你的 AI 即将上线。清单上少了一个关键问题。
合同审阅完毕，整合方案已确认，AI 系统定在三周后上线。然而，在香港大多数企业的 AI 部署清单上，有一个问题始终缺席：这个部署是否已针对《个人资料（私隐）条例》完成合规评估？以下是上线前每位企业领导者必须核对的清单。
什么是《个人资料（私隐）条例》？为何它现在适用于你的 AI 系统？
《个人资料（私隐）条例》（PDPO，香港法例第 548 章）规管机构如何收集、持有、处理、使用及转移个人资料，由个人资料私隐专员公署（PCPD）负责执法。对大多数企业而言，条例合规过去主要涉及人力资源及客户记录管理。AI 的广泛应用从根本上改变了这一范围。
当 AI 系统分析员工绩效数据以生成评估报告、处理客户互动记录以改善服务质量，或利用客户资料提供个性化建议时，均构成《条例》下的个人资料处理。任何涉及个人资料的 AI 部署，均受《条例》六项保障资料原则约束，无论 AI 系统是自行开发还是从第三方供应商采购。
2024 年 6 月，PCPD 发布《人工智能：个人资料保护模式框架》，这是亚太地区首份针对 AI 的个人资料保护指引文件。该框架清晰传达了一个信号：合规指引已发出，2026 年将是执法力度加强的关键一年。
个人资料私隐专员公署的 AI 框架，实际上对企业有哪些要求？
PCPD 的《模式框架》针对采购、实施及运营处理个人资料之 AI 系统的机构，将合规义务分为四个核心范畴：
一、AI 治理架构
机构应设立 AI 治理委员会：一个跨职能团队，负责统筹整个采购、实施及运营过程中的 AI 监督工作。委员会负责制定 AI 战略、界定获准使用场景、审批供应商，以及审查数据保护影响评估。委员会成员应涵盖法律、合规、IT 及相关业务部门代表，而非仅由 IT 部门主导。
二、数据最小化
在任何 AI 系统处理个人资料前，机构必须确认仅收集及使用达成既定目的所需的最少资料。这项要求针对一个常见的部署风险：AI 系统被允许访问远超其功能所需的员工或客户数据集。一个客户服务 AI 若能访问完整财务账户记录，但其功能仅需交易摘要，便构成数据最小化违规。
三、供应商责任与合同义务
委托第三方 AI 供应商时，PCPD 要求合同明确界定资料保护责任的分配。合同必须涵盖：安全义务、资料保留期限、禁止使用机构资料训练其自身模型，以及资料外泄通报要求。若属联合控制者关系，机构须就供应商的资料处理决定承担共同法律责任。
四、AI 事故应对计划
每个 AI 部署均应制定书面的 AI 事故应对计划，明确识别、遏制及通报因 AI 处理造成伤害或资料外泄事故的程序。PCPD 建议在发现外泄后尽快通报专员，业界最佳实践通常以 24 至 72 小时为目标。
哪些 AI 使用场景的合规风险最高？
三类企业使用场景在法律分析中始终呈现最高的 PDPO 风险：
AI 辅助人力资源与绩效管理：对员工进行评分、预测流失或生成绩效评估摘要的 AI 工具，大规模处理敏感个人资料。机构必须告知员工此类处理的存在，且不得在未提供新通知的情况下将人事资料重新用于 AI 模型训练。
面向客户的 AI 系统：AI 聊天机器人及推荐引擎若未设定资料删除时间表，可能违反资料保留原则；若基于不准确资料产生错误决策输出，机构须承担相应责任。
涉及跨境资料转移的 AI 系统：使用境外基础设施处理香港个人资料的 AI 平台，须确认接收司法管辖区提供同等保障，这是目前最常被忽视的合规缺口。
企业应如何构建合规的 AI 治理架构？
满足 PCPD 框架要求的治理架构无需重建全新合规职能，大多数企业可采用三层架构：
战略层由 AI 治理委员会负责，成员包括首席数字官、总法律顾问、首席合规官及业务部门代表，在采购前审查新部署并每年审查现有系统。运营层由各部门资料管理员负责记录 AI 系统所处理的个人资料并完成高风险部署的数据保护影响评估。供应商层由采购及法律团队把关，确保所有 AI 供应商合同在签署前通过合规审查。
结语——合规窗口正在收窄
PCPD 为香港企业提供了清晰的过渡期：2024 年 6 月的《模式框架》明确了良好 AI 治理的标准，2026 年是评估机构是否切实执行的关键一年。对于部署处理个人资料之 AI 系统的企业领导者而言，"技术上能运行"与"符合条例要求"之间的差距，正是执法风险的所在。
本季度的实际优先事项：审计哪些 AI 系统正在运行及其涉及的个人资料；对照五项条款清单审查所有 AI 供应商合同；确认 AI 治理委员会已正式运作；并为已在运行的高风险部署补完数据保护影响评估。
懂AI，更懂你 — UD相伴，AI不冷。把 AI 合规做好，是将 AI 负责任地规模化的机构与不得不暂停、补救的机构之间的治理分水岭。
准备好评估你的 AI 合规准备度了吗？
了解框架是第一步，掌握你现有 AI 部署的合规现状才是关键。UD 团队手把手带你完成每一步——从 AI 准备度评估、PDPO 缺口分析，到供应商合同审查与治理框架设计，28 年香港企业服务经验，全程陪你走。