核心結論
需要，但可以很小。先選一個最常使用 AI 的流程，用一頁表格記錄資料來源、類型、處理、儲存、存取者與退出方式。小公司的人員與系統較少，反而更適合先把責任說清楚。重點不是文件厚度，而是出現客戶詢問、工具更換或資料外洩時，能迅速回答資料在哪裡。
執行摘要
核心觀察：企業導入 AI 時，真正需要管理的不是單一模型，而是資料從哪裡來、經過哪些處理、送到哪些內外部系統、由誰查看，以及何時停止使用或刪除。台灣數位發展部的 AI 風險分類框架把盤點應用場景放在風險管理的第一步；澳洲政府與英國政府指引則要求建立資料供應鏈與資料流紀錄。行動建議：先選一個高頻流程，用六個欄位畫出來源、資料類型、處理動作、儲存位置、可存取者與退出方式，再決定哪些環節適合交給 AI。
先從工作問題畫起
中小企業常從工具清單開始談 AI，卻還沒說清楚要改善哪一段工作。較可靠的起點是先選一個高頻、跨人員或容易重工的流程，標出輸入、判斷、輸出與例外，再確認 AI 會讀到什麼資料、替誰做什麼決定，以及結果會送去哪裡。
經濟部中小及新創企業署的 AI 轉型輔導先做數位診斷，系統性盤點企業營運現況與 AI 需求，再聚焦明確需求及可衡量效益。[1] 數位發展部的 AI 風險分類框架同樣先要求盤點應用場景，才進入風險辨識、評定與回應。[2] 這兩項官方做法都把看清使用情境放在選工具之前。
一張表先抓六個欄位
資料流盤點可以先用表格，不必先買治理平台。本文建議每個資料節點記錄六欄：資料從哪裡來、包含哪些類型、經過什麼處理、存在哪裡、誰能存取，以及停止使用、匯出或刪除時怎麼處理。六欄是 SkyRealm 的最小落地方法，不是法規固定格式。
澳洲政府 AI 技術標準要求記錄資料來源、類型、轉換、安全、使用、地理位置、稽核軌跡及變更。[3] 英國政府資料與 AI 倫理框架則建議建立高階資料流圖，逐項說明資料的必要性與比例性，並理解來源、清理、儲存、分享、存取及保存期間。[5] 企業可依風險增加欄位，但不應少到看不出資料如何移動。
邊界才是風險集中處
最容易被忽略的不是單一資料庫，而是資料跨越邊界的時刻，例如員工把客戶文件上傳外部 AI、模型輸出自動寫回 CRM，或承包商取得匯出的完整名單。每一個跨界都應標示傳輸方式、接收者、權限、保存與失敗時的處理，並確認資料能否被追回或刪除。
NIST SP 800-18 修訂版要求中央計畫涵蓋資料的建立、蒐集、散布、使用、儲存與處置，也要記錄內外部環境、元件、資料流、責任與控制。[4] 英國 NCSC 的跨域指引提醒組織理解不同信任區域間的風險、端到端架構與控制。[6] 這些國際指引可作為治理參考，但不直接取代台灣法規、契約與個案評估。
讓資料圖跟著系統更新
資料流圖若只在專案啟動時畫一次，很快就會失真。先用一個流程試行三十天，每次新增工具、改模型、調整欄位、開放權限或變更保存方式，就由變更負責人同步更新。每週挑一筆真實工作，從來源追到輸出，確認文件描述與系統行為一致。
Lead Measure 可追蹤已盤點的資料節點比例、跨界節點完成責任與控制確認的比例，以及變更後同步更新的平均時間。Lag Measure 則觀察未授權傳輸、找不到資料去向、刪除請求無法完成、錯誤輸出回寫正式系統及重工事件。若資料圖不能幫團隊更快回答這些問題，就應縮小欄位或重畫流程。
關鍵要點
先選一個流程：從報價、客服、採購或會議紀錄擇一，不必一開始就盤點全公司。
畫出六個欄位：來源、資料類型、處理動作、儲存位置、可存取者與退出方式，形成最小可用資料圖。
標出所有跨界：只要資料離開原系統、交給第三方或從 AI 回寫正式紀錄，就標成待確認邊界。
每個節點要有人負責：資料擁有者、系統管理者與業務核准者分開寫，避免問題發生時找不到決策人。
跟著變更更新：工具、模型、欄位、權限或保存方式改變時，同步更新資料流與控制。
參考來源
AI Technical Standard: Statement 13
Australian Government Digital Transformation Agency · 2026-09-03
https://www.digital.gov.au/policy/ai/AI-technical-standard/ai-technical-standard-statement-13NIST Releases SP 800-18r2
National Institute of Standards and Technology · 2026-06-30
https://csrc.nist.gov/News/2026/nist-releases-sp-800-18r2Data and AI Ethics Framework
UK Government · 2025-12-18
https://www.gov.uk/government/publications/data-ethics-framework/data-and-ai-ethics-frameworkCross Domain
UK National Cyber Security Centre · 2026-04-21
https://www.ncsc.gov.uk/collection/cross-domain常見問題
Q：公司很小，也需要畫 AI 資料流嗎？
A：需要，但可以很小。先選一個最常使用 AI 的流程，用一頁表格記錄資料來源、類型、處理、儲存、存取者與退出方式。小公司的人員與系統較少，反而更適合先把責任說清楚。重點不是文件厚度，而是出現客戶詢問、工具更換或資料外洩時，能迅速回答資料在哪裡。
Q：用 Excel 或白板畫可以嗎？
A：可以。初期工具只要能共同維護、保留版本並連回實際系統即可。當流程增加、權限複雜或需要持續稽核時，再評估專門平台。若一開始就導入大型工具，卻沒有資料擁有者與更新責任，平台也只會保存過時資訊，無法證明真實資料流。
Q：資料流圖和個資盤點有什麼差別？
A：個資盤點聚焦可識別個人的資料與相應義務；AI 資料流還可能包含設備訊號、內部知識、商業機密、模型輸出、提示、日誌與第三方服務。兩者應互相連結，但不能假設只要沒有姓名就沒有風險。機密文件、錯誤輸出或自動回寫同樣可能造成營運影響。
Q：第三方 AI 供應商應該記錄哪些資訊？
A：至少記錄服務名稱、資料會送去哪裡、處理與儲存地點、可存取角色、是否用於改善模型、保存與刪除方式、匯出能力、事故通知及停用後的處理。這些資訊仍要以當期契約、隱私說明和管理設定核對，不能只依賴業務簡報或過去版本。
Q：資料流盤點完成後，怎麼判斷先自動化哪裡？
A：優先選資料來源穩定、責任清楚、輸出可人工驗證、錯誤可回復的環節。若資料跨多個未知系統、權限無人管理，或輸出會直接影響付款、人事與客戶權益，應先補控制再擴大自動化。可用處理時間、重工率、例外率與人工接手率建立導入前基線。
由穹境科技 AI 情報系統生成 · 2026-09-03 · 資料來源見上方參考列表