用 AI 起草網站與 App 隱私權政策：草稿快很多，但別當它是律師

網站要上線了，缺一份隱私權政策；接案交件前，客戶問你「隱私權頁面呢？」；小電商想接金流跟 Facebook 廣告，對方後台一直提醒你要有隱私政策連結。這時候很多人會做兩件事：一是隨手 Google 一份範本複製貼上，二是丟給 ChatGPT 說「幫我寫一份隱私權政策」，然後把吐出來的整段貼上網站就當作搞定了。

這兩種做法都能生出一份「看起來很像那回事」的文件，但也都埋著同一顆雷：那份文件很可能跟你網站的真實情況對不上，該揭露的沒揭露，沒做的事卻寫得煞有介事。

這篇要解決的問題：教你把 AI 當成「把初稿寫快」的工具，而不是「幫你負法律責任」的律師，用對流程產出一份貼近你真實蒐集情形、對齊台灣個資法的隱私權政策草稿。

適合誰讀：要上線網站或 App 的中小企業、接案工程師、正在架設商店的小電商，以及任何負責生出那份隱私權頁面的人。

讀完你會得到：一份隱私政策該有哪些段落的清單、如何把你的真實蒐集情形餵給 AI 工具 的方法、可複製的結構化 Prompt、一個台灣接案工程師的實作案例、常見錯誤清單，以及最重要的一段提醒——AI 幫不了你哪些事。

一句 TL;DR：AI 能把隱私權政策的初稿從「空白」變成「八成成形」，替你省下大量打字與組織架構的時間；但它不知道你實際蒐集了什麼、不為內容的合法性負責，正式上線前務必自己逐條核對事實，並請律師複核。

重要免責聲明：本文為教學與流程整理，所有內容僅供參考，不構成法律意見。台灣網站主要適用《個人資料保護法》，若你的服務面向歐盟使用者，另可能涉及 GDPR 等外國法規。個資法遵牽涉你的真實營運細節，正式對外的文件請務必諮詢律師或專業人士，切勿把本文或 AI 產出當成「照抄就合法」的保證。

先搞懂：AI 在這件事上，到底能幫你什麼、不能幫你什麼

先把期待校準好，後面才不會踩坑。

AI 真正擅長的，是「把你已經知道的事，組織成完整、通順、有結構的文字」。隱私權政策有相對固定的骨架——蒐集哪些資料、目的、Cookie、第三方、使用者權利、聯絡方式——這種「格式明確、需要把片段串成完整段落」的任務，正是語言模型的強項。你告訴它你的情況，它能在幾分鐘內給你一份排版整齊、語氣專業、段落齊全的草稿，這一步用手打可能要花你半天。

但 AI 有一個致命的盲點：它看不到你的網站。它不知道你埋了哪些追蹤碼、串了哪個金流、後台存了哪些欄位、資料放在哪個國家的伺服器。你不講，它就只能「猜一個常見的樣子」寫給你。問題是它猜得很像真的，讓你誤以為它「知道」，於是把一份跟你實況對不上的文件貼上網站。

更關鍵的是，隱私權政策是一份會產生法律責任的對外承諾。你寫了「我們不會將您的資料提供給第三方」，結果你其實串了 Facebook Pixel，那就是不實揭露。AI 不會因為寫錯而負責，負責的是你。所以正確的心態是：AI 產草稿，你核事實，律師定稿。這條分工線，整篇文章請你記牢。

一份隱私權政策，該有哪些段落

在餵給 AI 之前，先自己心裡有底：一份對台灣網站來說相對完整的隱私權政策，通常會涵蓋以下幾塊。理解這個骨架，你才有能力判斷 AI 有沒有漏寫或亂寫。

• 前言與適用範圍：這份政策適用於哪個網站或 App，你是誰（個人工作室或公司），以及使用服務即代表理解本政策。
• 蒐集哪些個人資料：具體列出你會蒐集的欄位，例如姓名、Email、電話、地址、訂單內容、瀏覽紀錄、IP、Cookie 識別碼等。這一段最忌籠統，要對得上你的表單與後台。
• 蒐集的目的與利用方式：為什麼蒐集這些資料，例如處理訂單、寄送電子報、客服聯繫、網站流量分析、改善服務。台灣個資法很重視「特定目的」，這段是核心。
• Cookie 與追蹤技術：你使用哪些 Cookie 與第三方追蹤工具，用途為何，以及使用者可如何透過瀏覽器設定管理。
• 第三方服務與資料分享：你把資料交給了誰處理，例如金流商、物流、電子報平台、雲端主機、分析工具，以及是否有跨境傳輸。
• 資料如何保護與保留多久：你採取哪些安全措施、資料保留期限、何時刪除。
• 使用者的權利與行使方式：依個資法，當事人有查詢、閱覽、複製、補充更正、請求停止蒐集處理利用、請求刪除等權利，以及他們要怎麼向你行使（通常是提供聯絡窗口）。
• 未成年人：若你的服務可能觸及未成年人，需說明相關處理原則。
• 政策更新與生效日期：政策可能修訂，以及最後更新日期。
• 聯絡方式：使用者要行使權利或有疑問時，如何聯絡你（通常是聯絡表單或客服窗口，避免直接暴露私人信箱）。

看完這份骨架你會發現一件事：每一段的正確內容，都來自「你實際做了什麼」，不是來自 AI 的想像。所以真正的第一步，不是打開 ChatGPT，而是盤點你自己。

第一步（最重要）：盤點你真的蒐集了哪些個資

這一步花的時間，決定你最後那份政策準不準。打開你的網站與各種後台，像查帳一樣把下面這些通通列出來：

• 表單欄位：聯絡表單、註冊、結帳、電子報訂閱各要填什麼？每一個欄位都是一項個資。
• 帳號系統：有沒有會員？用 Email 註冊還是串 Google／Facebook 登入？存了哪些資料？
• 金流與物流：接了哪家金流（綠界、藍新、Stripe…）？物流會拿到收件人姓名地址電話嗎？
• 追蹤與分析碼：網站原始碼裡有沒有 Google Analytics、Google Ads、Facebook Pixel、Hotjar、LINE、客服 widget？這些各自放 Cookie、傳資料給第三方。
• 電子報與行銷工具：用不用 Mailchimp、電子豹之類？名單存在哪？
• 主機與資料位置：網站與資料庫放在哪（台灣、美國、雲端服務商）？這關係到跨境傳輸的揭露。
• 保留與刪除：這些資料你打算留多久？有沒有刪除機制？

把以上寫成一張清單，這張清單就是餵給 AI 的「原料」。沒有這張清單，AI 寫出來的一切都是通用範本；有了它，AI 才能替你寫出「屬於你的」政策。

第二步：用結構化 Prompt 餵給 AI 產草稿

盤點完，把清單轉成 Prompt。重點是「講清楚你的真實情況＋要求它標注需要你確認的地方」，不要讓它自由發揮。

你是一位協助我起草文件的助理（不是律師，你的產出僅為草稿，不構成法律意見）。
請根據我提供的「實際蒐集情形」，幫我起草一份繁體中文、台灣用語的網站隱私權政策草稿。

【我的身分】
- 我是：（個人接案工程師／小型電商公司，請擇一並簡述）
- 網站性質：（例如：作品集網站／販售手作商品的網路商店）
- 適用法規：主要為台灣《個人資料保護法》。
- 我的使用者：（是否有歐盟訪客或會員？若有請提醒我 GDPR 可能適用，若無則聚焦台灣個資法）

【我實際蒐集的個資與目的】（請只根據以下內容寫，不要自行增添我沒提到的項目）
- 表單/欄位：（例如：聯絡表單蒐集姓名、Email；結帳蒐集姓名、電話、地址）
- 帳號：（有無會員、如何註冊）
- 金流/物流：（用哪家、對方會拿到什麼）
- 追蹤碼：（例如：Google Analytics、Facebook Pixel，請據此寫 Cookie 與第三方段落）
- 電子報：（有無、用哪個平台）
- 主機/資料位置：（例如：主機在美國，屬跨境傳輸）
- 保留期限：（打算留多久、如何刪除）
- 使用者行使權利的聯絡方式：（例如：透過網站聯絡表單，不公開私人信箱）

【輸出要求】
1. 依標準段落結構逐段撰寫：前言與適用範圍、蒐集哪些個資、蒐集目的與利用、Cookie 與追蹤、第三方與資料分享、資料保護與保留、使用者權利與行使方式、未成年人、政策更新與生效日、聯絡方式。
2. 只根據我提供的資訊撰寫，凡是我沒給、你不確定的地方，用【請確認：______】的空格標出來，絕對不要自己編一個聽起來合理的內容填進去。
3. 使用者權利段落，請對齊台灣個資法當事人可行使的權利（查詢、閱覽、複製、補充更正、停止蒐集處理利用、刪除）。
4. 語氣專業清楚、白話好懂，不要用艱澀法律術語堆砌。
5. 最後另附一段「給我自己看的檢查清單」，列出這份草稿裡我上線前一定要再自己確認或請律師複核的重點。

這份 Prompt 的關鍵設計在兩處：一是明確叫它「只根據我給的資訊寫、不確定就標空格」，逼它別亂編；二是要它最後吐一份「給你自己看的檢查清單」，等於請它幫你標好雷區。

第三步：逐段核對事實，而不是潤稿

拿到草稿後，最常見的錯誤是「讀一遍覺得很通順就上線」。通順不等於正確。你要做的是拿出第一步那張真實清單，一段一段對：

• 它寫的蒐集項目，是不是「不多也不少」剛好等於你實際蒐集的？有沒有多寫了你根本沒蒐集的？有沒有漏掉某個表單欄位？
• 第三方段落，是不是把你實際串的服務都寫到了？有沒有寫了一個你沒用的、或漏了 Facebook Pixel？
• 有沒有那種「我們絕不會將資料提供給任何第三方」的漂亮話，但你其實有串分析工具？這種前後矛盾最危險。
• 那些【請確認：______】的空格，你有沒有真的一個個填掉？

這一步是整個流程的靈魂。AI 幫你把 80% 的骨肉長出來，但把它從「像樣」變成「正確」的那 20%，只有你能做，因為只有你知道你的網站真正在做什麼。

台灣情境案例：接案工程師阿哲的作品集網站

阿哲是接案的前端工程師，幫自己架了個作品集網站，放了聯絡表單讓潛在客戶留言，也埋了 Google Analytics 看流量，還接了一個第三方留言板。案子要交付時客戶問他要隱私權政策，他一開始想 Google 一份公司版範本貼上，但那範本通篇在講「會員資料」「訂單」「金流」，跟他一個純作品集網站根本對不上。

他改用上面的流程。先花十分鐘盤點：聯絡表單蒐集姓名與 Email、埋了 GA（會放 Cookie、資料傳給 Google）、留言板是第三方服務、網站掛在國外主機。他把這些填進 Prompt 餵給 AI，五分鐘拿到一份草稿。草稿裡 AI 誠實地在幾處標了【請確認：資料保留期限】【請確認：留言板服務商名稱】，他一一補上。

接著他核對事實，發現 AI 自作主張寫了一句「我們可能會寄送行銷電子報給您」——但他根本沒做電子報，這是 AI 腦補的，他直接刪掉。他也把使用者權利段落的「請洽客服電話」改成「透過網站聯絡表單」，因為他不想公開私人手機。

最後，因為這只是個人作品集、沒有金流、沒有會員、也沒有歐盟客戶，風險相對單純，他把定稿寄給一位有法律背景的朋友快速看過確認沒有明顯問題才上線。他的心得是：AI 讓他從「不知道從何寫起」變成「二十分鐘有一份對得上實況的草稿」，但真正讓他敢上線的，是他自己刪掉那句腦補、和最後那次人工複核。

換成規模更大的小電商，情況更複雜：有會員、有金流、有 Facebook 廣告再行銷、可能有跨境。這種涉及財務與大量個資、又要接廣告平台的情況，AI 草稿只是起點，正式版本更應該請律師依實際串接與營運模式複核，別省這一步。

常見錯誤

• 把 AI 草稿整段照抄上線：最大也最危險的錯。草稿沒經你核對，等於對使用者做了你自己都沒檢查過的承諾。
• 沒盤點就叫 AI 寫：只丟「幫我寫隱私權政策」，得到的是通用範本，跟你的網站對不上，形同虛設。
• 政策寫了你沒做的事：AI 腦補出電子報、會員、跨境傳輸等你根本沒有的項目，你沒刪就留著，變成不實揭露。
• 政策漏了你有做的事：埋了 GA、Facebook Pixel 卻沒在 Cookie 與第三方段落揭露，這是最常見的漏洞。
• 抄別人網站的政策改一改：對不上你的實況，還可能有著作權問題，兩頭皆輸。
• 上線後就不再更新：換了金流、加了追蹤碼、開始跑行銷，政策卻停在一年前，實際與揭露脫節。
• 把真實客戶個資貼進 AI 當範例：你要描述的是「蒐集哪些欄位」，不是把真名真電話貼進對話框，那才是外洩。
• 在政策裡直接公開私人 Email 或手機：用聯絡表單或客服窗口即可，避免私人聯絡方式被爬蟲收走變成垃圾信來源。
• 只做台灣生意卻照抄一份滿是 GDPR 條款的範本：反之，有歐盟客戶卻完全沒考慮 GDPR，兩種都是沒對齊真實適用範圍。

AI 幫不了你的部分：法律責任這條線

這一段請務必看完，它比前面所有技巧都重要。

AI 是一個很強的文字生成工具，但它不是律師，也不會為你的隱私權政策負任何法律責任。它可以在幾分鐘內幫你把初稿寫得很完整，卻有幾件事它本質上做不到：

它無法真正「懂」你的營運。它看不到你的後台、你的合約、你跟第三方服務商之間的資料處理協議，它只能根據你打的字去推測，你少講一句，它就漏一塊。

它無法保證合法。個資法遵不是「有沒有寫到那幾個字」，而是「你實際的蒐集、處理、利用有沒有合法依據、你的安全維護義務有沒有盡到」。這些牽涉事實與法律判斷，AI 生成的文字通順漂亮，不代表它在法律上站得住腳。

它不會為錯誤負責。如果政策寫錯導致你違反告知義務、或做了不實揭露，承擔後果的是你，不是 AI。這也是為什麼隱私權政策屬於高風險（YMYL）的文件，值得你比其他文案更謹慎對待。

所以最後這一步——請律師或熟悉個資法遵的專業人士複核定稿——不是可有可無的裝飾，而是整個流程真正的終點。尤其當你有會員系統、金流、大量個資、跨境傳輸，或面向歐盟使用者可能涉及 GDPR 時，更不該省。AI 幫你把時間與心力集中在最有價值的地方，但簽在最後對外承諾上的，永遠是你自己的名字。

把分工記牢：AI 產草稿、你核事實、律師定稿。三者缺一，這份文件都不該上線。

小結

用 AI 起草隱私權政策，真正的價值不在「一鍵生成一份法律文件」——那是危險的幻覺——而在於它能把你「已經盤點清楚的真實情況」，快速組織成一份完整、通順、有結構的草稿，替你省下大量從零開始的時間。前提是你得先做好盤點、產出後逐條核對事實、並在上線前請專業人士複核。做對這套流程，AI 是替你把粗活做完的好幫手；做錯了，它只是幫你把一份對不上實況的文件寫得更像真的而已。

想找更多把 AI 用在實際營運場景的方法，歡迎到 AgentAI 智庫 逛逛，我們持續整理適合台灣中小企業與個人開發者的 實用教學、AI 工具評測 與 可直接套用的範本，把 AI 從「聽起來很厲害」變成「今天就能用」。

常見問題 FAQ

延伸閱讀

• 中小企業導入 AI 的資安與個資守則
• 個人如何用 AI 保護自己的隱私
• 用 AI 快速寫出網站文案
• 用 AI 協助審閱合約條款