核心結論
先確認附件是否另存於檔案庫，再檢查管理後台、稽核紀錄、備份、匯出副本及法律保全。使用者介面顯示已刪除，只能證明前端狀態改變；完整驗收還需要每一層的處理期限與回讀證據。
執行摘要
核心觀察：AI 資料不是只有聊天畫面一層。OpenAI 說明，刪除聊天後會立即從帳號畫面移除，通常在 30 天內自系統永久刪除，但附件資料庫、內部備份及法律或安全例外可能另有處理。[2] 行動建議：不要只問供應商『能不能刪』，而要建立資料保存矩陣，逐項記錄資料類型、保存位置、起算事件、刪除期限、例外、責任人與驗收證據。
刪除其實是一條流程
以 ChatGPT 為例，第一方政策指出，刪除聊天後會立即從帳號畫面移除，並排定在 30 天內自系統永久刪除；但去識別化資料，以及因安全或法律義務需要保留的資料除外。[2] 同一頁也說明，封存只是把對話藏起來，不是刪除。企業若只看到側欄不見，就把案件標成完成，驗收點放得太早。
更容易漏掉的是附件。OpenAI 說明，聊天與 Library 檔案分開管理，刪除聊天不會刪除已保存到 Library 的附件；某些企業檔案即使已失效，內部備份仍可能再保留最多 30 天。[2] 這些期限只適用該服務的指定情境。採購其他工具時，仍要重新查供應商政策與契約。
模型資料不能當成一般檔案
加拿大隱私監管機關的聯合調查記錄，OpenAI 表示無法透過反向訓練，讓已訓練模型不再使用或產生指定個資；其替代作法包括阻擋經驗證的個資出現在輸出，以及在後續訓練資料中過濾。[1] 這是特定調查對特定時期模型的結論，不代表所有模型永遠無法處理刪除請求，卻足以提醒企業不要把資料庫刪除與模型層處理混為一談。
同一調查也指出，OpenAI 當時雖有若干保存期間，卻在模型發布前尚未完成正式保存與刪除政策，且未為公開網路取得的非結構資料建立保存時程。[1] 因此企業評估供應商時，應追問輸入是否用於訓練、能否退出、既有訓練資料如何處理，以及供應商能提供什麼定期佐證。
保存不是越短越好
澳洲國家檔案館指出，AI 輸出、提示與輸入是否保存，應依營運、法律、證據及問責需要判斷；高風險決策若需要解釋形成過程，相關提示、來源資料與中繼資料也可能需要保留。[3] 反過來，低價值、暫時性內容若沒有持續用途，則應依政策清除，避免無限期累積。這是澳洲政府機關指引，台灣企業不能直接當作法規套用，但可借用它的風險分流方法。
企業的稽核工具也可能另外保存互動。Microsoft 文件說明，ChatGPT Enterprise 互動可進入統一稽核、eDiscovery 與資料生命週期管理；若多個政策或法律保全同時適用，最長保存期間可能優先。[4] 所以員工離職時，不只關閉帳號，還要確認其聊天、附件、稽核、案件保全與匯出副本分別由誰處理。
用矩陣完成刪除驗收
英國 AI 資安實務守則要求在文件中記錄保存時間，向使用者說明資料如何使用、存取與儲存，並在系統退役時由資料保管責任人參與，安全刪除適用資料與設定。[5] 這是英國自願性守則，不是台灣法律要求；對中小企業最實用的做法，是把這些問題提前放進採購清單，而不是等事件發生才問客服。
穹境建議先做一張最小保存矩陣：每列是一種資料，欄位包含保存位置、目的、起算事件、期限、法務例外、刪除方式、責任人與證據。備份要單列，因為 NIST 強調有效備份必須定期建立、測試並在復原演練中檢視。[6] Lead Measure 可追蹤已完成盤點的資料類型與可回讀刪除測試；Lag Measure 則看離職帳號殘留、逾期資料與刪除事件的未結案件數。
關鍵要點
按下刪除不等於所有層次同步消失：聊天畫面、附件資料庫、稽核紀錄、備份與模型資料可能由不同機制管理。
每個期限都要標明適用範圍：OpenAI 的 30 天是特定服務政策，不是所有 AI 工具或所有資料類型的通則。
法律保全可能優先於例行刪除：eDiscovery 或其他保留政策啟用時，資料可能依法或依組織規則繼續保存。
先保留真正需要的營運證據：高風險決策需要留下輸入、輸出、人工覆核與理由；低價值草稿應依政策定期清除。
驗收要有回讀證據：截圖『刪除成功』不足以證明完成，應取得管理後台、稽核紀錄、API 回應或供應商證明。
參考來源
Overview of the Joint Investigation of OpenAI OpCo, LLC
Office of the Privacy Commissioner of Canada · 2026-05-06
https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/pipeda-2026-002-overview?wbdisable=trueChat and File Retention Policies in ChatGPT
OpenAI Help Center · 2026-08
https://help.openai.com/en/articles/8983778-chat-and-file-retention-policies-in-chatgpt%E2%81%A0Information management for records created using artificial intelligence technologies
National Archives of Australia · 2026-09
https://www.naa.gov.au/information-management/manage-information-assets/types-information/information-management-records-created-using-artificial-intelligence-ai-technologiesUse Microsoft Purview to manage data security and compliance for ChatGPT Enterprise
Microsoft Learn · 2026-07-29
https://learn.microsoft.com/en-us/purview/ai-chatgpt-enterpriseCode of Practice for the Cyber Security of AI
UK Department for Science, Innovation and Technology · 2025-01-31
https://www.gov.uk/government/publications/ai-cyber-security-code-of-practice/code-of-practice-for-the-cyber-security-of-aiOT Backup Quick Start Guide
National Institute of Standards and Technology · 2026-06-17
https://csrc.nist.gov/pubs/sp/1339/final常見問題
Q：員工刪除 AI 對話後，公司還需要做什麼？
A：先確認附件是否另存於檔案庫，再檢查管理後台、稽核紀錄、備份、匯出副本及法律保全。使用者介面顯示已刪除，只能證明前端狀態改變；完整驗收還需要每一層的處理期限與回讀證據。
Q：AI 供應商寫 30 天刪除，是否代表 30 天後完全不存在？
A：不能一概而論。要看政策涵蓋的是聊天、附件、帳號、備份還是模型資料，也要閱讀去識別化、安全與法律義務等例外。30 天若來自單一供應商政策，只能套用該政策明列的服務與資料類型。
Q：企業應該保留所有 AI 提示與回答嗎？
A：不建議全部永久保存。高風險決策或正式成果可能需要留下輸入、輸出、來源與人工覆核，低價值草稿則應依政策定期清除。判斷依據是營運、法律、證據與問責需要，不是工具預設值。
Q：員工離職時，刪除 AI 帳號就夠了嗎？
A：通常不夠。企業還應盤點該員工的共享專案、Library 附件、稽核紀錄、匯出檔、整合系統、備份與法律保全，並決定哪些要移交、保留或刪除。每一項都要有責任人和完成證據。
Q：中小企業如何開始做 AI 資料保存治理？
A：先挑一個正在使用的 AI 工具，列出對話、附件、稽核、備份與模型使用五層資料，填入保存目的、位置、期限、例外、責任人及證據。接著用測試帳號實際走一次新增、封存、刪除與離職流程，再修正政策。
由穹境科技 AI 情報系統生成 · 2026-09-10 · 資料來源見上方參考列表