核心結論
算。只要員工為工作把公司資料輸入個人帳號、公開聊天工具或未核准服務，資料處理、保存、權限與事件回報就可能離開公司控制。企業應先盤點實際用途與資料類型，再提供核准工具和安全替代流程，不要把沒有正式採購誤認為沒有使用。
執行摘要
核心觀察：公司沒有採購 AI，不代表員工沒有使用 AI。英國 NCSC 把未經許可使用的 AI 納入 shadow AI，並指出這類行為通常源自員工想完成工作，而不是惡意違規。若企業只下禁令，使用可能轉入更難看見的個人帳號與公開工具。行動建議：先以無責方式盤點工具、用途與資料類型，建立核准工具清冊，說明可輸入與禁止輸入的資料，提供快速申請和事件回報入口，再依風險決定保留、替換或停止。
沒有採購，不代表沒人使用
員工可能用個人帳號整理會議、改寫郵件、分析表格、翻譯文件或產生程式碼。若企業沒有提供核准工具與清楚入口，這些工作不會因此消失，只會離開公司的權限、保存、稽核與事件回報範圍。此時管理者既不知道資料去了哪裡，也無法判斷產出是否進入客戶、財務或正式決策流程。
英國 NCSC 將未經許可使用的 AI 定義為 shadow AI，並指出影子 IT 通常不是惡意行為，而是員工為了完成工作，正式工具或申請流程卻無法滿足需要。[4] 因此第一步不是找出誰違規，而是了解員工原本要完成的任務，以及現行流程為何讓安全工具難以使用。
先建立可用的安全入口
企業可以先公布核准工具清冊，讓員工知道哪些帳號、版本與裝置能用，各自適合哪些任務。每項工具要連到可輸入資料、禁止資料、輸出保存方式、人工覆核與問題窗口。若核准清冊只有產品名稱，卻沒有用途與資料邊界，員工仍會用自己的方式猜規則。
香港私隱專員公署的員工生成式 AI 清單包含五個面向，分別是准許使用範圍、個資保護、合法及合乎道德的使用、資料安全與違反指引的處理。[2] 英國緩刑督察機構則直接公開核准工具、可用任務與不可由 AI 單獨執行的決策。[6] 這些做法屬其他法域與公部門參考，不直接構成台灣企業的法律義務。
把資料分類翻成工作例子
員工通常不會用抽象的機密等級判斷每次提示詞。規範應改用真實工作說明，例如公開產品資料可用於摘要，去識別後的範例資料可用於格式測試，客戶名單、未公開報價、完整會議錄音、憑證與核心原始碼不得輸入未核准服務。遇到無法判定的資料，先走快速詢問或改用企業核准環境。
行政院參考指引要求不得向生成式 AI 提供應保密、個人及未經同意公開的資訊，產出也須由業務承辦人做最終判斷。[1] NIST 則指出，生成式 AI 的組織治理可能需要更多人工審查、追蹤、文件化與管理監督，可接受使用政策可降低誤用與系統和使用者不一致的風險。[3]
清冊要連到申請與回報
核准清冊必須能持續更新。當員工需要新功能時，要有簡單申請入口，記錄工具、用途、資料類型、使用者與流程負責人；核准後再補上帳號方式、設定、到期檢查與替代方案。若發生誤傳資料、異常輸出或疑似違法內容，也要能立即回報並保留必要證據。
英國內政部工程標準要求只能使用技術清冊中已核准的工具，受限制資料未獲明確核准不得輸入，AI 產出仍須人工審查、測試與追蹤。[5] NCSC 同時提醒，過度封鎖與緩慢申請會再次催生影子 IT。[4] 對中小企業而言，Lead Measure 是已盤點且有明確用途與資料邊界的 AI 使用比例；Lag Measure 才是未核准工具造成的資料事件、重工與客戶影響。
關鍵要點
先無責盤點：詢問員工使用哪些工具、解決什麼工作與輸入哪些資料，不先追究個人責任。
提供核准清冊：每項工具標示可用人員、可用任務、可輸入資料、保存方式與負責人。
把資料分級翻成例子：用報價、客戶名單、會議錄音、原始碼與公開資料說明哪些可用、哪些禁止。
保留快速申請入口：正式工具無法完成任務時，員工能提出需求並取得明確回覆，不必改用個人帳號。
核准不等於免審：AI 產出仍需依原本的審查、測試、簽核與事件回報流程處理。
參考來源
Checklist on Guidelines for the Use of Generative AI by Employees
香港個人資料私隱專員公署 · 2025-03-31
https://www.pcpd.org.hk/english/news_events/media_statements/press_20250331.htmlArtificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile
National Institute of Standards and Technology · 2024-07-25
https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdfSEGAS-00020 Use AI
UK Home Office Engineering Guidance and Standards · 2026-03-20
https://engineering.homeoffice.gov.uk/standards/use-ai/GenAI at HM Inspectorate of Probation
HM Inspectorate of Probation · 2026-04-02
https://hmiprobation.justiceinspectorates.gov.uk/corporate-document/genai-at-hm-inspectorate-of-probation/常見問題
Q：公司沒有買 AI，員工私下使用也算公司風險嗎？
A：算。只要員工為工作把公司資料輸入個人帳號、公開聊天工具或未核准服務，資料處理、保存、權限與事件回報就可能離開公司控制。企業應先盤點實際用途與資料類型，再提供核准工具和安全替代流程，不要把沒有正式採購誤認為沒有使用。
Q：員工 AI 使用規範至少要包含哪些內容？
A：香港私隱專員公署的 2025 年清單分為五個面向：准許使用範圍、個資保護、合法及合乎道德的使用、資料安全，以及違反指引的處理。企業還應把核准工具、用途、適用人員、可輸入資料、輸出保存、人工覆核與事故回報寫成員工能直接判斷的例子。
Q：全面封鎖公開 AI，是最安全的做法嗎？
A：不一定。英國 NCSC 指出，影子 IT 通常來自員工想完成工作，但正式工具不足或申請流程太慢。只有封鎖而沒有替代工具、快速申請與諮詢入口，使用可能轉到更難看見的個人裝置或帳號。高敏感資料可以限制，但同時要提供可完成工作的安全路徑。
Q：第一週要怎麼盤點公司的影子 AI？
A：本文建議先做無責問卷或訪談，記錄工具、工作用途、輸入資料、輸出流向、帳號類型與流程負責人；先處理含個資、客戶機密、憑證或核心原始碼的高風險使用。這是導入起點，不是官方固定期限，也不應用盤點結果追究願意揭露問題的員工。
Q：工具列入核准清冊後，員工產出可以直接使用嗎？
A：不可以直接推論。核准代表特定工具、帳號、設定與用途經過評估，不代表每份輸出正確。行政院指引與英國內政部標準都保留人工最終判斷、審查與測試責任。報價、客戶訊息、程式碼與人員決策仍須走原本的覆核、簽核及事件回報流程。
由穹境科技 AI 情報系統生成 · 2026-08-29 · 資料來源見上方參考列表