- 多數企業的 AI 風險不是來自導入的系統，而是員工「影子 AI」——私下使用未核准工具處理公司資料；使用規範的首要任務是把影子 AI 變成可管理的白名單
- 規範的可執行性比完整性重要：一頁版的「紅線＋白名單＋審核」三章，勝過沒人讀的三十頁完整版
- 規範必須搭配合規替代方案（企業版工具或地端部署），只禁不給只會把使用行為推回地下[3]
企業 AI 使用規範應該怎麼訂？直接給答案：用八章架構起草（適用範圍、資料紅線、工具白名單、輸出審核、智財、責任、訓練、違規處理），中小企業先做「紅線＋白名單＋審核」三章的一頁精簡版，搭配核准的替代工具一起公布，再用半天教育訓練落地。以下給出每一章要寫什麼、常見紅線清單，以及三步驟導入法。
一、為什麼需要 AI 使用規範：影子 AI 的現實
不論公司有沒有正式導入 AI，員工都已經在用了——把客戶信件貼進免費聊天機器人請它擬回覆、把報表丟給 AI 摘要、用 AI 改合約措辭。每一次貼上，都可能把個資與營業秘密送進公司無法控制的第三方系統[1]。使用規範的目的不是禁止 AI，而是把這些行為導入可管理的軌道：明確什麼資料能用什麼工具、產出怎麼審、出事誰負責。
二、八章範本架構
| 章節 | 核心內容 | 精簡版必要？ |
|---|---|---|
| 1. 適用範圍與定義 | 涵蓋對象（含外包）、AI 工具的定義 | 可併入前言 |
| 2. 資料分級與紅線 | 哪些資料絕不可輸入哪類工具 | 必要 |
| 3. 工具白名單 | 核准工具清單與申請新工具的流程 | 必要 |
| 4. 輸出使用與審核 | 對外內容的人工審核與紀錄要求 | 必要 |
| 5. 智財與著作權 | AI 產出的權利歸屬、素材侵權風險 | 建議 |
| 6. 責任歸屬 | 使用者、審核者、管理單位的分工 | 建議 |
| 7. 教育訓練 | 新進與年度訓練要求 | 可後補 |
| 8. 違規處理 | 分級處理與通報管道 | 可後補 |
三、資料紅線清單（第 2 章的起草素材）
- 絕對紅線（任何未核准工具都不可輸入）：客戶與員工個資[1]、營業秘密（配方、製程、報價邏輯）、未公開財務資訊、他人委託保密的資料
- 條件開放（僅限白名單的企業版／地端工具）：內部文件、程式碼、會議紀錄
- 開放使用：公開資訊、已去識別化的資料、一般性文字潤飾
關鍵配套：紅線要能執行，必須同時給合規出口——需要處理機密資料的部門，提供企業版方案（資料不進入訓練）或地端部署的私有化模型。只禁不給，使用行為只會轉入地下。
四、輸出審核規則（第 4 章的起草素材）
原則一句話：對外的東西，AI 起草、人負責。文宣、合約、報價單、對客信件、程式碼上線——一律經指定人員審核後發布，審核紀錄至少保留可追溯的版本。內部用途（摘要、筆記、腦力激盪）則不需審核，避免規範重到沒人遵守。
五、三步驟導入法
步驟一｜盤點（1 週）：匿名問卷調查員工實際在用的 AI 工具與用途。這份清單通常會讓管理層驚訝，也是白名單的起草基礎。
步驟二｜起草一頁版（1 週）：用第二節的架構挑「紅線、白名單、審核」三章，寫成一頁 A4。公布時同步公告核准工具，訊息是「這樣用是安全的」而非「不准用」。
步驟三｜訓練與迭代（半天＋每季）：半天全員宣導（可搭配政府教育訓練補助），之後每季檢視新工具申請與違規案例，逐年把三章擴充為八章。
政府端的 AI 治理框架（數位發展部相關指引[2]、NIST AI RMF[3]）可作為規範措辭的權威依據。需要針對貴公司產業特性起草規範、或搭配導入專案一併建立治理機制，歡迎與我們聯繫——初談不收費。
