AI 時代機密資料保衛戰：2026 實戰指南，唔好亂貼嘢入 Chatbot 先係第一步

每次你將客仔名單、公司程式碼或者同事人工呢啲敏感資料貼入公開嘅 AI chatbot，就等於將資料交咗俾第三方伺服器——佢哋可能會用嚟訓練模型、無限儲存，甚至喺資料外洩時曝光。好消息係，有一套清晰嘅實證方法可以大幅降低呢個風險。

呢份指南整合咗 2025–2026 年網絡安全公司、私隱監管機構同企業安全團隊嘅建議，變成一張可以直接用嘅行動清單。

第一條鐵律：當消費者 AI 工具係公共場所

最緊要亦最簡單嘅習慣係：如果你唔會貼喺街口嘅廣告板，就唔好打入消費者版嘅 AI chat。 一份 2026 年廣泛引用嘅商業指南講得好直接：「如果你唔會公開貼上網，就諗清楚先放入 AI chat」。呢個包括：密碼、API 金鑰、客仔信用卡號碼、身份證號碼（或類似嘅個人標識符）、受保護嘅健康資料、律師與客戶之間嘅保密通訊、專有原始碼、未公布嘅財務數據，以及同事嘅地址、人工等個人資料。

消費者 AI 平台通常會保留對話紀錄，預設用你嘅提示改進模型，而且未必保證可以刪除資料。相反，企業版嘅工具通常會有合約保障、資料保留控制，同埋可以完全唔參與模型訓練嘅選項。

資料最小化——你最強嘅防線

「避免私隱醜聞嘅最好方法係一開始就冇呢啲資料」，TrustArc 嘅 2026 年管治路線圖咁講。呢個原則——徹底嘅資料最小化——既適用於公司收集咩資料，都適用於員工餵咩嘢俾 AI 工具。

唔好為咗無謂嘅原因收集或儲存個人資料。對 AI 輸入都要有同樣嘅紀律：喺貼任何文字入 prompt 之前，刪走姓名、地址同財務資料。開發同測試時盡量用合成數據或去識別化嘅樣本。

企業一定要做嘅技術防護措施

要保護好企業級 AI 資料，需要疊加多層技術控制。

1. 淨係用企業版 AI 工具做公司嘢。 禁止用個人/免費帳號做商業任務。Microsoft Copilot、Google Gemini for Workspace、ChatGPT Enterprise 呢啲工具嘅企業版，通常有 SOC 2、ISO 27001 同 HIPAA BAA 認證，仲有由你控制嘅資料保留政策。

2. 關閉模型訓練選項。 大部分企業 AI 平台都有個設定，可以防止你嘅資料用嚟改善底層模型。喺任何人開始用之前，一定要閂咗呢個制。

3. 加密傳輸中同靜止嘅資料。 用非對稱加密（asymmetric cryptography）做最初嘅資料交換，傳輸時用 AES 對稱加密。同時要配合穩健嘅金鑰管理同存取控制。現代指引仲建議要準備好後量子加密（post-quantum encryption）嘅準備。

4. 部署即時監控同過濾。 可以掃描 AI 對話嘅系統，能夠即時標記個人可識別資料（PII）、阻止未經授權嘅資料傳輸，並喺洩漏發生前通知安全團隊。資料外洩防護（DLP）工具要延伸到 AI 對話介面，而唔只係電郵同檔案分享。

管治：令制度真正執行嘅政策

冇清晰嘅管治，技術控制就會失效。多個來源嘅私隱同 AI 專家都同意以下四個結構性行動。

對每個處理個人資料嘅 AI 系統做私隱影響評估（PIA）或資料保護影響評估（DPIA）。 呢啲評估要講清楚系統處理咩個人資料、處理嘅法律基礎、對個人權利嘅風險，同埋點樣減低風險——尤其係影響重大決策嘅「高風險」系統。

畫出你嘅資料流向。 「如果你唔知資料喺邊，就冇得保護佢」，TrustArc 路線圖警告。審計吓敏感資料喺邊、點樣喺公司入面流動、邊啲 AI 系統可以接觸到佢哋。

採用「私隱by design」。 由一開始就將私隱控制融入 AI 系統，而唔係等到部署之後先補救。即係預設用最保護私隱嘅設定、限制資料收集、同埋對用戶保持透明。

喺推出新工具之前制定書面 AI 使用政策。 政策要簡單到個個員工都明——例如：「未經批准嘅 AI 工具唔可以輸入客仔、薪酬或健康資料」。政策仲應該包括已批准工具清單、申請新工具嘅流程，同埋違規嘅後果。

用戶級別指引：快速參考 checklist

絕對唔可以入 AI 工具嘅嘢	一定要做嘅嘢
密碼、API 金鑰、登入憑證	輸入 prompt 前刪走姓名、地址、財務資料
客仔信用卡或銀行資料	部署前檢查供應商嘅私隱條款同資料保留設定
身份證號碼或個人標識符	喺所有團隊帳號啟用 MFA 同存取控制
受保護健康資料（除非用 HIPAA 合規工具）	制定簡單清晰嘅內部政策——例如「未經批准嘅工具唔可以入客仔、薪酬或健康資料」

專家最強調嘅重點

多個 2025–2026 年來源嘅共識好清楚：最大嘅風險係唔知道他。機構通常唔知自己啲資料喺邊、員工實際上用緊邊啲 AI 工具、或者呢啲工具有冇保留 prompt。建議嘅第一步係全面審計現有 AI 使用情況，然後制定書面政策、已批准工具清單，同埋定期培訓。

解決方法唔係乜嘢新奇嘢。佢哋只係回歸基本嘅資料衛生——盤點你擁有嘅嘢、減少分享嘅嘢、用開啟咗私隱控制嘅企業工具，同埋教所有人一條簡單嘅規則：如果你唔會公開貼出嚟，就唔好貼入 AI chat。