你問 AI 一個問題，它回答：「很抱歉，我無法協助。」這句話有時讓人安心，有時令人困惑。有人會覺得它太保守，連正當用途都擋下；也有人會覺得它不夠謹慎，換個問法就得到危險建議。身為做 AI 治理與模型風險的人，我關心的不是把拒答率推到最高或最低，而是安全界線如何被制定、測試與修正。
我們先定義問題。「拒答」是系統對某項請求不提供原本形式的協助，可能改為解釋限制、提供安全替代資訊，或請使用者補充背景。它不代表模型已經理解了人的意圖；也不代表所有被拒絕的請求都不正當。模型只能根據輸入與設計規則作出判斷，而現實中的目的、語境與後果往往比一段文字複雜。
安全規則不是從天上掉下來的
誰決定哪些內容要被拒絕？通常有產品方設定的用途、訓練與評估時採用的標準，以及部署環境本身的要求。這些選擇涉及價值判斷：要優先避免哪一種傷害？願意承受多少誤攔？當兩個風險互相衝突，誰有權取捨？把結果呈現成「AI 自己認為不安全」，容易遮住背後真正做決定的人。
我不認為所有規則都應公開到足以讓人輕易繞過防護；但至少應向使用者說明可理解的原則。若系統拒絕一個請求，能否指出受限的是哪類協助、還有哪些安全範圍內的做法？若理由只剩一句空泛的「違反政策」，使用者很難知道如何調整，也無從檢驗規則是否公平。
同一個詞，可能指向不同目的
假設有人問如何辨認詐騙訊息中的操縱手法，目的是幫長輩防範；另一個人則想用相似知識設計更能騙人的訊息。兩者可能使用相近字詞，所需要的回答卻完全不同。這只是說明風險取捨的假設案例，不是我接觸過的個案。
如果系統凡是提到「詐騙」就拒絕，防範資訊會被一併擋掉；如果它毫無限制地提供可直接執行的操縱步驟，也可能放大傷害。比較負責的方向，是允許辨識警訊、保存證據與求助資訊，並對會直接提升行騙能力的細節保持限制。界線需要跟隨用途與可預見後果，而不是只比對敏感字。
誤攔的成本由誰付
討論安全時，很容易只計算「放過危險請求」的代價。可是正常請求被擋住，也有成本。學生可能無法討論困難但必要的歷史議題；研究者可能難以分析有害內容的傳播；需要協助的人可能因為措辭不夠標準而失去可用的資訊。若某些語言、方言或表達方式更常被誤解，影響還可能不平均。
因此，評估拒答不能只問模型擋住多少有害輸入，還要問它錯擋了誰、在什麼情境錯擋、是否提供可行的替代回答。錯誤率是一個起點，受影響者的處境才告訴我們錯誤有多重。對專業用途尤其如此：一個看似低比例的誤攔，若集中在少數重要任務上，仍可能造成實際損害。
模型說「可以」，也不等於安全
另一個極端，是把沒有拒答當成內容已經過審。生成系統可能給出流暢、肯定、卻缺少根據的說法；也可能在不同問法下改變立場。使用者需要知道，安全機制無法替代對事實的核對，更不能替專業人員負責。模型的回答是資訊產物，不是免責證書。
做治理的人應分清兩種失敗：一種是系統提供了本應限制的協助，另一種是系統以安全之名，阻斷本可正當取得的資訊。若只公開第一種，產品就可能靠過度拒答換取漂亮的安全數字；若只公開第二種，則容易低估真正的傷害。評估報告應讓兩種錯誤都被看見。
我會怎麼設計可檢驗的界線
第一，先寫明使用場景與不提供的協助類型。通用聊天、校園教材、企業內部工具面對的風險未必相同。規則要足夠具體，讓測試者能檢查同類請求是否得到一致處理；也要留下處理例外與新情況的程序。
第二，同時測試危險請求和正當的相鄰請求。不能只用明顯違規的範例證明系統會拒絕，還要用容易被誤攔的求助、教育、新聞與研究情境，觀察它能否提供安全而有用的回答。測試應涵蓋不同語言與表達方式，並記錄哪類人可能承擔較多錯誤。
第三，讓拒答可被申訴與修正。使用者至少應能知道受限原因、回報誤判；產品方則應追蹤回報是否真的改變規則或模型。安全界線不是寫完就永遠正確。若規則造成系統性的誤攔，承認並修正，比用「模型仍在學習」敷衍更有責任感。
第四，保留人的責任。重大規則變更應有能說明理由的決策者；當系統在某類問題上持續失敗，應能暫停功能、調整範圍或提供人工處理管道。把決策藏在複雜模型後面，只會讓受影響的人找不到可以對話的對象。
安全不是一句拒絕，而是一套關係
好的安全機制應讓人理解：系統能幫到哪裡、為何在某處停下、錯誤時如何求助。它既要減少可預見的傷害，也要避免把使用者當成一律可疑的人。這並不容易，因為保護、知情與可用性常常互相拉扯；也正因如此，不能用一個漂亮的拒答率代替公開的取捨。
我習慣說，透明、可檢驗、可撤回的選擇才算真正同意。放在 AI 安全上也一樣：規則要能被說明，效果要能被檢查，錯誤要能被修正。當 AI 說「這個問題不能回答」，真正值得追問的不是它有沒有禮貌，而是這道界線是否有充分理由，以及受影響的人能否看見並挑戰那個理由。