如果你的 AI 智能体项目通过了试点，却在安全评审这一关停了三个月，你并不孤单。安全团队担心的通常只有一件事：客户的身份证号、账号一旦进入模型、向量库或智能体的记忆，就再也收不回来。
越来越多企业给出的答案是数据令牌化（Data Tokenization）。本文从管理层视角讲清楚：它是什么、在 AI 流程里怎样运作、在香港《个人资料（隐私）条例》下意味着什么，以及怎样用“审批模式”取代“逐个审批项目”，让 AI 更快上线。
什么是 AI 数据令牌化？
数据令牌化是在数据进入 AI 模型、向量数据库或智能体记忆之前，把身份证号、账号、客户姓名等敏感值替换成没有实际含义的令牌。真实数值单独存放在严格受控的令牌库中，只有获得授权的系统或人员才能还原。
令牌化后的数据依然可用：账号被替换成同样格式的另一串字符，系统关联和统计分析照常进行。模型可以分析“客户 TKN-4471”的行为，却始终不知道此人是谁。
要特别说明，这和大模型计费时说的“token”不是一回事。后者是文本片段；数据令牌化是一种安全控制手段，在银行卡支付领域依照 PCI DSS 标准使用已超过十年。
为什么 AI 智能体让数据令牌化变得紧迫？
因为智能体会把数据复制到难以清理的地方：提示词、向量库、日志和多个智能体共享的记忆。安全团队清楚这一点，于是放慢审批。Enterprise Management Associates 的研究显示，82.9% 的机构曾因安全或合规评审推迟 AI 上线。
这份名为 The State of AI Friction 的研究由令牌化厂商 Protegrity 赞助，引用时应注意。研究还发现，81.6% 的机构为了安全，把能力打了折扣的 AI 推向生产环境，也就是拿走了最有价值的数据。
Protegrity 副总裁 Diego Loureda 在 2026 年 11 月 1 日接受 SiliconANGLE 采访时说得很直接：敏感数据一旦进入模型、向量库，或者会传递给其他智能体的记忆，基本就无法再移除。
自主程度提高，风险随之放大。Deloitte 10 月 29 日发布的调查显示，40% 的企业已在不同程度上允许 AI 不经人工批准直接执行决定，另有 23% 表示 AI 出错时责任归属并不清楚。
令牌化和加密、脱敏、删除有什么区别？
令牌化用替代值换掉原值，原值保存在令牌库中，所以数据既能用、又能还原。加密用数学方法打乱数据，使用前必须解密；部分脱敏只隐藏几位字符给人看；删除则是永久移除。四种方法分别对应不同的 AI 风险。
--- 加密：适合存储和传输，但模型读不懂密文，解密那一刻数据就暴露了。
--- 部分脱敏：适合界面展示，但被隐藏的部分往往正是关联记录的关键。
--- 删除：最安全，但 AI 无法把理赔和保单、客户联系起来。
--- 令牌化：同一客户始终对应同一令牌，AI 能关联、统计和推理，真实身份留在令牌库。
数据令牌化在智能体流程中怎样运作？
令牌化应设在数据流中：敏感字段在离开源系统时就被替换，然后才进入提示词、向量化、工具调用或日志。智能体全程只处理令牌，只有最后一步、并且只对获得授权的用户，才把指定令牌还原成真实数值。
常用的五步模式
--- 第一步，分类：标记个人或机密字段，如身份证、电话、账号、薪酬、病历。
--- 第二步，源头令牌化：从 CRM、核心银行或人事系统抽取数据时即时替换。
--- 第三步，基于令牌处理：模型、向量库和所有工具调用只看到令牌。
--- 第四步，按策略还原：理赔专员在最终函件上看到真实姓名，智能体和日志始终看不到。
--- 第五步，监控令牌库：对批量还原请求设上限和告警，这是滥用最常见的信号。
还原权限必须和身份绑定。UD 的 AI 智能体身份指南介绍了怎样为每个智能体配置独立权限，令牌库策略才能真正落地。
令牌化对香港隐私条例合规意味着什么？
在香港《个人资料（隐私）条例》下，令牌化数据通常仍属个人资料，因为掌握令牌库的机构可以重新识别个人。所以令牌化是第 4 项保障资料原则下的有力安全措施，而不是豁免；但 AI 系统一旦出事，它能大幅减少泄露的内容。
隐私专员公署的 AI 相关指引，包括 2024 年《人工智能：个人资料保障模范框架》，要求机构尽量减少 AI 系统使用的个人资料，并采取与风险相称的保障。令牌化是审计时证明“数据最小化”最实际的办法之一。
--- 第 3 原则（使用）：把令牌用于新的 AI 用途，仍需检查是否符合原收集目的。
--- 第 4 原则（保安）：令牌化是采取“所有切实可行步骤”保护数据的直接证据。
--- 跨境处理：只把令牌发给境外模型服务商，可识别身份的数值就留在香港。
公署对智能体 AI 的具体要求，可参考 UD 整理的 香港隐私署智能体指引。
哪些企业 AI 场景最适合令牌化？
最适合的是需要关联个人记录、却不需要知道对方是谁的场景：理赔分流、客服摘要、信贷与反欺诈分析、人事个案处理和物流异常管理。这些场景里，模型负责分析规律，只有最后一步才需要真实身份。
金融服务：银行的投诉摘要智能体每周读几千封邮件。姓名、账号和身份证号令牌化后，它仍能按客户和产品归类，只有客户经理能看到令牌背后是谁。
专业服务：律所的研究智能体比对过往案件条款，客户和对方名称都已令牌化，律所就可以使用云端模型，而不必把受保密特权保护的身份留在第三方日志里。
物流与物业管理：收货地址、租户姓名和电话在智能体起草通知前已被替换，还原只在消息系统里完成。
管理层怎样用“审批模式”代替逐个审批项目？
管理层可以预先批准几种标准模式，也就是数据类别、保护规则、模型位置和还原权限的固定组合。符合已批模式的新项目只需快速检查，不必走完整评审。正如 Loureda 所说，逐个审批项目的做法在 AI 时代无法扩展。
四道关口的模式审批框架
--- 第一关，数据类别：公开、内部、机密，或条例下的个人资料。
--- 第二关，保护规则：哪些字段令牌化、删除或允许明文。
--- 第三关，模型位置：自建、香港私有云，或境外服务商（只能接收令牌）。
--- 第四关，还原权限：哪些岗位能看到真实数值，全程留痕并设上限。
安全委员会一次性批准五六个模式后，多数新智能体项目几天内就能完成审批，省下的精力留给真正需要深入评审的新情况。
企业做数据令牌化最常见的坑有哪些？
常见的坑包括：令牌化做得太晚，数据早已进入日志或向量库；忽略自由文本，姓名藏在邮件正文里；令牌化过度，让 AI 失去必要上下文；忽视令牌库自身的安全；以及误以为令牌化数据在隐私条例下属于匿名数据。
--- 位置太靠后：只在模型网关做令牌化，会漏掉中间表和调试日志里的副本。
--- 只管结构化字段：邮件正文和扫描件中的姓名需要实体识别。
--- 过度令牌化：如果日期和金额也被替换，智能体就无法判断理赔是否逾期或金额是否异常。应令牌化身份，保留任务需要的事实。
--- 令牌库防护薄弱：令牌库是核心资产，需要独立的权限复核、监控和灾备。
--- 误当匿名：可还原的令牌仍是个人资料，保存、查阅和泄露通报流程照样适用。
企业管理层这个季度应该做什么？
先选一个卡在安全评审的 AI 智能体，画出敏感字段的流向，在源头做令牌化，并用这个项目写出第一个获批模式。然后看看下一个同类项目需要多少天获批。
令牌化不会让 AI 治理的难题消失，却能把安全团队从“说不的部门”变成“让 AI 上线的团队”。懂AI，更懂你 UD相伴，AI不冷。
不确定哪些 AI 项目正被数据风险卡住？先花三分钟做一次 AI 准备度评估。UD 团队手把手带你完成每一步，从数据分类、令牌化模式设计，到模型选型与部署上线。
由 UD 企业 AI 团队审阅。所有数据均注明出处，厂商赞助的研究已明确标示。