中小企業導入 AI 的資安與個資守則：8 步把風險管好再上線

導入 AI 之後，老闆最常半夜驚醒的不是「同事不會用」，而是「會不會有人把客戶名單、報價單、甚至程式碼貼進 ChatGPT，結果哪天就外洩了？」這個擔心一點都不誇張——對中小企業來說，AI 帶來效率的同時，也打開了一個過去不存在的資料出口。

這篇要解決的問題：教你在「還沒出事之前」，用一套可落地的守則把 AI 的資安與個資風險管好。 適合誰讀：要導入 AI 工具 的中小企業老闆、IT/總務窗口、各部門主管，以及負責草擬內部規範的人。 讀完你會得到：一套四級資料分級法、一張可直接貼上牆的「可上傳/不可上傳清單」、選方案與設定的檢查表、可複製的政策產生 Prompt，以及一個台灣公司導入前後的真實對照與成果數據。

一句 TL;DR：別禁止員工用 AI（禁了他們也會偷用），而是「先做資料分級、給一張紅線清單、選會幫你關掉訓練的企業版、再做一次教育訓練」——這四件事做完，八成的風險就管住了。

免責聲明：本文為教學與觀念整理，所述法規與做法僅供參考，不構成法律意見。實際導入請依貴公司資料、產業法規（如金融、醫療另有規範）與各服務當下條款，並諮詢專業人士後評估。

為什麼這件事，AI 時代特別值得認真做

過去公司的資料外洩，多半要透過 USB、email 附件或駭客入侵，路徑相對清楚。AI 出現後，外洩變成「對話框裡貼一段文字」這麼簡單，而且常常是好心、想把事做好的員工做的——他想讓 AI 幫忙潤稿、算數字、寫回信，順手就把整份客戶資料貼了上去。

這帶來三個過去沒有的新風險：

1. 資料離開公司的門檻趨近於零：以前要外洩得「動手搬」，現在複製貼上就送出去了，而且多數是用個人帳號，公司完全看不到。
2. 你不知道資料去了哪、留多久：消費級工具的對話可能被用來改善模型、被快取、被人工抽樣審查，你很難掌控保留與刪除。
3. AI 會「記住」並重組：你今天餵的片段，理論上可能在未來的回答裡以某種形式浮現。雖然主流企業版已承諾不訓練，但免費版的邊界並不總是清楚。

但反過來說，這也正是現在就把守則建好最划算的時機。AI 在中小企業才剛起步，使用習慣還沒定型，這時候立規矩，員工會當成「本來就該這樣」；等到大家都養成隨手貼的習慣，再回頭管就難了。事前花一小時，遠勝事後花十倍力氣善後一次個資外洩、賠償與商譽損失。

核心概念：把「能不能用 AI」變成可判斷的規則

多數公司的 AI 政策之所以失敗，是因為只寫了一句「請勿上傳機密資料」。問題是——什麼叫機密？員工當下根本判斷不了，最後要嘛不敢用、要嘛憑感覺亂貼。守則要能落地，關鍵是把模糊的原則，變成「一眼就能對照」的具體規則。

用四級資料分級當地基

第一步是把公司會碰到的資料分成四級，每一級對應一個明確的 AI 使用態度：

有了這張表，「能不能貼」就不再是哲學問題，而是查表問題。

三個一定要先弄懂的觀念

• 去識別化：把能認出特定個人的資訊拿掉或替換，例如「林先生 0912-xxx」→「客戶 A」。注意：光遮姓名不夠，地址、訂單號＋公司名、員工編號都可能反推出人，要一起處理。
• 不訓練（Opt-out / 企業版預設）：確認你用的方案「不會拿你的輸入去訓練模型」。企業版通常預設如此並寫進合約，免費版則常相反。
• 影子 AI（Shadow AI）：員工私下用個人帳號處理公司資料。這是中小企業最大破口，無法靠「禁止」解決，只能靠「給好用的合規工具＋講清楚」。

實際做法：8 步建立你的 AI 資安守則

下面把守則拆成八個步驟，從盤點到稽核，照著做一輪，一家中小企業大約一週內就能上線。

Step 1：盤點資料、做四級分級

找各部門主管花一小時，把日常會碰到的資料攤開來列，套進上面的四級表。重點不是寫得完美，而是讓每個部門對「我手上哪些東西是紅線」有共識。這張分級表就是後面所有規則的地基。

Step 2：把規則變成「可上傳／不可上傳清單」

抽象的分級表員工記不住，要再翻譯成一張白話清單，貼在內部公告或釘在群組：

• 可以貼：公開文案、去識別化後的數據、通用問題（「幫我寫一封催款信範本」）、不含真實個資的草稿。
• 絕對不要貼：完整客戶名單、含姓名電話的訂單、合約全文、原始碼、財報、員工履歷、密碼與金鑰。

Step 3：選對方案，並把「訓練」關掉

優先採用 企業版／團隊版（如 ChatGPT Team/Enterprise、Claude Team/Enterprise、Gemini for Workspace）。導入前確認三件事：服務承諾不拿你的資料訓練模型、提供資料處理協議（DPA）、可設定資料保留期限。若評估工具，可參考我們整理的 中小企業最值得用的 AI 工具清單 與 AI 工具總覽。

Step 4：用公司帳號統一管理、開啟驗證

要求所有人用公司網域帳號登入 AI 工具，而非個人 Gmail。開啟雙重驗證（2FA）或單一登入（SSO），並確認管理後台能看到「誰、什麼時候、用了哪個工具」。離職時帳號要能一鍵停用——個人帳號做不到這點。

Step 5：設定資料保留與最小權限

在管理後台把資料保留期限設到符合需求的最短（例如 30 天），不需要的連接器、外掛、分享功能先關閉。權限給「夠用就好」，避免一個帳號能存取全公司資料。若你會用到 AI Agent 自動執行任務，務必參考 AI Agent 治理與權限管控，把付款、刪除、寄送這類敏感動作設成人工確認。

Step 6：對外內容與決策，一律人工複核

寫進守則：AI 產出的對外文案、報價、客服回覆、合約意見，都必須由人複核後才送出，並留下複核紀錄。這既防止 AI 幻覺與算錯造成損失，也是萬一出事時的免責依據。

Step 7：做一次 30 分鐘教育訓練

把清單、紅線、外洩了要找誰，用真實情境講一遍：「假設客戶寄來一份含 50 筆個資的名單要你做摘要，你會怎麼做？」讓員工演練「先去識別化再上傳」。教育訓練的重點不是嚇人，而是讓合規變成肌肉記憶。

Step 8：定期稽核與更新

每季抽查一次使用紀錄、更新清單（新工具、新法規），並設一個簡單的通報管道：員工發現自己貼錯了，能在第一時間講出來而不怕被罵——能即時補救，比事後才爆出來好太多。

可複製 Prompt：一鍵產出你的 AI 使用政策草稿

把下面這段貼進你公司核可的 AI 工具，填入中括號內容，就能產出一份貼合你產業的政策初稿。產出後務必由人（必要時律師）複核，再公告。

你是一位熟悉台灣《個人資料保護法》與資訊安全的企業顧問。
請為我們公司草擬一份「AI 工具使用與資料保護守則」，對象是不懂技術的一般員工，語氣清楚、可執行。

【公司背景】
- 產業：[例如 電商／製造／顧問服務]
- 規模：[例如 15 人]
- 常用 AI 工具：[例如 ChatGPT Team、Claude]
- 最敏感的資料：[例如 客戶訂單含姓名電話、供應商報價]

請輸出以下章節：
1. 一頁版「可上傳／不可上傳清單」（用條列，越白話越好）
2. 四級資料分級表（公開／內部／機密／個資）與各級的 AI 使用規則
3. 去識別化的 3 個實例（壞示範→好示範）
4. 帳號、雙重驗證、資料保留的最低要求
5. 對外內容須人工複核的規定
6. 違規處理與外洩通報流程（找誰、多快）
7. 給員工的 5 條黃金守則（背得起來的短句）

請以繁體中文、台灣用語撰寫，避免艱澀法律術語，必要處附一句白話解釋。

台灣中小企業實作案例：15 人電商的「貼錯名單」驚魂

背景：台中一家經營保健食品的電商公司，15 人，客服與行銷團隊每天用 AI 寫文案、回客訴、整理訂單。導入初期沒有任何規範。

導入前的痛點：

• 客服為了快速回覆，曾把一份含 80 筆顧客姓名、電話、購買紀錄的 Excel 整份貼進免費版 AI 請它做摘要——事後才意識到那是個資。
• 三個人各自用個人 Gmail 帳號登入不同 AI 工具，公司完全不知道有誰在用、資料流向哪。
• 行銷把一份還沒公開的促銷報價貼進 AI 潤稿，所幸沒外流，但已是高風險動作。
• 老闆想管，卻只丟了一句「不要亂貼機密」在群組，沒人知道界線在哪。

導入守則的過程：他們花一週跑完上面八步——先做四級分級、產出一張清單貼在辦公室與群組、把全員換到 ChatGPT Team（關閉訓練、保留期設 30 天、公司網域 SSO）、辦一場 30 分鐘教育訓練演練「先去識別化再上傳」，並設了「貼錯了就回報、不究責」的通報機制。對於需要整批處理訂單的場景，改用我們的 中小企業 AI 食譜 與 自動化 Workflow 範本，在去識別化後再交給 AI，並把流程接上 自動化平台。

導入後的成果（導入三個月對照）：

關鍵心得：老闆原本以為「立規矩會讓大家不敢用 AI」，結果相反——因為界線變清楚、又給了合規又好用的官方工具，員工反而更敢、更放心地用，使用率不降反升。把資安守則做對，不是踩煞車，而是讓你能安心踩油門。

常見錯誤：這 6 個坑最多人踩

1. 只發一句「禁止上傳機密」就當有政策了：員工判斷不了什麼算機密，等於沒講。一定要有具體清單。
2. 直接全面禁用 AI：禁得了檯面，禁不了私下。員工照樣用個人帳號偷貼，反而更失控——這就是影子 AI。
3. 用免費版處理客戶資料：免費版常預設可拿你的對話改善模型，又難掌控保留與刪除，碰個資等於開門。
4. 以為遮掉姓名就叫去識別化：身分證號、完整地址、訂單號＋公司名都可能反推出人，要一起處理。
5. 訂了守則卻沒人複核 AI 產出就對外發：AI 會幻覺、會算錯，沒人把關，錯誤直接送到客戶面前，責任還是公司的。
6. 訂一次就放著不管：工具、法規、團隊都在變。沒有定期稽核與更新，半年後守則就和現實脫節了。

結論：把資安守則當成「敢用 AI」的前提

很多中小企業在「怕外洩」和「想提效」之間糾結，結果兩頭落空——既沒真的管好風險，也不敢放手用。其實這兩件事不衝突：先把守則建好，才有底氣全速用 AI。

記住最核心的四步：資料分級 → 一張紅線清單 → 選會關掉訓練的企業版 → 一次教育訓練。這四件事一個週末就能起步，卻能擋掉八成的風險。剩下的帳號管理、人工複核、定期稽核，是讓它持續有效的維護工。

接下來建議你：先用上面的 政策產生 Prompt 草擬初稿，再對照 企業導入 AI Agent 的完整路線圖 與 中小企業 AI 投資報酬率怎麼算 把效益算清楚。把規矩立在前面，AI 才會是你公司的助力，而不是哪天爆出來的未爆彈。

常見問題 FAQ

延伸閱讀

• 中小企業 AI 投資報酬率（ROI）怎麼算
• 中小企業最值得用的 AI 工具清單
• Prompt Injection 防禦：別讓 AI 被騙走資料
• AI Agent 治理與權限管控
• 企業導入 AI Agent 的完整路線圖
• 現成的中小企業 AI 食譜（可直接套用）
• 把流程自動化的 AI Workflow 範本