為何香港中小企需要正式的 AI 使用政策？
AI 工具（包括生成式 AI、機器學習服務和自動化系統）在提升效率、節省成本與強化決策方面，對中小企具吸引力。但同時帶來資料外洩、機密資訊濫用、合規風險與責任界定模糊等挑戰。沒有明確的規範，管理層難以監督、員工難以判斷可接受行為，也不利於與客戶或監管單位溝通。
政策的範圍與關鍵定義
在撰寫企業AI使用政策範本 時，首先要釐清政策涵蓋的範圍與專用術語。建議包含下列要點：
- 適用對象：公司全體員工、承包商、第三方供應商與實習生。
- 適用系統：明確列出公司授權使用的 AI 平台、內部部署的模型與允許連線的外部 API。
- 資料定義：界定「機密資料」「受限資料」「公開資料」等分類標準，便於後續處理規則對應。
- 可接受用途：說明 AI 可以用於哪些工作流程（如文件起草、數據分析、客戶服務輔助），以及禁止用途（如輸入客戶機密、向未受信任模型提交個人資料等）。
治理架構：角色與權責
一份實務性政策應明確設定治理架構，至少包含以下角色與職責：
- 最高行政負責人（如 CEO / 管理合夥人）：政策批准與資源分配。
- 資料保護官 / 合規負責人：定期檢視合規風險、更新政策、對接監管要求。
- IT / 安全負責人：設定技術控管、存取權限、日誌與監控。
- 業務單位主管：落實部門內的使用規範與培訓。
- 員工代表或使用者小組：回饋實務使用情況，協助持續改善。
權限管理與技術控管
權限管理是減低濫用與資料外洩風險的根本措施。建議採取分級原則：
- 最小權限原則：使用者只取得完成工作所需的最低權限。
- 分級存取：根據資料分類（公開/受限/機密）與角色，設定不同的輸入與輸出權限。
- 審批流程：對於高風險用途（例如將機密資料輸入外部生成式 AI），須預先提出申請並經主管或合規部門批准。
- 多因子認證與設備管理：限制登入來源，必要時採用受管制的終端或 VPN。
機密資料分類與處理原則
將公司資料依風險與敏感度分類，並為每一類別建立具體的處理規範：
- 機密資料：客戶個人資料、合約條款、未公開財務資料等。禁止將機密資料輸入任何第三方 AI 平台；若必須使用，應採用脫敏、匿名化或在受控環境下執行，並事前取得授權。
- 受限資料：內部營運資料、企劃草案等。允許在公司內部經批准的 AI 系統中使用，並保留操作紀錄。
- 公開資料：對外公開的行銷材料、網站內容等。可在經過基本審核的 AI 工具中使用。
員工責任清單（實務清單）
為降低誤用風險，政策應列出清晰的員工責任清單，方便日常遵循與考核：
- 在輸入資料到 AI 工具前，先判斷該資料的分類與是否取得授權。
- 不得將含有個人識別資訊（PII）或公司機密的原文貼入公有生成式 AI。必要時先進行脫敏或使用內部模型。
- 針對 AI 產出的內容，員工應自行核實事實與合規性，不能直接作為最終對外或內部決策依據。
- 發現可疑結果或潛在外洩事件，應立即通報 IT / 合規團隊並暫停相關帳號或流程。
- 遵守公司提供的培訓與考核要求，完成年度或新工具上線時的必修課程。
範例政策條款（可直接納入內部文件）
以下為可作為公司內部政策段落的範例文字，管理層可根據公司情況修改後採用：
- 「所有員工在使用任何 AI 工具前，必須完成公司指定之資料分類與 AI 使用培訓，並同意遵守本政策。」
- 「禁止在未經批准之第三方 AI 平台中處理機密或受限資料。任何例外使用必須以書面申請並由合規部門核准。」
- 「AI 產出僅為輔助資訊，員工在做出合約、法律或財務相關決策前，須由相關專職人員最終審核確認。」
供應商與外包治理
使用外部 AI 服務時，需注意供應商的安全與合規流程。採購合約應至少包含：
- 資料使用與保存條款：明確禁止供應商將客戶資料用於其他模型訓練或再利用。
- 安全控制與稽核權：公司有權要求供應商提供安全文件或接受第三方稽核。
- 資料刪除與回收條款：服務終止後資料如何刪除或返還的明確流程。
- 責任與賠償：若因供應商失職而導致資料外洩或合規損失，應有明確賠償條款。
教育、培訓與持續評估
政策不是一次性文件，而須配套教育與評估機制：
- 新員工上崗與新系統導入時必修培訓。
- 定期模擬測試（如資料分類題庫、場景演練），檢驗員工是否理解政策。
- 政策變更時提供快速更新說明與問答檔案（FAQ）。
事故通報與應變流程
明確的通報流程有助於迅速遏止損害並滿足監管要求。建議包含：
- 通報窗口與通報時限：誰負責接收、初步評估與升級。
- 封鎖措施：在確認疑似外洩時，立即凍結相關帳號與存取權限。
- 紀錄保存：保存操作日誌、對話紀錄與系統存取紀錄，作為事後調查依據。
- 與受影響者溝通模版：說明何時、如何向客戶或監管單位通知。
監控、稽核與問責
建立技術與流程層面的監控機制，並規劃定期稽核：
- 日誌與稽核：保存 API 調用日誌、輸入輸出紀錄，定期審查異常使用模式。
- 指標監控：例如未經授權的資料輸入、異常流量或帳號濫用事件（以內部基準為準）。
- 問責機制：對違反政策的行為，依公司紀律規定處理，嚴重者可考慮法律責任追究。
實作步驟與內部推動建議
落地一套可執行的企業AI使用政策範本，建議按階段推動：
- 起草：由跨部門小組（法務、IT、業務、HR）共同起草初版政策。
- 試點：在一個業務單元內先行試點，收集使用困難與風險事件。
- 修訂與批准：根據試點結果修訂，最終由管理層核准。
- 全面推行：結合培訓、技術控管與稽核機制全面推行。
- 定期回顧：至少年度回顧或在有重大技術/法規變更時更新。
內部檢查表（可直接列為執行清單）
以下為簡潔的執行檢查表，管理層與 IT 團隊可用作上線前核對：
- 已完成資料分類並建立對應處理規範。
- 列出所有授權使用的 AI 平台與 API 並記錄供應商資訊。
- 建立最小權限存取與審批流程。
- 完成員工基礎培訓並保存培訓紀錄。
- 合約中包含供應商資料使用與刪除條款。
- 部署日誌與監控，設定異常活動通報機制。
- 制定事故應變流程並演練至少一次。
結語：從範本到可執行的政策
企業AI使用政策範本 是起點，但關鍵在落實：管理層要投入資源建立治理結構、IT 要提供必要的技術控管，業務單位須配合培訓與流程。透過分階段實施、持續教育與定期稽核，中小企能在享受 AI 帶來的效益同時，把風險控制在可接受範圍內。
