香港公司用 AI 要注意什麼？私隱條例與指引的六項檢查

我們認為，AI 管治是指公司訂明誰可以用 AI、AI 可處理哪些工作、流程要留下哪些紀錄，以及哪一步要經人審批。《個人資料（私隱）條例》規管資料使用者如何處理個人資料。個人資料私隱專員公署（私隱專員公署）則發出指引，就兩方面提出建議：機構如何管治涉及個人資料的 AI，以及員工如何使用生成式 AI。以下六項檢查都註明出處；哪些法律責任適用於您的公司，可交法律顧問判斷。

每項之下的「我們的核對」是 A2FF 建議的內部做法，並非法律要求。

1. AI 工作由誰負責？

如果 AI 工作涉及個人資料，公司可以先指定一位高層負責統籌。私隱專員公署的《人工智能 (AI)：個人資料保障模範框架》（《模範框架》）說，機構「應建立」具足夠資源、專業知識和決策權的內部管治架構。

框架說，AI 管治架構「可包含」向董事會匯報的 AI 管治委員會。機構亦「應指派高級管理人員」領導跨部門團隊，例如行政總裁或資訊總監。

我們的核對：您說得出負責人是誰，而每項新的 AI 用途都經這位負責人審視。

來源（私隱專員公署指引）：《模範框架》，2024 年 6 月 [2]。

2. AI 用途的風險不同，人為監督要到什麼程度？

《模範框架》建議機構先評估每項涉及個人資料的 AI 用途有多大風險，再按風險高低決定人為監督的程度。

框架說：「人類決策者應就 AI 所作的決策及輸出的結果負上最終的責任。」框架又指出，高風險系統應採取「人在環中」的人為監督方式。

我們的核對：每項 AI 用途都有書面的風險級別，並有一位指定同事覆核 AI 的輸出。

來源（私隱專員公署指引）：《模範框架》第二部及第 12、31、32 段 [2]。

3. AI 工具可以用哪些個人資料？

《模範框架》說，機構在採購、實施或使用 AI 時如涉及個人資料，「應確保遵從《個人資料（私隱）條例》（《私隱條例》）的規定，包括附表1的六項保障資料原則」。

框架稱六項原則是《私隱條例》的「核心規定」。其中三項與這項檢查直接相關：

• 第 1 原則：收集的資料須「足夠但不超乎適度」。
• 第 3 原則：「如無有關的資料當事人的訂明同意，個人資料不得用於新目的。」
• 第 4 原則：資料使用者須採取所有切實可行的步驟，保障個人資料不受未獲准許或意外的查閱、處理、刪除、喪失或使用所影響。資料使用者聘用資料處理者代為處理資料時，還須「採取合約規範方法或其他方法」保障轉交對方的資料。

我們的核對：每款獲批准的 AI 工具，都有一份書面清單，列明它可以和不可以接觸哪些資料。

來源（法律）：《個人資料（私隱）條例》（第 486 章）附表 1 [1]；《模範框架》第 8 段 [2]。

4. 員工用生成式 AI，公司要定下哪些規則？

公司可以先列明員工可用哪些生成式 AI 工具、可輸入什麼資料，以及怎樣處理工具生成的內容。私隱專員公署 2025 年 3 月的《僱員使用生成式AI的指引清單》可供公司制訂內部規則時參考。

《指引清單》建議公司「提供清晰指示，說明可輸入至生成式AI工具的資訊種類及數量」。清單列出的實用貼士包括「定期向僱員傳達政策或指引」和「教育僱員如何有效及負責任地使用生成式AI工具」。

我們的核對：員工找得到 AI 政策和獲批准的 AI 工具清單，並接受過這兩方面的培訓。

來源（私隱專員公署指引）：《僱員使用生成式AI的指引清單》，2025 年 3 月 [3]。

5. AI 出錯或資料外洩，由誰先處理？

《指引清單》建議，員工 AI 政策要包括「AI事故及資料外洩事故應變」。

私隱專員公署 2026 年審查了 60 間機構。在其中 24 間以 AI 收集或使用個人資料的機構裏，22 間（約 92%）有資料外洩應變計劃；這 22 間之中，9 間（約 41%）的計劃特別涵蓋 AI 相關資料外洩。這些數字只適用於受審查的機構，不能當作全港公司的比例。

我們的核對：您的資料外洩應變計劃寫明 AI 工具引致外洩時由誰先處理。

來源（私隱專員公署指引）：《指引清單》[3]；私隱專員公署 2026 年 5 月 19 日循規審查新聞稿及附件 [4]。

6. 用了 AI，要向哪些人說明？

私隱專員公署建議機構讓員工、客戶及其他受影響的人知道 AI 用在哪裏。《模範框架》說：「機構應清楚讓持份者知道機構在使用 AI」。

框架指出，機構定製及使用 AI 時如涉及個人資料，「必須依據《私隱條例》的保障資料第 1(3) 及第 5 原則，向相關資料當事人告知所需的資訊」。需要告知的資訊包括資料的用途。除此以外，框架說，除非在有關情況下使用 AI 已顯而易見，否則機構「應考慮」清楚而顯著地披露 AI 系統的使用。

我們的核對：您的私隱聲明及面向客戶的 AI 工具都說明 AI 用在哪裏。

來源（私隱專員公署指引）：《模範框架》第四部第 51 至 53 段 [2]。

哪些情況要另看其他文件？

• 如果您的公司是銀行，可看金管局 2024 年 8 月 19 日向所有認可機構發出的「應用生成式人工智能的消費者保障」通告。通告說明在面向客戶的服務中應用生成式 AI 的消費者保障原則；在此範圍內，通告說「認可機構董事局及高級管理層須對所有以GenAI推動的決定及程序負責」。
• 如果您的公司是持牌法團，可看證監會 2024 年 11 月 12 日的「生成式 AI 語言模型的使用」通函。這份通函的對象，是在受規管活動中使用 AI 語言模型的持牌法團。2026 年 6 月 2 日的「加強網絡安全措施　應對人工智能驅動的網絡攻擊引發的新興風險」通函，則提醒持牌法團、獲證監會發牌的虛擬資產服務提供者及其有聯繫實體，應檢視並加強各自的網絡安全措施。
• 如果您使用 AI Agent，私隱專員公署 2026 年 8 月 25 日的《代理式人工智能篇：保障個人資料私隱》寫道：「值得注意的是，由於智能體並不是法律實體，透過智能體收集、持有、處理或使用個人資料的機構作為資料使用者仍須負責遵守《私隱條例》下的規定，包括六項保障資料原則。」
• 如果您的公司設於歐盟以外，而您提供或部署的 AI 系統所產生的輸出會在歐盟使用，可看歐盟《人工智能法案》第 2(1)(c) 條。該條涵蓋「providers and deployers of AI systems that have their place of establishment or are located in a third country, where the output produced by the AI system is used in the Union」（本文翻譯：設於或位於第三國，而 AI 系統輸出在歐盟使用的提供者及部署者）。
• 如果您向中國內地公眾提供生成式 AI 服務，可看內地的《生成式人工智能服务管理暂行办法》。辦法自 2023 年 8 月 15 日施行，第 2 條適用於向內地公眾提供生成內容的服務。

接下來政府會推出什麼？

《行政長官2026年施政報告》宣布在數字政策辦公室（數字辦）設立 AI 專員。政府也宣布會按實際應用經驗，明年與香港人工智能研發院發布「全社會適用的AI Agent安全管理指引」。