快速摘要
如果你的公司還沒有正式的 AI 使用政策，員工正在自己決定什麼資料可以給 AI。本文提供一份可直接修改的政策框架，涵蓋七大面向，幫你在一天內建立公司的 AI 使用規範。
為什麼需要 AI 使用政策
調查顯示超過 60% 的員工在未經公司核准的情況下使用 AI 工具。沒有正式政策的後果：
- 員工把客戶資料貼進免費版 AI 工具
- 機密文件被上傳到 AI 平台
- AI 生成的內容未經審查就發布
- 出了問題沒人知道該怎麼處理
政策框架七大面向
- 資料使用規則
- 核准的 AI 工具清單
- 安全規範
- 輸出審查流程
- 員工培訓
- 事故處理
- 定期檢視
資料使用規則
| 資料分類 | 可使用的 AI 方案 | 限制 |
|---|---|---|
| 公開資料 | 所有核准工具 | 無特殊限制 |
| 內部資料 | 企業版 AI 工具 | 需脫敏處理 |
| 機密資料 | 僅限企業版/私有部署 | 需主管核准 |
| 高度機密 | 禁止使用外部 AI | — |
工具核准流程
只有經過 IT/資安團隊評估的 AI 工具才可以使用。評估項目包括：
- 資料處理和隱私政策
- 是否將輸入用於訓練
- 資料儲存位置和安全性
- SOC 2 等安全認證
- 企業功能（SSO、管理後台）
安全規範
- 不得上傳含有客戶 PII 的檔案到 AI 工具
- 不得使用 AI 生成涉及法律效力的文件而不經法務審查
- 不得讓 AI 自動發送訊息或郵件
- 不得分享公司的 API Key 或登入憑證給 AI
- AI 生成的程式碼必須經過 code review
員工培訓要求
所有使用 AI 工具的員工必須完成：
- AI 基礎認知（1 小時）
- 資料分類與隱私保護（1 小時）
- 公司 AI 使用政策說明（30 分鐘）
- 每季更新培訓（30 分鐘）
事故處理流程
- 發現：員工發現可能的資料外洩或不當使用
- 通報：立即通報主管和 IT/資安團隊
- 評估：評估影響範圍和嚴重程度
- 處置：停止使用相關 AI 工具，刪除相關對話紀錄
- 改善：檢討政策是否需要更新
可直接使用的政策範本
AI 使用政策範本（精簡版）
1. 目的：規範公司員工使用 AI 工具的方式，確保資料安全和合規。
2. 適用範圍：所有使用 AI 工具處理公司相關事務的員工。
3. 核准工具：[列出公司核准的 AI 工具清單]
4. 資料規則：機密以上資料禁止使用外部 AI 工具。內部資料需脫敏後才可使用。
5. 安全要求：AI 生成的內容必須經過人工審查才可對外發布或執行。
6. 違規處理：違反本政策者依公司規章處理。
7. 生效日期：[日期]
8. 下次檢視：每季檢視一次。
常見問題
小公司（10 人以下）也需要 AI 使用政策嗎？
需要，但可以用精簡版。至少要有：核准的工具清單、資料使用規則、和基本的安全規範。一頁的 policy 比沒有 policy 好一百倍。
政策多久要更新一次？
建議每季檢視一次。AI 工具和安全環境變化很快，政策需要跟上。每次有重大 AI 安全事件或公司開始使用新的 AI 工具時，也應該臨時檢視。
怎麼讓員工真的遵守？
三個關鍵：讓政策簡單好懂、提供培訓讓員工知道為什麼、定期檢查使用情況。如果政策太複雜或太限制，員工只會偷偷用而不報告。