培訓採購
員工可以將公司數據放入 AI 工具嗎？香港企業員工 AI 數據規則（2026）
發佈日期： · 最後更新日期：
簡短答案： 可以，只要在公司制定的規則範圍內。香港並不禁止員工在工作時使用生成式 AI，但《個人資料（私隱）條例》（《私隱條例》）仍適用於他們輸入或上傳的任何內容。個人資料私隱專員公署的 《僱員使用生成式 AI 的指引清單》（2025 年 3 月 31 日）要求僱主列出獲准使用的工具，並說明哪些資訊可以或不可以輸入。在我的培訓中，員工會在執行任何 AI 任務前，對數據進行「紅、黃、綠燈」的「三秒檢查」。
作者：黃力桐（Sam Wong），香港企業 AI 培訓師，已為 11,000+ 名學員提供培訓。這是來自我培訓課程的實務指導，而非法律建議。
每場課程都會開始的提問
在我舉辦的幾乎每一個 AI 課程中，都會有人在頭十分鐘內詢問數據安全。人力資源（HR）和 IT 部門想知道員工被允許輸入哪些內容到 AI 中。而員工往往因為相反的原因而有所保留：他們假設處理的所有內容都不能外傳，因此完全不使用 AI。在問題得到解答之前，沒有人會動起來。
個人資料私隱專員公署對僱主的要求
個人資料私隱專員公署（PCPD）發布了該指引清單，旨在幫助組織在遵守《私隱條例》的同時，制定關於員工使用生成式 AI 的內部政策或指引。該指引建議政策應涵蓋：
| 私隱專員公署清單中的項目 | 政策應說明的內容 |
|---|---|
| 獲准使用生成式 AI 的範圍 | 允許使用的生成式 AI 工具、用途（例如草擬或總結內容）以及政策適用的對象 |
| 保障個人資料私隱 | 可以輸入的資訊類型和數量（例如，是否可以輸入個人資料）、輸出內容的使用及儲存方式，以及適用的保留和安全政策 |
| 合法及合乎道德的使用 | 禁止非法或有害的使用；員工需檢查輸出內容的準確性、糾正並報告帶有偏見的輸出，並了解何時需要標註 AI 生成的內容 |
| 數據安全 | 可使用的裝置、可使用工具的員工、強密碼和安全設定，以及報告 AI 事件的流程 |
| 違反政策 | 違反政策可能產生的後果 |
該指引清單還建議為員工提供培訓和資源、支援團隊以及反饋渠道。來源：PCPD 的 新聞稿（2025 年 3 月 31 日） 以及 指引清單本身。
一份書面政策可以回答「哪些工具」以及「可以輸入甚麼」。但員工仍需要一種方法，在他們貼上內容前的三秒內應用這些規則。這就是「紅黃綠燈」的作用。
工作環境中的紅、黃、綠燈
| 顏色 | 所涵蓋內容 | 例子 | 員工的操作 |
|---|---|---|---|
| 紅 | 絕對不可輸入到外部 AI 工具的數據 | 客戶姓名、帳戶號碼、香港身份證號碼、薪資數據、包含姓名的績效評估 | 停止 |
| 黃 | 一旦移除姓名和客戶參考後，可使用的內部材料 | 會議記錄、流程文件、草擬溝通內容、彙總後的績效數據 | 先進行去識別化處理 |
| 綠 | 已發佈或虛構的材料 | 年度報告、新聞稿、公開指引、行業研究 | 直接進行 |
「外部」是關鍵詞。你的公司可能有擁有自己數據處理流程的內部 AI 工具，而你的政策將決定可以輸入到這些工具中的內容。
三秒檢查
在執行每個 AI 任務之前，員工會問自己三個問題：
- 這是否包含姓名、帳戶號碼或其他個人資料？紅色。停止。
- 這是內部內容，但可以移除姓名和客戶參考嗎？黃色。先去識別化處理。
- 這是公開內容或完全虛構的嗎？綠色。繼續執行。
一個簡單的測試可以幫助處理「黃色」情況：如果這段文字出現在公開網站上，會有人感到尷尬或受損嗎？如果是，則需要在進入 AI 工具前進行去識別化處理。
從檢查到一頁員工規則
一頁式的規則比冗長的政策更容易遵循。它需要三樣東西：允許使用的工具列表、每個部門的每種顏色範例，以及可以詢問的負責人姓名。HR 的紅線與市場部的可能不同，因此讓每個部門寫出自己的範例。
在實際計劃中的表現
- 一間大型香港銀行： 該計劃僅使用外部公開數據，因此每個練習都處於綠燈範圍。跨部門的員工仍會在文件、創意工作和數據分析上進行練習。
- 嘉頓： 從 HR 到研發部，每個學習組別都在圍繞其自身工作建立的練習上進行實踐，且僅使用虛構數據。
在上述兩個案例中，客戶與我都在第一個練習開始前，就商定好哪些內容可以輸入到 AI 工具中。這段對話是準備工作的一部分，而不是事後才考慮的補充。
常見問題
員工可以在香港工作時使用 ChatGPT 嗎？
香港並不禁止使用，但你公司的政策決定哪些工具獲准使用。不同工具的可用性也有差異；我比較了香港團隊可以推出的工具，請參閱 香港企業應選擇 ChatGPT、Gemini 還是 Copilot？。
《私隱條例》是否適用於員工輸入到 AI 工具的內容？
是的。《私隱條例》適用於員工輸入到生成式 AI 工具中的個人資料。PCPD 指引清單要求僱主明確說明可以輸入的資訊，包括是否可以輸入個人資料。
我們需要在培訓前制定書面的 AI 政策嗎？
這很有幫助，且 PCPD 指引清單描述了其應涵蓋的內容。如果你還沒有制定，至少在任何練習開始前，先達成共識關於允許使用的工具以及可以輸入的內容。在培訓中，我會根據需要，在公眾或虛構數據上建立練習。
Microsoft 365 Copilot 是更安全的選擇嗎？
這取決於你的授權和設定，而不是品牌。首先計算你實際擁有的授權數量；請參閱 香港企業 Microsoft Copilot 培訓：先確認授權數量。
我們可以在哪裡直接詢問個人資料私隱專員公署？
PCPD 已於 2025 年 3 月 31 日為組織推出「AI 安全」熱線，電話為 2110 1155。
延伸閱讀
資料來源
所有頁面於 2026 年 10 月 22 日核實。