核心結論
先建立一頁式資料分級表，把常用資料分成公開、內部、機密與受管制四級，並標示每一級可使用的 AI 工具、核准人與保存方式。接著盤點客服、報價、合約、財務與人事流程，優先處理會接觸個資、商業機密或大量客戶資料的工作。
執行摘要
核心觀察：OECD 2026 年調查顯示，72% 的受訪中小企業表示已有資料隱私政策，但仍有 22% 沒有任何資安措施；18% 確認曾遭受網路攻擊，另有 29% 不確定是否曾被攻擊。文件存在，不代表日常操作已落地。行動建議：先用一頁表單完成資料分級、AI 工具白名單、最小權限、供應商資料用途確認與事故通報演練，再擴大 AI 使用範圍。
有政策，仍不代表資料安全
OECD 2026 年西巴爾幹中小企業調查提供一個直接警訊：72% 的受訪企業表示已有資料隱私政策，但仍有 22% 沒有任何資安措施。18% 確認曾遭受網路攻擊，另有 29% 不確定是否曾被攻擊。[1] 這些結果不能直接代表台灣企業，但清楚說明文件合規與實際防護之間存在落差。
同一份報告指出，所謂資料政策可能是包含分級、存取控制、事件應變與員工責任的治理制度，也可能只是一份沒有操作效力的文件。[1] 對正在導入生成式 AI 的企業而言，真正要檢查的不是是否寫過政策，而是員工今天能把哪些資料交給哪些工具，出事時是否知道怎麼處理。
把資料規則放進 AI 工作流程
第一步是建立四級資料分類：公開資料可進入核准的公用 AI；內部資料只能使用公司帳號與指定工具；機密資料需要主管核准並限制保存；個資、契約限制資料或其他受管制資料，未確認合法目的與保護措施前不得輸入外部服務。分類不必從完整資料庫開始，先涵蓋客服、報價、合約、財務與人事五條高頻流程。
第二步是建立 AI 工具白名單。每項工具至少記錄負責人、帳號類型、可輸入資料、保存期限、供應商是否將內容用於訓練、匯出與刪除方式，以及停用時如何收回權限。NIST 的生成式 AI 指引強調，可信任性要進入設計、開發、使用與評估的整個生命週期，而不是只在採購當天檢查一次。[3]
關鍵要點
文件不是控制措施：政策必須對應到負責人、工具、權限、紀錄與檢查頻率。
先分四級資料：公開、內部、機密、受管制資料要有不同的 AI 使用規則。
建立工具白名單：記錄可用工具、允許輸入的資料、保存方式與供應商二次使用條款。
權限採最小化：AI 系統只取得完成任務所需的帳號、資料夾與操作權限。
每季演練一次：用模擬誤傳或帳號外洩，驗證誰通報、誰停權、誰通知客戶。
參考來源
Uptake of digital tools among SMEs: Western Balkans Enterprise Survey
OECD · 2026-06-26
https://www.oecd.org/en/publications/western-balkans-enterprise-survey_a1b14188-en/full-report/component-4.htmlOECD Due Diligence Guidance for Responsible AI
OECD · 2026-02-19
https://www.oecd.org/en/publications/2026/02/oecd-due-diligence-guidance-for-responsible-ai_7831bb49/full-report/component-3.htmlArtificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile
National Institute of Standards and Technology · 2024-07-26
https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence經濟部舉辦說明會 協助管理顧問業者因應個資保護新制
經濟部中小及新創企業署 · 2026-05-28
https://mnscdn.moea.gov.tw/Mns/Populace/news/News.aspx?kind=1&menu_id=40&news_id=122833經濟部與數位發展部合作 建構中小企業數位安全護盾
經濟部中小及新創企業署 · 2026-02-03
https://www.moea.gov.tw/Mns/Populace/news/News.aspx?kind=1&menu_id=40&news_id=121794NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide
National Institute of Standards and Technology · 2024-02-26
https://www.nist.gov/publications/nist-cybersecurity-framework-20-small-business-quick-start-guide常見問題
Q：中小企業導入 AI 前，最先要做哪一項資料治理？
A：先建立一頁式資料分級表，把常用資料分成公開、內部、機密與受管制四級，並標示每一級可使用的 AI 工具、核准人與保存方式。接著盤點客服、報價、合約、財務與人事流程，優先處理會接觸個資、商業機密或大量客戶資料的工作。
Q：公司已經有隱私政策，為什麼還需要 AI 工具白名單？
A：隱私政策通常描述原則，白名單才把原則轉成每天能執行的選擇。白名單應記錄工具負責人、允許輸入的資料、公司帳號要求、保存期限、供應商是否二次使用內容、刪除方式與停用流程，讓員工知道哪些工具能用、哪些資料不能放進去。
Q：員工不小心把客戶資料貼進 AI 工具，第一時間怎麼處理？
A：先停止該帳號與相關自動化，保留時間、工具、輸入內容、操作人與可能接收者等紀錄，再通知內部資料或資安負責人。接著依供應商機制刪除內容、撤銷分享或權限，評估是否涉及個資或契約通知義務，並在事件結束後修正白名單、權限與教育訓練。
Q：沒有專職資安人員，也能建立 AI 資料治理嗎？
A：可以。先由一位管理者擔任資料治理窗口，使用經濟部與數位發展部的中小企業諮詢、訓練影片與自我診斷指南建立最低基線，再依風險聘請外部專家。重點是每個 AI 流程都要有負責人、資料級別、核准方式、事件通報與停止條件。
Q：如何判斷 AI 資料治理真的有落地？
A：不要只看政策是否簽署。每月抽查工具帳號、輸入資料與權限紀錄；每季用一次誤傳、帳號被盜或供應商停服情境演練。若團隊能在指定時間內辨識事件、停權、保留證據、通知窗口並恢復工作，才代表治理已從文件進入營運。
由穹境科技 AI 情報系統生成 · 2026-08-14 · 資料來源見上方參考列表