公司要怎麼訂員工使用 AI 的規則？先寫清楚三件事就夠起步：能用哪些工具、哪些資料絕對不能貼、AI 產出誰要負責把關。下面這套企業 AI 使用規範可直接當第一版草稿，再依產業調整。
公司制定 AI 使用政策的主要目的是什麼？
主要目的不是禁止員工用 AI，而是讓大家在同一個安全邊界內提高效率。具體來說通常有四點：
- 保護客戶與員工個資：避免姓名、聯絡方式、身分證字號、病歷、帳務等資料被貼進消費級公開 AI。
- 保護營業秘密與未公開商業資訊：報價底價、配方、圖面、未上架產品、談判策略等，不應進入公司無法控管的雲端模型。
- 釐清產出責任：對外信件、合約草稿、行銷文案、報價說明，最終仍由「人」審核後才能發出。
- 出事時有通報路徑：萬一誤貼敏感資料，員工知道找誰、先做什麼，而不是自己刪掉聊天就當沒事。
行政院也有公布《行政院及所屬機關（構）使用生成式 AI 參考指引》，強調資料保護、產出查核與使用紀律。民間企業不必照抄公文用語，但「先分級、再使用、產出要人核」這條線是一致的。
員工可以使用哪些 AI 工具？怎麼決定？
建議用「工具白名單 + 帳號等級」兩層來管，比開一張無限大的禁止清單好執行。
建議白名單（可依公司調整）
| 類型 | 常見工具（例） | 建議帳號 | 可處理資料等級 |
|---|---|---|---|
| 對話／寫作 | ChatGPT、Gemini、Claude | 公司商務版優先；個人免費版僅限公開／去識別內容 | 公開、經核准的內部 |
| 辦公助理 | Microsoft 365 Copilot、Google Workspace 內建 AI | 綁公司帳號與既有權限 | 依該檔案原本權限 |
| 程式／文件輔助 | Cursor、GitHub Copilot 等 | 公司授權；關閉把私有碼上傳訓練的選項（若供應商有提供） | 內部程式碼需另訂 |
怎麼決定能不能用？
- 有沒有商務合約與資料處理條款？消費級個人帳號，資料去向通常較難由公司控管。
- 資料會不會被用來訓練模型？商務方案多半可關閉或預設不訓練；個人版要自己查當下條款。
- 能不能用公司信箱／SSO 控管帳號？離職時能否關閉存取。
- 產業有無額外規範？醫療、金融、政府標案等，可能根本不能用外部公有雲 AI。
實務建議：先准許「公司核可的商務帳號」處理公開與部分內部資料；個人免費帳號若暫時無法禁止，至少限制只能處理「公開」等級內容。
哪些資料絕對不能貼進公開 AI 工具？
以下類型，預設列入「禁止使用 AI」（含截圖、語音輸入、上傳檔案）：
- 個人資料（PII）：姓名＋聯絡方式組合、身分證字號、護照、帳號密碼、生物辨識、病歷／健康檢查、薪資明細等（對照個資法對個人資料的定義精神）。
- 客戶名單與交易細節：完整客戶清單、未公開訂單、合約全文、催收紀錄。
- 未公開商業資訊：未發布價格／底價、即將上架產品規格、行銷檔期、談判底線。
- 圖面與技術資產：工程圖、模具圖、配方、製程參數、原始碼中的金鑰與內部 API。
- 憑證與存取資訊：密碼、API Key、Token、VPN 設定、後台截圖含工作階段。
- 營業秘密：符合營業秘密法要件、公司已採取合理保密措施的技術或經營資訊。
不確定時，先當禁止，再問主管或資安／管理窗口，不要先貼再補救。
資料分級表（可直接複製）
| 等級 | 說明（例） | 可否使用外部 AI | 備註 |
|---|---|---|---|
| 公開 | 官網已公開文案、已發布新聞稿、公開產品型錄 | 可以 | 仍建議檢查有無誤夾內部備註 |
| 內部 | 對內公告、一般作業 SOP、已去識別的統計 | 僅限公司核可之商務 AI；禁止貼完整個資 | 去識別要真的去到認不出人 |
| 機密 | 未公開報價、客戶合約、人事考核、財務報表 | 原則禁止；若有地端／專用環境另訂白名單 | 需主管書面或系統核准 |
| 禁止使用 AI | 個資、密碼金鑰、營業秘密、未公開圖面／配方 | 禁止（含上傳與截圖） | 誤貼立即依通報流程處理 |
中小企業可先把這四列印成一頁，貼在公佈欄或放進新人訓練包。
AI 產出誰負責？
原則：AI 是助手，不是責任主體。對外或具法律效力的內容，發出前必須有人類審核。
- 對內草稿（會議摘要、待辦整理）：使用者本人負責正確性。
- 對客戶／對外公開（信件、報價說明、官網文案、社群貼文）：該業務或行銷負責人審核後才能送出。
- 合約、聲明、個資相關回覆、財務數字：主管或指定窗口審核；必要時再送法務／會計。
- 程式碼／設定變更：比照既有 code review 或上線流程，不可「AI 寫完直接上正式機」。
審核重點不只是錯字，還有：有沒有捏造來源、有沒有把別家機密寫進去、數字與條件是否與公司實際一致。
不小心把敏感資料貼上去了，怎麼辦？
不要自行隱瞞。建議流程：
- 立刻停止繼續輸入該段敏感內容。
- 若工具支援：刪除該則對話、關閉雲端同步、或依供應商說明停用該聊天（各家操作不同，以當下產品說明為準）。
- 依公司名冊通報：例如直屬主管＋管理部／資安窗口（公司應事先指定）。
- 記錄：大約何時、用哪個帳號／工具、貼了哪類資料（不必再把原文貼到別的群組）。
- 由窗口判斷後續：是否需依個資法第 12 條通知當事人、是否通報主管機關——時限與範圍以主管機關訂定辦法及公司法律顧問意見為準，本文不自行發明時限。
第一次誤貼，重點是「快速通報、減少擴散」；反覆故意違規，才依工作規則處理。
一頁精簡版｜企業 AI 使用守則（可複製）
公司名稱：＿＿＿＿＿＿ 生效日：＿＿＿＿＿＿ 版本：v1
- 目的：在保護個資與營業秘密的前提下，允許同仁使用公司核可的 AI 工具提升效率。
- 適用對象：全體正職、兼職、約聘、工讀及可存取公司資料的協力廠商。
- 核可工具：僅限＿＿＿＿（例：公司 ChatGPT 商務版／Microsoft 365 Copilot）。個人免費帳號僅得處理「公開」資料。
- 資料分級：公開／內部／機密／禁止使用 AI；分級表見附件。不確定時視同禁止。
- 禁止行為：將個資、客戶名單、未公開價格、圖面配方、密碼金鑰、營業秘密貼入或上傳至外部 AI。
- 產出責任：對外或具法律效力內容，須經指定人員審核後始得使用；使用者不得主張「是 AI 寫的」而免責。
- 帳號管理：以公司信箱開通；離職或調職時關閉權限。禁止共用密碼。
- 誤貼通報：發現後立即停止輸入、儘可能刪除對話，並於＿＿小時內通知＿＿＿＿。
- 教育訓練：新人到職＿＿週內完成說明；規範更新時重訓。
- 違反處理：依工作規則與相關法令；重大洩漏另循法律程序。
（簽名欄：員工／主管／管理部）
常見問題
公司制定 AI 使用政策的主要目的是什麼？
主要是保護個資與營業秘密、釐清 AI 產出的人工審核責任，並在出事時有明確通報路徑，讓員工能安心使用核可工具，而不是全面封殺。
員工可以用自己的 ChatGPT 免費帳號嗎？
若公司尚未提供商務帳號，建議至少限制個人帳號只能處理「公開」資料；內部與機密一律等到公司核可環境再說。
把客戶姓名打碼後貼上去可以嗎？
僅去掉姓名往往不夠。地址、電話、訂單編號、罕見職稱等組合起來仍可能識別個人。不確定就不要貼。
AI 寫的報價信出錯，誰負責？
發出前的審核者與該業務負責人。AI 供應商不會替你的商業條件背書。
需要跟客戶說我們有用 AI 嗎？
視合約與產業習慣。若客戶合約禁止使用外部 AI 或要求告知，應遵守合約；對內規範應寫清楚「遇到客戶禁止條款時以合約為準」。
這份範本可以直接當正式辦法嗎？
可以當第一版草稿。涉及個資通知、營業秘密、懲處條款，請專業人士審閱後再公告。
甫東可以協助什麼？
甫東科技 AI 顧問服務把「公司版 AI 使用規範」列為可交付項目，也可搭配導入節奏與內訓，幫你把規範寫到同仁真的做得到。選顧問時可一併參考AI 導入顧問怎麼選。
結語：先有邊界，再談加速
南部很多中小企業其實已經在用 AI，缺的不是工具，而是寫得清楚、執行得了的 AI 使用規定。先公告白名單與分級表，再補訓練與通報，通常比一次寫出厚厚手冊更有效。
若希望有人陪著把「公司版 AI 使用規範」寫到可落地，並配合對內說明，歡迎從AI 顧問服務頁了解甫東的做法——我們會依你的產業與現有工具調整，不會丟一份無法執行的空範本。
再次提醒：本文僅供實務參考，不構成法律意見。採用前請就個資法、營業秘密法及貴公司工作規則請專業人士審閱。
