 5 月底｜金管局與證監會就 AI 驅動的網絡攻擊發出通函
據公開資料，金管局與證監會於 2026 年 5 月底就人工智能驅動的網絡攻擊向受規管機構發出通函，延續金管局早前關於 AI 網絡安全的通函要求。
對企業的意義
監管機構已把 AI 明確列為攻擊途徑（而不只是應用工具）。金融機構的資訊科技供應商、外判服務商與雲端服務商，預期會陸續收到客戶就 AI 相關風險控制的查詢與要求。
2025 年 11 月起｜保監局 GL8 指引修訂諮詢
保監局行政總裁在 2025 年香港金融科技周期間表示，保監局將啟動 GL8 指引修訂諮詢，計劃於 2026 年完成，修訂內容將新增董事及管理層問責、「人在迴路」機制、營運韌性，以及人工智能決策披露等要求。
同期公布的其他措施包括：2025 年 1 月實施網絡韌性評估框架、2025 年 8 月推出人工智能相關的業界計劃、2025 年 11 月發布聯邦學習白皮書。
對企業的意義
「人在迴路」（human-in-the-loop）與「AI 決策披露」兩項，會直接影響保險公司如何使用 AI 核保與理賠。對企業客戶而言，這意味著你收到的一份自動核保或自動理賠結果，日後可能需要附上解釋與人工覆核的機制。
待發布｜保監局更新人工智能指引
保監局於 2025 年 8 月表示，將於 2026 年發出更新的人工智能指引，以提供監管清晰度並促進負責任採用。截至本頁最後更新日期，該指引尚未發布。
對企業的意義
這是一個仍在變動的合規範圍。在此情况下，實務上的做法是：不等待最終指引，先按現有的《網絡安全指引》（GL20）與私隱專員公署的模範框架建立可展示的管治證據。
二、事故與統計
2026 年 1 月 28 日｜HKCERT 發表《香港網絡安全展望 2026》
香港生產力促進局轄下的香港網絡安全事故協調中心（HKCERT）發表年度報告《香港網絡安全展望 2026》，並同時公布《香港企業網絡安全現況》研究結果。
要點
| 項目 | 數字 |
|---|---|
| 2025 年香港網絡安全事故 | 15,877 宗（按年 +27%，創歷年新高） |
| 網絡釣魚佔整體事故比例 | 57% |
| — 經社交媒體或即時通訊平台（如 WhatsApp） | 34% |
| — 經加密貨幣平台 | 18% |
| 易受攻擊系統個案 | 2,328 宗（佔 15%，按年升超 3.5 倍） |
| 僵屍網絡相關事故 | 18% |
- 研究涵蓋 622 間企業（544 間中小企、78 間大企業），另訪問 50 間網絡安全服務供應商。
- 近三成企業沒有專人負責網絡安全；中小企之中只有 26% 設有專職網絡安全人員，大企業為 59%。
- 67% 中小企有員工負責網絡安全（大企業 95%）。
- 採用電郵保安方案的中小企為 48%（大企業 79%）；特權存取管理為 29%（大企業 60%）；進階遙距安全為 31%（大企業 67%）。
- 35% 使用 AI 的企業承認曾把公司資料輸入公共 AI 工具。
- 報告預測 2026 年的主要風險分為兩大類：AI 應用風險與供應鏈風險，並指出雲端單點故障與聯網 AI 裝置的威脅正在上升。
對企業的意義
三點值得留意。第一，釣魚攻擊佔近六成，而生成式 AI 令釣魚訊息更難辨識——這意味著員工培訓的價值不會因為技術投資增加而下降。第二，易受攻擊系統個案升超 3.5 倍，屬基本配置與修補管理的問題，成本不高但最常被忽略。第三，供應鏈已被明確點名為「最脆弱的一環」，即使企業自身防護完善，單一合作方的漏洞足以引發連鎖事故。
2026 年 4 月｜SoFi Securities（香港）資料外洩事故
據公開資料，SoFi Securities (Hong Kong) Limited 於 2026 年 4 月發生資料外洩，事故源頭並非公司自身系統，而是攻擊者未經授權入侵其中一間第三方供應商所管理的客戶資料庫。
對企業的意義
這宗個案把一個常被忽略的盲點具體化：你的資料未必在你手上。雲端系統、會計外判、資訊科技服務商、收款平台、客戶關係管理系統供應商，全部可能持有你客戶的個人資料。供應商出事，通報義務與客戶索償責任隨時落回你身上。這也是網絡保險中「第三方供應商引致的損失是否受保」需要逐條確認的原因。
三、產品與市場動態
2026 年 1 月 12 日｜OneInfinity 把 AI 相關風險納入網絡保險
數碼保險公司 OneDegree 旗下的 OneInfinity 宣布升級其網絡保險產品，把與網絡安全、資料保護及網絡入侵相交的 AI 相關風險納入保障範圍，並表示保額可選至 200 萬美元。
要點
- 該公司指出，近年多間國際保險公司向監管機構申請在商業保單加入人工智能排除條款，把企業部署、使用或整合 AI 技術所引致的法律責任剔除；部分條款甚至涵蓋「實際或指稱使用 AI」。
- 升級後的保單以「AI 被用作攻擊途徑」為切入點，涵蓋因 AI 技術被利用而導致的網絡損失與第三方責任，包括事故應變、營業中斷、資料復原、網絡安全與私隱責任等成本。
- 產品採用風險分層與子限額管理，並表示已取得 A 級評級的再保險承保能力支持。
- 該公司同時指出，新條例生效預期會帶動本地市場對網絡安全保障的需求。
對企業的意義
這是香港市場上一個明確的分水嶺：同一時間，部分保險公司在 AI 風險上加設排除，另一部分則把它納入保障。 企業在續保時，不能假設「市場做法一致」，必須逐份檢視條款。
2026 年 6 月 15 日｜蘇黎世保險（香港）與 YAS 推出機械人嵌入式保險
蘇黎世保險（香港）與 YAS 保險宣布合作，透過「嵌入式保險」方案在香港推動人工智能及機械人科技的應用：蘇黎世為 YAS 的機械人銷售與服務方案度身訂造微保險，直接嵌入其服務之中。
要點
- 主要保障包括因受保事故引致的機械人維修成本，以及在其他相關保單下對客戶自負額的補償。
- 使用場景涵蓋製造業與物流業、商場及商廈、建造工地、餐廳及會所。
- 該系列屬蘇黎世「智慧先見系列」微保險，針對不同創新科技應用場景設計。
- YAS Digital Limited 為保監局持牌保險代理（牌照編號 FA2648），分銷該機械人保險產品。
對企業的意義
這是「AI 與機械人風險以微保險形式嵌入採購流程」的具體例子：企業在購買機械人服務時，保障同時到位，不必另行安排。這種模式對中小企尤其有意義，因為傳統企業保險的投保與核保流程，對「新型科技設備」往往沒有現成的分類。
2026 年｜保險業內部應用 AI 的動態
除保險產品本身，保險公司亦正在把 AI 應用於營運流程。據行業報道，2026 年上半年有香港保險公司與保險科技公司合作，推出用於自動醫療索賠處理的 AI 代理平台，可處理理賠申請表、醫療報告、發票與收據等非結構化文件，並識別疾病分類與福利代碼。
對企業的意義
要把兩件事分清楚：「保險公司用 AI 處理你的索賠」與「保險公司承保你的 AI 風險」，是兩個完全不同的題目。前者關乎你作為索償人的體驗與權利（例如 AI 決策是否需要披露、是否有人工覆核）；後者關乎你作為企業的保障。兩者都會受保監局的 AI 指引影響。
2026 年｜海外市場的獨立 AI 責任保險產品
在香港以外，獨立的 AI 責任保險自 2025 年起陸續出現，主要針對「使用 AI」而非「開發 AI」的機構：
| 產品／承保方 | 時間 | 特點（摘要） |
|---|---|---|
| HSB（慕尼黑再保險旗下）AI 責任保險 | 2026 年 3 月宣布 | 針對中小企，承保因使用 AI 引致的第三方人身傷害、財物損失，以及人身及廣告侵害；不直接銷售，附加於合作承保人的商業保單 |
| Armilla（勞合社授權承保代理） | 2025 年 4 月起 | 就 AI 幻覺、模型表現退化及故障提供保障，涵蓋法律費用與第三方責任 |
| Testudo（勞合社） | 2026 年 1 月起 | 明確針對整合供應商生成式 AI 的企業，而非 AI 開發商 |
| Munich Re aiSure | — | 針對 AI 模型表現本身的保險，觸發點為模型表現出錯，而非第三方索償 |
對企業的意義
這些產品目前的承保能力有限，且多數以美國及勞合社市場為主要分銷渠道，並非現時可直接在香港購買的現成產品。它們的意義在於指出一個方向：AI 風險正由「無人承保」變為「可以定價」。對香港企業的實務啟示是三步——先誠實讀清楚現有保單的 AI 排除條款；再評估可獲得的保障；最後以管治文件（AI 政策、測試紀錄、監督機制）提高可保性。
市場觀察：中小企的風險敞口與保障落差
- 據 QBE 2025 年的調查數據（經行業分析引用），香港中小企的網絡安全事故發生率在 2024 至 2025 年間達 30%，高於 2023 年的 24%，屬中小企第二常見的風險；然而相應的網絡保險投保率低於 20%。
- 同一分析引述的預測指，香港網絡保險市場在 2025 至 2029 年間將維持約 7.2% 的年增長，屬增長最快的保險分項之一。
對企業的意義
「發生率上升、投保率偏低」，代表這是一個風險已經實現、但保障尚未跟上的範圍。這既解釋了為何保險公司近年願意投入資源開發中小企網絡保險產品，也解釋了為何條款差異會如此顯著——市場仍在成形階段。
資料來源總表
| 項目 | 來源 | 性質 | 公布日期 | 採集日期 |
|---|---|---|---|---|
| 《保護關鍵基礎設施（電腦系統）條例》生效日期 | 香港特區政府新聞公報 | 官方原文 | 2025-06-27 | 2026-10-01 |
| 條例三類法定責任與涵蓋界別 | 通訊事務管理局 | 官方原文 | 現行 | 2026-10-01 |
| 條例罰則與通報時限 | 立法階段公開報道 | 媒體報道 | 2024-03 | 2026-10-01 |
| GenA.I. Sandbox++ 推出 | 香港金融管理局新聞稿 | 官方原文 | 2026-03-05 | 2026-10-01 |
| GenA.I. Sandbox++ 首批入選用例 | 行業媒體報道 | 媒體報道 | 2026-08-27 | 2026-10-01 |
| 私隱專員公署 2025 年工作報告 | 個人資料私隱專員公署 | 官方原文 | 2026-02-03 | 2026-10-01 |
| 60 間機構 AI 循規審查結果 | 行業分析引用公署公布 | 二手整理 | 2026-05 | 2026-10-01 |
| 金管局與證監會 AI 網絡攻擊通函 | 行業分析引用 | 二手整理 | 2026-05 | 2026-10-01 |
| GL8 指引修訂諮詢 | 保監局行政總裁公開講話（經媒體報道） | 媒體報道 | 2025-11 | 2026-10-01 |
| HKCERT《香港網絡安全展望 2026》 | 香港網絡安全事故協調中心 | 機構公布 | 2026-01-28 | 2026-10-01 |
| SoFi Securities 資料外洩事故 | 行業整理報道 | 媒體報道 | 2026-04 | 2026-10-01 |
| OneInfinity 網絡保險升級 | OneInfinity／AIFT 官方新聞稿 | 機構公布 | 2026-01-12 | 2026-10-01 |
| 蘇黎世 × YAS 機械人嵌入式保險 | 蘇黎世保險（香港）新聞稿 | 機構公布 | 2026-06-15 | 2026-10-01 |
| 保險公司 AI 索賠處理應用 | 行業整理報道 | 媒體報道 | 2026 | 2026-10-01 |
| 海外 AI 責任保險產品 | 多個行業來源綜合 | 二手整理 | 2025–2026 | 2026-10-01 |
| 中小企網絡事故發生率與投保率 | QBE 調查數據（經行業分析引用） | 機構調查（二手引用） | 2025 | 2026-10-01 |