AI 與個人資料條例：香港商業領袖必須了解的事

大多數香港企業把 AI 合規視為「待試點證明價值後再處理」的事。私隱專員公署卻把這個次序倒轉過來：在 2026 年，公署就 60 間機構使用 AI 對個人資料的影響展開審查，而當中沒有一間先被問及「項目是否成功」。

《個人資料（私隱）條例》對香港的 AI 應用意味著什麼？

《個人資料（私隱）條例》（PDPO）規管香港任何機構如何收集、使用及保護個人資料，包括當這些資料流經 AI 系統之時。使用 AI 並不構成豁免，反而會引來更嚴格的審視，因為 AI 以高速與規模處理個人資料。

實務上，只要你的 AI 工具接觸到客戶姓名、身份證號碼或交易紀錄，所有條例下的責任依然適用。技術絲毫不會改變你的謹慎責任。

為什麼 AI 在 2026 年突然成為條例合規的重點？

AI 成為重點，是因為私隱專員公署已從「發布指引」轉為「主動審查合規」。根據公署資料，於 2026 年完成的一輪合規審查涵蓋 60 間機構，延續 2024 及 2025 年的先前輪次，顯示執法關注如今已成常規。

該輪審查並無發現違反條例的情況，而這正是重點所在。監管機構是在事故發生之前，而非之後，確立合規期望。

對部門主管而言，這改變了時間表。問題不再是「是否要建立 AI 管治」，而是「你的管治今天能否通過審查」。

什麼是私隱專員公署的《人工智能：個人資料保障範本框架》？

範本框架是私隱專員公署於 2024 年發布的實務指引，對象為採購、實施及使用涉及個人資料的 AI 系統的機構。有別於 2021 年針對開發者的道德指引，範本框架瞄準真正部署 AI 的企業，因此是香港領袖應首先研讀的文件。

框架圍繞四個範疇：制定 AI 策略與管治架構、進行配以人為監督的風險評估、負責任地客製化與實施 AI，以及與持份者溝通。

根據公署建議，機構亦應制定整體 AI 策略，並為所有相關人員提供足夠培訓。

如何建立一套符合條例的 AI 管治架構？

建立一套具備三大支柱的架構：一名具名的問責負責人或委員會、為每個 AI 應用情境撰寫的風險評估文件，以及在影響個人的決策上設置「人在環中」的檢查點。管治關乎「誰須問責」，而非「你選了哪個模型」。

由問責開始。必須由特定的人或委員會擁有 AI 決策，因為由「所有人」負責，等同無人負責。

為每個應用情境加上風險評估。回答產品問題的聊天機械人，與為貸款申請人評分的模型，承受著截然不同的風險。

在重大決策上保持人為參與。根據公署指引，人為監督的程度應與對個人的潛在影響相稱。

使用代理式 AI 有哪些條例風險？

代理式 AI 提高了風險，因為它會在每一步都無需等待人為批准的情況下，自行對資料採取行動。私隱專員公署於 2026 年 3 月 16 日就代理式 AI 工具的私隱風險發出提示，指出當這類系統自主收集、使用及處理個人資料時，機構必須留意的事項。

風險在於失去控制。一個能自行預約、發送電郵及更新紀錄的代理，可能透過無人審視的行動而洩露個人資料。

對於部署自主代理的物流或物業管理公司而言，條例下保護資料的責任，延伸至代理採取的每一個行動，而不止於你餵入的資料。

企業應如何處理員工使用生成式 AI？

以書面政策處理，而非一刀切禁止。根據公署 2025 年的《僱員使用生成式人工智能的指引清單》，機構應界定員工可輸入 AI 工具的資料類別、哪些工具獲核准，以及濫用的後果。

真正的危險是「影子使用」。員工把客戶資料貼進未經核准的公開聊天機械人，造成任何防火牆都攔不住的條例風險。

清晰的政策加上培訓，能把隱藏風險化為可控風險。徹底禁用 AI，只會把這項活動推離視線之外。

領袖在 AI 與條例上最常犯的錯誤是什麼？

常見錯誤包括：以為供應商的合規等同你的合規、把管治當成一次性文件，以及收集超過 AI 應用所需的個人資料。每一項都把可管理的責任，變成可避免的法律風險。

供應商的合規不等於你的合規。無論工具由誰建造，在條例下你仍然是資料使用者。

管治並非歸檔一次便了事的文件。AI 系統與用途會隨時間漂移，因此公署期望持續的監察與檢視。

過度收集是無聲的陷阱。把你手上每一個資料欄位都餵給 AI，而非只提供任務所需，會在毫無得益下倍增你的風險。

結語：合規是可信 AI 的根基

條例合規並非 AI 雄心的剎車掣，而是讓你能在敏感資料上自信地部署 AI 的架構，因為你知道監管機構審查時，問責、評估與監督早已就位。

在香港能爭取到預算的領袖，正是那些能把 AI 與管治呈現為同一份計劃的人。懂AI，更懂你 — UD相伴，AI不冷。

與 UD 邁出下一步

了解要求是一回事，建立一套能通過審查的管治架構又是另一回事。UD 手把手帶你完成每一步，從 AI 準備度與資料處理評估，到政策設計、部署上線與持續監察，28 年香港企業服務經驗，全程與你同行。