公司／客戶資料可以貼入 ChatGPT 嗎？AI 安全清單

先分清資料級別

點解「只係叫 AI 改文」都要小心？

Prompt 本身都係輸入資料

好多人以為「貼一段文字」同「正式上載文件」唔同，但由資料處理角度睇，prompt、附件同其他上載內容都可能成為服務處理嘅輸入。OpenAI 私隱政策明確列出，其會收集你在服務輸入中提供的 Personal Data，包括 prompts 及上載內容。^[5]

所以，用 AI 前要先做資料最少化：能夠唔貼原文就唔貼；能夠貼摘要就唔好上載整份文件；能夠刪走身份資料就先刪走。

企業版有控制，但都要跟公司政策

OpenAI 的企業私隱頁面表示，其承諾讓客戶對 business data 有 ownership and control；該頁面亦提到，ChatGPT Business、ChatGPT Enterprise 同 API 等服務可簽署 DPA，以支援 GDPR 等私隱法合規需要。^[7] OpenAI 的 business data 頁面則列出資料保留政策、Enterprise Key Management，以及對 GDPR、CCPA 同若干安全／合規框架嘅支援。^[6]

這些配套有助管理風險，但公司仍然要講清楚：邊類資料可以用、邊類要先去識別化、邊類完全唔准輸入、邊啲人有權使用，以及一旦出錯要點樣記錄同通報。

工具安全，不等於內容適合輸入

即使工具本身有企業級控制，資料仍可能受客戶合約、行業規則或內部保密要求限制。判斷重點唔係「AI 幫唔幫到手」，而係「呢份資料應唔應該離開原本嘅受控環境」。

貼之前，先問自己 4 條問題

1. 內容有無個人資料或客戶資料？

只要資料足以直接或間接識別個人或客戶，就應該當高風險處理。實務上，先移除姓名、電話、電郵、地址、帳戶號碼、訂單號、個案編號、身份或付款資料，再判斷係咪仍然需要輸入。這亦符合「prompt 會成為服務輸入內容」呢個基本事實。^[5]

2. 內容係咪公司機密？

就算無個人資料，內容都可能係公司唔應該外流嘅商業資料，例如報價、合約條款、未公開收入、內部流程、產品策略或客戶名單。唔好因為「只係整理一下」就將原文貼入未經批准嘅工具。

3. 你用緊嘅係公司批准 AI 環境嗎？

私人帳戶、免費工具或未經審批嘅外部 AI 工具，唔應該當成公司資料處理環境。如果工作真係需要處理 business data，應使用公司批准、具備合約同資料控制嘅方案，並確認 DPA、資料保留政策、Enterprise Key Management 或其他控制是否符合公司要求。^[6][7]

4. 任務真係需要原文嗎？

好多 AI 任務其實唔需要完整原始資料。例如要草擬客戶回覆，通常只需要投訴重點、語氣要求同公司可承諾嘅下一步；未必需要客戶真名、電話、地址、訂單號或完整合約。

較安全嘅 AI 工作流程

第一步：先睇公司政策。 檢查公司有無 AI 使用守則、資料分類政策、客戶合約限制或行業合規要求。無把握時，唔好自己估「應該冇事」。

第二步：先分類，再決定可否輸入。 問清楚內容是否包含個人資料、客戶資料、內部機密、合約、財務、付款、身份或其他敏感資料。只要答案係「有」或者「唔肯定」，就當高風險處理。

第三步：最少化同去識別化。 能夠唔貼原文就唔貼；能夠貼摘要就唔好上載整份文件；能夠用假名就唔用真名。把真實姓名、公司名、電話、電郵、地址、帳戶號、訂單號同個案編號，替換成「客戶 A」「供應商 B」「訂單 123」等中性代號。

第四步：高風險資料只在批准環境處理。 如果工作必須處理 business data，應使用公司批准、具備合約同管理控制嘅企業方案，並確認 DPA、資料保留政策、Enterprise Key Management 或其他控制是否合適。^[6][7]

第五步：有疑問就升級處理。 涉及客戶、員工、身份、付款、醫療、合約、財務或未公開策略資料時，先問 IT、法務、合規或主管，再決定是否可以用 AI 處理。

Prompt 改寫示例

唔建議咁貼：

以下係客戶完整投訴電郵、電話、地址、訂單號碼同合約內容，幫我寫回覆。

較安全嘅寫法：

以下係已去識別化嘅客戶投訴摘要。客戶 A 表示產品延遲送達，已等候 10 日，要求退款。請幫我寫一封有禮貌、承認問題、提出下一步安排嘅回覆。唔好加入任何未提供嘅事實。

這種改寫唔會令風險變成零，但可以減少不必要嘅個人資料同公司資料暴露。考慮到 OpenAI 私隱政策列明會收集服務輸入中的 Personal Data，最少化輸入本身就係基本安全做法。^[5]

企業版係咪代表可以貼晒所有資料？

唔係。企業版或 API 可以提供較多合約、資料保留同管理控制；OpenAI 表示相關企業服務對 business data 提供 ownership and control，並可簽署 DPA，以支援 GDPR 等私隱法合規需要。^[7] OpenAI 亦提到 Enterprise Key Management、資料保留政策，以及其資料保護做法對 GDPR、CCPA 同若干安全／合規框架嘅支援。^[6]

但企業控制只係風險管理其中一部分。公司仍然要決定：邊啲資料可以輸入、邊啲要先去識別化、邊啲完全唔准輸入、邊啲人有權使用，以及出事時要點樣記錄同通報。

快速檢查清單

貼公司或客戶資料入 ChatGPT／AI 前，逐項確認：

• 公司政策容許呢個用途
• 內容無客戶個人資料，或者已完成去識別化
• 內容無公司機密，或者已獲批准處理
• 只貼最少必要內容，無上載整份原始文件
• 使用公司批准工具，而唔係私人或未審批帳戶
• 如使用企業方案，已確認 DPA、資料保留政策及相關管理控制是否合適^[6][7]
• 有疑問時，先問 IT、法務、合規或主管再做

最實用嘅判斷句係：公開、低敏感資料可以按政策使用 AI；涉及客戶、合約、財務、身份、付款、未公開業務資料或公司機密時，唔好將原文貼入一般或未經批准嘅 AI 工具。先最少化、去識別化，再只在公司批准嘅受控環境處理。^[5][6][7]