如何為你的中小企制定 AI 使用政策

什麼是 AI 使用政策？

AI 使用政策是一份簡短的書面文件，用來告訴員工可以使用哪些 AI 工具、可以把哪些資料放進這些工具，以及在把結果對外發放之前，甚麼情況下必須由真人先檢查一次。你可以把它想像成 AI 在公司內的「使用守則」。

它不是法律合約，也不是技術手冊。對一間中小企來說，一份好的 AI 政策只需兩三頁，五分鐘就能讀完。

為什麼你的中小企在 2026 年需要一份？

你需要一份 AI 政策，因為你的員工其實早已在使用 AI，不論你有沒有批准。2026 年的多項調查發現，在香港會於工作中使用 AI 的員工當中，大部分都是自行使用消費級工具，而且多數不受任何公司規則約束。這種無聲、無管理的使用有一個名稱：影子 AI（Shadow AI）。

真正的風險不在於工具本身，而在於資料。當員工為了省時間，把客戶名單、供應商合約或糧單貼進免費聊天機械人，這些資訊可能一按之間就離開了你的掌控。

有一項為期 60 天的 AI 使用安全審視發現，38% 的 AI 互動觸發了風險警示，而最常見的類別，正是個人資料被外洩。

本地也有實際原因。香港個人資料私隱專員公署（PCPD）發布了《僱員使用生成式 AI 的指引清單》，協助機構在遵守《個人資料（私隱）條例》的前提下，制定內部規則。在 2026 年針對 60 間機構的循規審查中，公署發現 AI 採用率已升至 95%，並建議機構加強員工培訓、進行影響評估及建立清晰管治。一份書面政策，正是你證明自己已經做好這些工作的方式。

一份 AI 使用政策應該包含什麼？

一份實用的中小企 AI 政策，涵蓋六件事：哪些工具獲批准、哪些資料可以使用、甚麼時候必須由真人覆核結果、有例外時要問誰、基本培訓，以及違規會有甚麼後果。

以下用最淺白的語言解釋每一部分：

一、獲批准的工具。列出公司允許使用的具體 AI 工具，例如付費商業版的聊天機械人。不在名單上的，使用前需要先取得批准。

二、資料規則。清楚寫明甚麼絕對不可以輸入公開的 AI 工具：客戶個人資料、員工記錄、財務數字、已簽署合約、密碼，以及客戶交託給你的任何機密內容。

三、真人覆核。規定在以下情況必須由人先檢查 AI 的結果：對外的客戶訊息、招聘決定、法律或會計工作、正式記錄，以及任何對外發布的內容。

四、審批與例外。指定一個人，通常就是你這位老闆，負責決定何時可以採用新工具或新用途。

五、培訓。給員工一次簡短講解，讓他們明白規則，也明白背後的原因。一份沒有人讀過的政策，保護不了任何人。

六、後果。平和地說明若無視規則會有甚麼後果，並請每位員工簽名確認已讀過政策。

如何用五個步驟寫出 AI 政策？

寫 AI 政策的方法，是先摸清 AI 在你公司裡實際上是怎樣被使用的，再針對你找到的真實風險去設定規則。對大部分中小企來說，這件事只需要一個專心的下午。

第一步：摸清現況。不帶責備地問團隊，他們用了哪些 AI 工具、用來做甚麼。你幾乎一定會發現比想像中多。

第二步：找出敏感資料的外洩位置。逐項檢視每個用途，問自己：客戶或財務資料，是不是正被送進一個你無法控制的工具？

第三步：定下你的批准名單。挑一兩個你放心的工具，最好是不會用你資料去訓練模型的商業版本，把它們設為預設選擇。

第四步：用你自己的話寫規則。保持在數頁之內，用一個新員工第一天就能看懂的簡單句子。

第五步：向團隊講解，並每季檢討一次。AI 工具變化很快，一份寫完就放著不理的政策，幾個月內就會過時。

中小企最常犯的錯誤是甚麼？

最大的錯誤，是索性全面禁用 AI。一刀切的禁令並不會令使用停止，只會把它推入地下，令你既看不見、也保護不了。真正嘗過省時甜頭的員工，只會去找繞過的方法。

第二個錯誤，是從網上抄一份巨型的企業政策。一份為銀行而寫的 30 頁文件，只會令一間 12 人的零售店一頭霧水，最後鎖進抽屜無人問津。

第三個錯誤，是寫好政策後就再也不提。業界觀察顯示，把清晰政策、培訓與可行替代方案結合起來的企業，在半年內可把高風險、無管理的 AI 使用減少多達 70%。政策只有在人人知道它存在、而且手上真的有一個獲批工具可用時，才會生效。

常見問題

寫 AI 政策需要請律師嗎？

不需要。大部分中小企都可以用上面六個要素，自行草擬一份可行的政策。若你處理大量敏感的個人或醫療資料，才建議找專業人士替你審閱。

政策應該寫多長？

對中小企來說，兩至三頁最理想。如果一個新員工不能在五分鐘內讀完並看懂，那就是太長了。

應該多久更新一次？

每三個月檢討一次。AI 工具和它們的資料設定變化很快，一月時安全的規則，到夏天可能就需要調整。

重點回顧

AI 使用政策不是繁文縟節，而是最簡單、最省錢的方法，讓你的團隊享受 AI 帶來的速度，同時守護客戶資料和你的商譽。由小做起，用淺白語言寫，並把它當成一份會不斷更新的文件。

目標不是拖慢你的生意，而是讓每個人都清楚界線在哪裡，因而更有信心走得更快。懂AI，更懂你 UD相伴，AI不冷。

準備好讓 AI 安全地為你工作？

懂得規則，只是第一步。下一步，是清楚知道 AI 可以在你的生意裡幫上甚麼忙，以及如何在不外洩資料的前提下部署它。UD 陪伴香港企業走這條路已經 28 年，我們會手把手教你，由一次簡單的準備度評估，到一套安全、能實際運作的方案。