先說一個令大多數香港老闆意外的事實：香港並沒有任何法例，禁止你的公司資料離開本港。《個人資料（私隱）條例》第 33 條原本就是為了限制跨境轉移而訂立的，但它從未生效。一九九六年沒有，今天依然沒有。
所以當你把客戶名單貼進一個 AI 工具時，法律上沒有任何東西阻止那批資料落在美國俄勒岡州的伺服器上。真正的問題不是「准不准」，而是你知不知道資料去了哪裡，以及當你最大的客戶問起時，你能否清楚交代。
這個問題有一個名字，叫做資料落地（data residency）。
什麼是資料落地？
資料落地指的是你的資料實際存放在哪一個國家。如果你的 AI 供應商把你的檔案放在新加坡的伺服器，你的資料落地地點就是新加坡。這是一個地理問題，不是一個授權問題。
有三個相關名詞經常被混為一談，以下用最簡單的方式分清楚。
資料落地：資料實際存放的位置，即地圖上的一個點。
資料主權（data sovereignty）：資料落地之後，哪一個國家的法律可以管到它，屬於法律問題。
資料本地化（data localisation）：政府以法規強制資料必須留在境內，屬於合規義務。
香港對一般商業資料並沒有本地化要求，中國內地則有。歐盟沒有全面的本地化規定，但對跨境轉移限制相當嚴格。分清楚對方在講三者中的哪一個，可以省下大量與供應商雞同鴨講的時間。
為什麼 2026 年突然人人都在談資料落地？
有兩件事改變了。監管機構開始追問 AI 資料的去向，而供應商則把答案包裝成收費功能。原本只是技術附註的東西，如今變成採購清單上的一行。
歐盟《人工智能法案》於 2026 年 8 月全面適用，為 AI 系統帶來透明度與可追溯性義務。任何向歐洲出貨的香港企業，都已經身處別人的文件流程之中。
不過商業訊號比監管訊號更響亮。2026 年公布的研究顯示，77% 的企業在採購 AI 時，會把供應商的來源國納入考慮，另有 58% 傾向以本地供應商為主搭建 AI 架構。如果你供貨給歐洲品牌、日本代理商，或有內地背景的買家，對方採購部門遲早會問你這條問題，而且很可能就在今年。
對香港中小企而言，這才是實際利害所在。資料落地在本港很少是法律問題，它愈來愈是一個銷售問題。
主流 AI 工具實際上把資料存在哪裡？
大部分消費級 AI 工具預設把資料存放在美國。企業版容許你選擇地區，但可選地區的清單比多數買家想像中短，而香港並不在其中。
OpenAI 為合資格的商業客戶提供資料落地選項，涵蓋歐洲、英國、美國、加拿大、日本、南韓、新加坡、印度、澳洲及阿拉伯聯合酋長國。香港不在選項之內。對香港公司來說，最接近的實際選擇是新加坡或日本。
還有一個細節經常令人誤判。OpenAI 的資料落地涵蓋的是靜態資料，即已儲存的對話、上傳檔案與生成內容。至於在地推理運算，也就是模型實際處理資料的動作，自 2026 年 1 月起才擴展至美國與歐洲的合資格企業方案。其餘客戶的運算位置仍由供應商決定。儲存與運算是兩條不同的問題，而供應商回答第一條時的聲量，遠大於第二條。
Anthropic 的 Claude 預設把生產資料放在美國基建之上。地區選項確實存在，但那是透過 AWS Bedrock、Google Vertex AI 或 Microsoft Foundry 等雲端供應商，在指定地區轉送模型而達成，並非由 Anthropic 直接提供。這與在訂閱頁面上剔一個選項，是完全不同的採購行為。
結論不是這些供應商不夠謹慎，而是答案從來不會寫在定價頁上。你必須開口問。
把資料存在亞洲，是否就不受外國法律管轄？
不是。這是整個議題中代價最高的誤解。法律管轄權跟隨公司，而不是跟隨伺服器。一間總部設於某國的供應商，即使硬碟放在別處，仍可被該國法院要求交出資料。
兩個例子足以說明。
一間總部在美國的 AI 供應商，把你的資料存放於新加坡，它依然是一間受美國法律程序約束的美國公司。選擇新加坡地區可以降低延遲、滿足部分合約條款，但無法把資料移出美國司法管轄範圍。
一間根源在中國內地的供應商，把資料存放於新加坡，仍會透過母公司受內地法律規管，包括《個人信息保護法》及國家安全相關法例。新加坡的伺服器地址，改變不了它上面的公司架構。
因此有用的問題不只是我的資料在哪裡，而是誰可以被下令交出它。兩條問題，兩個答案，而買家往往只問了第一條。
這對香港中小企有什麼實際影響？
對大多數香港中小企來說，資料落地不是合規要求，而是投標問題與客戶信任問題。事前處理只需一點時間，事後補救則相當狼狽。
以一間位於觀塘、14 人的電子產品出口商為例。公司向德國與日本買家供貨，團隊用一般 AI 助手草擬報價、在供應商會議中使用AI 會議記錄工具，另有一個雲端 CRM 存放約 2,000 個聯絡人。三個工具，三個不同的資料存放地點，而公司內部從來沒有人把這些地點寫下來。
然後德國買家的採購部送來一份 40 條問題的供應商安全問卷。第 12 條問：歐盟居民的個人資料在哪裡處理及儲存？這間出口商現在要分別去信三個供應商、等候客服回覆、再自行解讀三份不同的私隱政策，而訂單就這樣懸在半空。
事前把這些寫下來，大約需要90 分鐘：列出所有接觸客戶資料的工具、找出地區設定或去信客服查詢，然後把答案記在同一張試算表上。在投標壓力下才做，則要花上一星期追問，還要賠上一單生意的風險。工作內容完全一樣，只有時機決定了成本。
還有一個較少人提及的好處：一旦整理出這張清單，你通常會發現有兩三個存放著客戶資料的工具，是根本沒有人記得曾經開通過的。
關於資料落地，一般人最常搞錯什麼？
以下四個誤解，造成了這個範疇內大部分的白費工夫與冤枉錢，每一個都值得直接點名。
誤解一：香港法例要求資料必須留在香港。並非如此。《個人資料（私隱）條例》第 33 條從未生效，因此目前並無法定禁令阻止個人資料轉移出境。私隱專員公署於 2022 年發布的《建議格式合約條文指引》屬最佳做法，而非法律要求。2026 年正在諮詢的改革方案包括可能啟動第 33 條，情況或會改變。以上為一般資訊，並非法律意見。
誤解二：本地伺服器等於本地法律。上文已述，值得重複，因為這是真正會令人蝕錢的誤判。管轄權跟隨公司實體。
誤解三：免費版與付費版的處理方式一樣。通常並不一樣。消費者版與免費版一般會預設使用你的輸入內容改良模型；主流西方供應商的商業版與 API 版，則通常在合約上預設不作訓練用途。對小公司而言，這個分別比地區設定更重要，因為最大的風險來源往往不是地理位置，而是訓練。
誤解四：這是 IT 部門的問題。它其實是披著 IT 外衣的採購與銷售問題。需要這個答案的人，是負責填客戶問卷那位，而不是負責設定電腦那位。
怎樣查清楚自己的資料存放在哪裡？
你可以在一個下午內、毋須任何技術支援，完成一份可用的資料落地登記表。成果就是一張試算表，日後任何投標回覆都可以直接附上。
按次序完成以下六步。
第一步。列出所有員工會輸入或上載客戶資料的工具，包括 AI 助手、CRM、會議記錄工具、會計系統、通訊平台與檔案儲存。大部分中小企會找出六至十二個。
第二步。逐一記下你所用的方案：免費版、商業版還是企業版。單是這一欄，已能預測大部分風險。
第三步。在帳戶設定中找出儲存地區，或去信客服查問一句：我們的資料靜態儲存於哪個國家，又在哪個國家處理？
第四步。記下供應商總部所在國家。這就是你的管轄權答案，而它通常與儲存地點的答案不同。
第五步。以書面確認你的輸入內容是否會用於模型訓練，並把政策頁面連同日期截圖存檔。
第六步。決定哪兩三個工具真正需要更嚴格的設定，其餘的就別再折騰。存放午餐訂單的工具，不需要企業級的資料落地安排。
關於資料落地的常見問題
以下是香港老闆認真研究這件事之後，問得最多的幾條問題。
可以要求資料落地在香港嗎？
主流國際 AI 供應商目前都做不到，沒有一家把香港列為可選地區。可行方向是選用本地供應商託管、自行部署開放權重模型，或接受新加坡與日本作為最接近的地區選擇。
資料落地要另外收費嗎？
通常要，而且是間接收費。地區選擇一般被鎖在商業版或企業版之內，而非以獨立附加功能出售。實際上你是為了一個設定而升級整個方案。
我的資料會被用來訓練模型嗎？
完全取決於方案級別。免費版與消費者版普遍會預設使用；主流供應商的商業版、企業版與 API 版則通常預設不作訓練。查清楚，並保留證據。
客戶問起資料存放在哪裡，應該怎樣回答？
依次說明三件事：儲存所在國家、供應商總部的司法管轄區，以及訓練狀態。一個具體的三句答案，比任何含糊的保證都更能建立信心。
這件事需要找律師嗎？
製作登記表不需要。但如果你打算簽署一份就資料處理向客戶作出具約束力承諾的合約，尤其是歐洲客戶，找律師看一次是值得的。
給香港老闆的重點
資料落地講的是資料實際放在哪裡，資料主權講的是誰的法律管得到它。對 2026 年的香港中小企來說，第二個答案通常更重要，卻幾乎沒有人開口問。
你不需要一整個法務部門來處理這件事。你需要的是一張試算表、六個欄位、一個下午，而且要在客戶開口之前準備好，而不是之後。整個項目就這麼多。
這類科技問題之所以嚇人，多半只是因為沒有人用普通說話解釋過。我們認為這一點應該改變。懂AI，更懂你 UD相伴，AI不冷。
本文由 UD AI 團隊（香港）審閱，最後更新日期：2026 年 8 月 10 日。
不確定公司哪些工具存有客戶資料？
大部分香港中小企正在使用的 AI，比自己以為的更多，也更貼近客戶資料。免費的 AI 體檢會替你盤點現正運行的工具與當中的缺口，我們更會手把手教你讀懂每一項結果。
