悄悄令香港中小企洩密的一個常見誤解
關於 ChatGPT，大部分香港中小企老闆都相信一個故事，而這個故事大部分都是錯的。劇本通常是這樣：員工跟老闆說「用 ChatGPT 可以慳時間」，老闆說「好，用啦」。團隊開始用它寫報告、起草合約、回覆客戶電郵、分析財務數據。生產力上升了，大家都開心。
但沒有人問過一條最重要的問題：員工每天輸入 ChatGPT 的所有資料，究竟去了哪裡？這篇文章不是叫你停止用 AI。AI 是這十年來最真實的生產力工具之一。但在你公司全面使用 AI 之前，每位香港中小企老闆都需要先搞清楚幾件事，否則你可能每天都在不知情的情況下，幫公司洩密。
OpenAI 真的會「忘記」員工輸入 ChatGPT 的資料嗎？
很多人以為 ChatGPT 就像一個不會說話的助手：你問問題，它回答，然後什麼都不記得。現實並非如此。
根據 OpenAI 公開的服務條款，免費版及標準付費版（Plus）的預設行為，是會把對話內容用於訓練未來模型，除非用戶主動到隱私設定中關閉。換句話說，你的員工今天輸入的客戶資料、合約條款、財務數字，有可能成為 OpenAI 下一代模型的訓練素材。
即使 OpenAI 公布了一套保護措施，但資料一旦離開你的公司環境，你就失去了直接控制權。這不是未來的假設性風險。這是每一間使用公開 AI 工具的企業，每天都在面對的實際情況。
香港中小企最高風險的 5 種 ChatGPT 使用方式
根據 2025 至 2026 年香港資安界發布的事件模式，以下是中小企內最常見、同時風險最高的 5 種公開 AI 工具使用方式：
1. 貼上客戶個人資料。「幫我根據這份客戶名單，寫一封個人化的跟進電郵。」姓名、電話、電郵、購買紀錄，全部上傳至第三方伺服器。
2. 上傳合約及法律文件。「幫我檢查這份合約有沒有問題。」雙方公司名稱、條款、商業條件，一鍵外洩。
3. 用 AI 分析財務數據。「根據這個季度的銷售數字，幫我分析趨勢。」收入、利潤、客戶層級的交易資料，悉數離開公司。
4. 起草人力資源文件。「幫我草擬一封解僱信」或「摘要這份員工績效報告」。薪酬、考核紀錄、員工個人資料全部外露。
5. 內部策略討論。「我們正在考慮進入某個新市場，幫我分析競爭對手。」公司未公開的商業策略，就這樣輸入了第三方平台。
以上每一種模式，在香港都可能涉及法律責任。
香港法律分析：PDPO 下的責任在公司，不在員工
香港《個人資料（私隱）條例》（PDPO）明文規定：作為資料控制者的公司，有責任保護其控制的個人資料，並確保未經當事人同意，資料不會被轉移至第三方。
當你的員工將客戶個人資料貼入公開 AI 聊天機械人時，這些資料事實上已經被轉移至第三方伺服器，且伺服器通常位於香港以外（多數位於美國）。視乎資料類別及客戶原本給予的同意範圍，這可能違反 PDPO 的資料保留與保護原則，令公司面對客戶投訴，甚至引發私隱專員公署的調查。
對中小企老闆而言，最重要的一點是：法律責任在公司，不在員工個人。員工只是不知情地使用了工具。作為資料控制者，公司仍然要為後果負責。
付費訂閱 ChatGPT Plus 能解決問題嗎？
很多老闆以為付了錢（每月約 USD 20）就買到安全感。這只是部分事實，不是全部。
根據 OpenAI 產品文件，ChatGPT Plus 預設關閉「將對話用於模型訓練」的功能。這是真實的，亦是有意義的。但你的資料仍然會上傳至 OpenAI 的伺服器處理。傳輸、儲存、存取控制，全部仍然在你的直接控制範圍之外。
對於處理受監管客戶資料的香港中小企而言，真正企業級的答案，是把 AI 部署在你能控制的環境裡。資料不離開公司，處理在本地或你自有的私有雲中完成，完整的存取日誌由你掌握。這是大型金融機構自 2024 年起的做法。2026 年，這個方案對中小企來說也已經負擔得起。
什麼是私有 AI 環境？中小企負擔得起嗎？
私有 AI 環境，是一個運行於你公司控制的基礎設施內，而非運行於供應商共用雲端的 AI 助手。常見有三種架構。
架構一：自行託管的開源模型。你在自己的伺服器上運行 Llama 或 Mistral 等模型。控制最大，部署工作量最高，適合有內部 IT 團隊的大型企業。
架構二：商用模型的私有雲部署。由 Anthropic、OpenAI 等供應商在指定給你的隔離雲端租戶內提供其模型。資料不與其他租戶混合，亦不會用於訓練。適合有合規壓力的中型企業。
架構三：為中小企而設的私有 AI 套裝平台。由託管服務商把模型、隔離環境、部署工作打包成一鍵設定，月費通常為港幣 2,000 至 8,000 元。這是 2026 年大部分採用 AI 的香港中小企實際走的路線。
適合你的架構，取決於你公司的資料量、合規壓力、以及現有 IT 能力。過去 12 個月，「免費公開 ChatGPT」與「隔離式中小企私有 AI」之間的成本差距已大幅收窄。
關於 AI 資料風險的常見誤解
誤解一：「我們的資料很沉悶，不重要。」客戶紀錄、供應商合約、定價策略，正是競爭對手與惡意攻擊者最想要的資料。資料不需要「精彩」才有價值。
誤解二：「禁用 AI 就解決問題。」一刀切禁用並不可行。員工會在個人裝置與個人帳號上繼續使用 AI 工具。結果反而更差：同一批資料一樣離開公司，但你失去了所有可見性。
誤解三：「只有大公司才需要私有 AI 環境。」PDPO 並不豁免中小企。私隱專員一向以與大企業同等的資料處理標準要求中小企。公司規模大小，不會改變法律責任的大小。
香港中小企老闆的實際行動計劃
第一步：盤點實際使用情況。問員工現在用哪些 AI 工具、用來做什麼。答案會令大部分老闆驚訝。實際採用率幾乎都比老闆預期高。
第二步：寫一頁 AI 使用政策。明確列出哪些類別的資料絕不可輸入公開 AI 工具：客戶個人資料、合約、財務數字、HR 紀錄、內部策略。要求每位員工簽署確認。
第三步：提供認可的替代方案。有政策無工具，員工會無視政策。在你剛限制的用途上推出私有 AI 環境，員工才有合規途徑保留生產力。
第四步：加入審計日誌。私有環境應記錄誰在何時、對哪些資料使用 AI。日後一旦遇到 PDPO 質詢，這就是你需要的書面證據。
第五步：用 30 分鐘培訓員工。大部分洩漏事故發生，是因為員工不理解底層機制。一場專注的 30 分鐘簡報，講解「當你把資料貼入 ChatGPT 時實際發生什麼」，就能消除大部分意外事件。
常見問題
問：如果我們之前已經用公開 ChatGPT 處理機密資料，現在應該怎麼辦？
檢視員工帳號的 ChatGPT 對話歷史。識別哪些對話包含客戶個人資料、合約、財務數字。記錄外洩範圍、評估嚴重程度，並視乎資料類別考慮是否通知受影響的當事人。如涉及受監管資料，請諮詢私隱法律顧問。
問：香港私隱專員有針對 AI 發布專門指引嗎？
有。私隱專員公署已發布有關香港資料使用者使用 AI 的指引，涵蓋資料最小化、保留控制、部署前風險評估等建議。在香港使用 AI 的機構，應遵循該指引。
問：30 人規模的中小企部署私有 AI 環境需要多久？
使用套裝平台，30 人團隊的部署通常需要 3 至 10 天，包括入職培訓。客製化部署則需要 6 至 12 週。
問：如果員工習慣了 ChatGPT，會抗拒使用私有 AI 環境嗎？
當私有環境使用相若的底層模型時，採用率普遍很高。大部分抗拒源於使用體驗欠佳，而非隱私控制本身。挑選一個介面熟悉的平台即可。
問：香港中小企最常見的首宗事故模式是什麼？
將客戶個人資料貼入 ChatGPT，要求生成「個人化跟進電郵」。這是最常見的一種模式，也是 PDPO 風險最高的一種。
對香港中小企的總結
AI 工具確實能帶來真實的生產力提升。這一點毋庸置疑。2026 年留給香港中小企老闆的真正問題，不是「要不要用 AI」，而是「使用 AI 時，資料住在哪裡」。公開聊天機械人不是擺放客戶紀錄、合約、財務、內部策略的正確地方。你公司能控制的私有環境才是。
聰明的香港老闆，不是那些跑得最快投入 AI 的人，而是那些跑得最快、同時跑得最安全投入 AI 的人。以 PDPO 違規為代價換來的生產力，根本不是生產力。
懂AI，更懂你 UD相伴，AI不冷。
準備好建立你的私有 AI 環境？
私有 AI 環境不再是只屬於銀行的奢侈品。UD 為香港中小企部署企業級 IT 已有 28 年經驗，我們手把手教你由零開始：從審視你公司目前的 AI 使用情況，到推出一個團隊可以安全使用、不會危及資料的全隔離 AI 助手。
