公司同客戶資料可以貼落 ChatGPT 嗎？AI 安全清單

為什麼「只是叫 AI 改文」都要小心

Prompt 本身就是輸入資料

很多人以為「貼一下」和正式上載文件不同，但在資料處理角度，prompt、附件和其他上載內容都可能成為服務處理的輸入。OpenAI 私隱政策明確列出，其會收集你在服務輸入中提供的 Personal Data，包括 prompts 及上載內容。^[5]

因此，使用 AI 前應先做資料最少化：能不貼原文就不貼，能貼摘要就不要上載整份文件，能刪走身份資料就先刪走。

企業版有控制，但仍要配合公司政策

OpenAI 的企業私隱頁面表示，其承諾讓客戶對 business data 有 ownership and control；該頁面亦提到，ChatGPT Business、ChatGPT Enterprise 和 API 等服務可簽署 DPA，以支援 GDPR 等私隱法合規需要。^[7] OpenAI 的 business data 頁面則列出資料保留政策、Enterprise Key Management，以及對 GDPR、CCPA 和若干安全／合規框架的支援。^[6]

這些配套有助管理風險，但公司仍要明確規定：哪些資料可用、哪些要先去識別化、哪些完全不得輸入、誰有權使用，以及出錯時如何通報。

工具安全不等於內容適合輸入

即使工具本身提供企業級控制，資料仍可能受客戶合約、行業規則或內部保密要求限制。判斷重點不是「AI 會不會幫到手」，而是「這份資料是否應該離開原本的受控環境」。

貼之前問 4 條問題

1. 內容有沒有個人資料或客戶資料？

只要資料足以直接或間接識別個人或客戶，就應按高風險處理。實務上，先移除姓名、電話、電郵、地址、帳戶號碼、訂單號、個案編號、身份或付款資料，再判斷是否仍需要輸入。這樣做亦符合「prompt 會成為服務輸入內容」這個基本事實。^[5]

2. 內容是否公司機密？

即使沒有個人資料，內容也可能是公司不應外流的商業資料，例如報價、合約條款、未公開收入、內部流程、產品策略或客戶名單。這類資料不應因為「只是整理一下」就原文貼入未經批准的工具。

3. 你用的是公司批准的 AI 環境嗎？

私人帳戶、免費工具或未經審批的外部 AI 工具，不應被當作公司資料處理環境。若工作真的需要處理 business data，應使用公司批准、具備合約與資料控制的方案，並確認 DPA、資料保留政策、Enterprise Key Management 或其他控制是否符合公司要求。^[6][7]

4. 任務是否真的需要原文？

很多 AI 任務不需要完整原始資料。例如要草擬客戶回覆，通常只需要投訴重點、語氣要求和可承諾的下一步；不一定需要客戶真名、電話、地址、訂單號或完整合約。

較安全的 AI 工作流程

第一步：先看公司政策。 檢查公司是否有 AI 使用守則、資料分類政策、客戶合約限制或行業合規要求。沒有把握時，不要自行判斷「應該冇事」。

第二步：先分類，再決定可否輸入。 問清楚內容是否包含個人資料、客戶資料、內部機密、合約、財務、付款、身份或其他敏感資料。只要答案是「有」或「不肯定」，就按高風險處理。

第三步：最少化和去識別化。 能不貼原文就不貼；能貼摘要就不要上載整份文件；能用假名就不用真名。把真實姓名、公司名、電話、電郵、地址、帳戶號、訂單號和個案編號，替換成「客戶 A」「供應商 B」「訂單 123」等中性代號。

第四步：只在批准環境處理高風險資料。 如果工作必須處理 business data，應使用公司批准、具備合約與管理控制的企業方案，並確認 DPA、資料保留政策、Enterprise Key Management 或其他控制是否合適。^[6][7]

第五步：有疑問就升級處理。 涉及客戶、員工、身份、付款、醫療、合約、財務或未公開策略資料時，先問 IT、法務、合規或主管，再決定是否可以用 AI 處理。

Prompt 改寫示例

不建議這樣貼：

以下是客戶的完整投訴電郵、電話、地址、訂單號碼和合約內容，幫我寫回覆。

較安全的寫法：

以下是已去識別化的客戶投訴摘要。客戶 A 表示產品延遲送達，已等候 10 日，要求退款。請幫我寫一封有禮貌、承認問題、提出下一步安排的回覆。不要加入任何未提供的事實。

這種改寫不能把風險變成零，但可以減少不必要的個人資料和公司資料暴露。考慮到 OpenAI 私隱政策列明會收集服務輸入中的 Personal Data，最少化輸入本身就是基本安全做法。^[5]

企業版是否代表可以貼所有資料？

不是。企業版或 API 可以提供較多合約、資料保留和管理控制；OpenAI 表示相關企業服務對 business data 提供 ownership and control，並可簽署 DPA 以支援 GDPR 等私隱法合規需要。^[7] OpenAI 亦提到 Enterprise Key Management、資料保留政策，以及其資料保護做法對 GDPR、CCPA 和若干安全／合規框架的支援。^[6]

但企業控制只是風險管理的一部分。公司仍要決定哪些資料可以輸入、哪些要先去識別化、哪些完全不得輸入、誰有權使用，以及出錯時要怎樣記錄和通報。

快速檢查清單

貼公司或客戶資料入 ChatGPT／AI 前，逐項確認：

• 公司政策容許這個用途
• 內容沒有客戶個人資料，或已完成去識別化
• 內容沒有公司機密，或已獲批准處理
• 只貼最少必要內容，沒有上載整份原始文件
• 使用公司批准的工具，而不是私人或未審批帳戶
• 如使用企業方案，已確認 DPA、資料保留政策及相關管理控制是否合適^[6][7]
• 有疑問時，先問 IT、法務、合規或主管再做

最實用的判斷句是：公開、低敏感資料可以按政策使用 AI；涉及客戶、合約、財務、身份、付款、未公開業務資料或公司機密時，不要原文貼入一般或未經批准的 AI 工具，先最少化、去識別化，再只在公司批准的受控環境處理。^[5][6][7]