香港企業使用 AI 處理客戶資料：私隱、授權及內部管理指南

AI 已經逐漸融入香港企業的日常工作。不少公司會使用 AI 回覆客戶查詢、整理銷售紀錄、分析客戶需要，甚至協助處理報價及文件。

這些工具確實可以節省時間，但當員工將客戶姓名、電話、訂單資料或對話紀錄輸入 AI 系統時，公司有沒有考慮過資料會如何被使用及保存？

例如，員工將客戶的 WhatsApp 對話交給 AI 整理，或者上載客戶名單分析消費習慣。如果工具會保存輸入內容，甚至將資料用於模型訓練，便可能涉及個人資料私隱問題。

對香港企業而言，使用 AI 不只是技術問題，亦涉及資料授權、私隱保障及內部管理。

本文整理香港企業使用 AI 處理客戶資料時需要注意的事項，協助中小企建立更安全的 AI 使用流程。

一、企業使用 AI，哪些客戶資料需要特別留意？

首先，公司需要分清楚一般商業資料與個人資料。

根據香港《個人資料（私隱）條例》（PDPO），個人資料是指與在世人士有關，並可直接或間接識別該人士身份的資料。

企業日常接觸的以下資料，都可能涉及個人資料：

• 客戶姓名、電話及電郵地址

• 香港身份證號碼及住址

• 客戶訂單及交易紀錄

• 銀行及付款相關資料

• WhatsApp、電郵及客服對話紀錄

• 客戶投訴及服務紀錄

即使資料來自公司的 CRM 系統、Excel 客戶名單或 WhatsApp 對話，只要能夠識別個人身份，便不能因為是內部文件而忽略私隱保障。

另外，報價單、商業合約及公司財務資料，即使不一定屬於個人資料，亦可能涉及商業機密或合約保密責任。

因此，企業在使用 AI 前，應先確認輸入資料的性質，而不是將所有文件直接上載。

二、香港企業使用 AI，需要遵守哪些私隱法規？

香港目前主要透過《個人資料（私隱）條例》（第486章）規管個人資料的收集、使用及處理。

這套法例並不會因為企業使用 AI 而自動失效。只要 AI 系統涉及個人資料，企業仍然需要遵守相關規定。

其中，六項保障資料原則（Data Protection Principles，DPP）尤其值得留意：

1. DPP1｜收集資料：只收集業務所需的資料，不應過度收集。

2. DPP2｜資料保存：確保資料準確，並避免保存超過所需時間。

3. DPP3｜資料用途：不可隨意將客戶資料用於原本目的以外的新用途。

4. DPP4｜資料安全：採取合理措施，防止資料外洩或被未經授權查閱。

5. DPP5｜資料透明度：讓客戶了解公司的個人資料政策及使用方式。

6. DPP6｜查閱及改正：保障客戶依法查閱及更正個人資料的權利。

當企業使用外部 AI 工具處理客戶資料時，尤其要注意 DPP3 及 DPP4。

三、使用 AI 是否一定要取得客戶同意？

這是很多企業容易混淆的問題。

答案是：不一定，要視乎資料原本的收集目的，以及 AI 實際如何使用資料。

香港《個人資料（私隱）條例》並不是要求企業每次使用 AI 都必須重新取得客戶同意。

但如果公司打算將已收集的個人資料用於新的目的，而且該用途並非原本目的或直接相關目的，便需要按照 DPP3 取得資料當事人的訂明同意。

以下是三個常見例子：

情況一：使用 AI 整理客戶查詢

客戶向公司查詢訂單進度，員工使用 AI 協助整理對話內容及草擬回覆。

如果這項處理符合原本已通知的服務目的，並有適當資料保障措施，未必需要重新取得同意。

情況二：使用客戶資料訓練 AI 模型

公司將過往客戶的姓名、對話紀錄及消費資料，用作訓練 AI 模型。

如果這超出原本收集資料的目的或直接相關目的，一般需要先取得訂明同意，不能單方面改變資料用途。

情況三：將客戶資料交給第三方 AI 平台

公司使用外部 AI 服務處理客戶文件或客服紀錄，便需要了解平台如何接收、保存及使用這些資料。

如果服務商會將資料用於其他用途，例如訓練通用模型，便需要進一步評估是否涉及資料用途改變，以及是否需要取得客戶同意。

公司亦應檢查服務條款、資料保存安排及安全措施，不能只因為平台提供免費服務，便直接上載客戶資料。

四、使用 AI 最容易忽略的 5 個私隱風險

除了客戶是否同意，企業亦需要留意 AI 工具本身的資料管理方式。

1. 客戶資料可能被保存

部分 AI 工具會保留對話紀錄或輸入內容。

如果員工直接輸入客戶電話、地址或身份證資料，公司便需要了解相關保存及刪除安排。

2. 員工誤將內部文件上載

例如將客戶名單、報價單、員工薪酬表或公司財務文件交給 AI 分析。

這些資料可能涉及個人私隱或商業機密，應先確認工具的安全設定及使用權限。

3. AI 產生錯誤的客戶資料

AI 可能將不同客戶的資料混淆，亦可能生成不準確的交易紀錄或客戶資訊。

如果公司直接採用這些結果，可能影響客戶服務及內部決策。

4. 員工使用未經批准的 AI 工具

有些員工為了方便工作，會自行註冊 AI 平台，甚至使用私人帳戶處理公司資料。

公司未必知道資料被上載到哪個平台，也難以統一管理存取權限。

5. AI 自動操作帶來更高風險

除了普通 AI Chatbot，現時亦有 Agentic AI（代理式人工智能），可以讀取文件、操作系統、處理電郵及執行多步驟工作。

如果系統獲得過高權限，便可能接觸不必要的客戶資料，甚至錯誤修改或刪除重要文件。

2026年8月，香港個人資料私隱專員公署發布《代理式人工智能篇：保障個人資料私隱》指引，提醒企業注意系統權限、資料用途、資料準確性及人工監督。

五、企業應如何建立 AI 內部管理制度？

企業不一定需要大型 IT 團隊，才可以做好 AI 管理。

對中小企而言，先建立清晰的員工使用規則，已經可以減少不少風險。

建議從以下五個方向開始：

1. 設定可使用的 AI 工具

公司應列明哪些 AI 平台可以用於工作，哪些工具未經批准不得使用。

亦應確認員工是否可以使用私人帳戶處理公司資料。

2. 分類可輸入的資料

建議將資料分為一般公開資料、內部資料及敏感資料。

例如：

• 一般資料：公開產品介紹、普通文案及市場資訊。

• 內部資料：未公開報價、營運報告及內部文件。

• 敏感資料：客戶身份證、銀行資料、員工薪酬及個人聯絡資料。

敏感資料不應隨意輸入公開 AI 工具。

3. 上載前先刪除個人資料

如果工作只需要分析文件內容，可以先移除姓名、電話、地址及其他可識別身份的資料。

例如將真實客戶姓名改為「客戶A」，再交給 AI 整理內容。

但要注意，單純刪除姓名不一定代表資料已完全匿名化。如果其他資料仍可識別個人，仍可能屬於個人資料。

4. 限制系統權限

不同員工應按工作需要獲得相應權限。

例如，負責撰寫社交媒體文案的同事，未必需要存取完整客戶資料庫。

對於可以操作電腦、讀取文件或發送電郵的 AI Agent，更應採用最低權限原則，只開放完成指定工作所需的權限。

5. 設定人工審核及資料保存規則

AI 生成的內容不應全部自動採用。

涉及客戶身份、付款、合約及重要商業決策的資料，應由員工核實後才使用。

公司亦應設定對話紀錄、上載文件及 AI 輸出資料的保存期限，並定期刪除不再需要的資料。

六、選擇 AI 服務商時，企業應確認甚麼？

除了員工使用習慣，AI 平台本身的資料處理方式亦十分重要。

在採用新的 AI 工具前，建議先檢查以下項目：

檢查項目	需要確認的內容
資料用途	輸入資料會否用於模型訓練？
資料保存	對話及文件會保存多久？
資料刪除	能否要求刪除已上載的資料？
存取權限	是否支援帳戶管理及權限設定？
第三方處理	是否會交由其他服務商處理資料？
安全措施	是否提供適當的加密及保安安排？
合約條款	是否清楚列明資料處理及保密責任？

如果企業委託第三方代為處理個人資料，亦應透過合約或其他方法，確保服務商符合相關資料保障要求。

不能只看 AI 工具是否方便，亦要了解它如何處理公司的資料。

七、如果客戶資料意外外洩，公司應怎樣處理？

即使已經制定 AI 使用政策，企業仍然需要準備突發情況。

例如員工誤將完整客戶名單上載至公開 AI 平台，或者 AI 系統帳戶遭未經授權人士登入，都可能涉及資料保安事故。

建議公司建立基本應對流程：

1. 立即停止相關操作： 暫停有問題的 AI 工具或帳戶存取，避免更多資料被處理。

2. 確認涉及資料： 了解哪些客戶資料被上載、存取或可能外洩。

3. 保留事故紀錄： 保存相關時間、操作紀錄、系統通知及處理過程。

4. 評估影響範圍： 判斷涉及多少人、資料敏感程度及可能造成的風險。

5. 安排補救措施： 聯絡服務商處理刪除、權限及帳戶安全問題。

6. 考慮通報及通知： 按事故風險及私隱專員公署的建議，考慮向公署通報及通知受影響人士。

香港現行《個人資料（私隱）條例》並沒有一般性的強制資料外洩通報制度，但私隱專員公署鼓勵機構在發生資料外洩事故時作出通報，並妥善處理受影響人士的情況。

因此，企業不應等到客戶投訴才開始處理。

八、香港中小企 AI 私隱管理自查清單

如果公司已經開始使用 AI，可以先利用以下清單檢查現有流程：

• 公司是否有批准使用的 AI 工具名單？

• 員工是否清楚哪些資料不能輸入 AI？

• 客戶個人資料是否只用於已通知的合法目的？

• 使用 AI 前是否有刪除不必要的個人資料？

• 是否了解 AI 平台的資料保存及模型訓練安排？

• 是否限制員工及 AI 系統的資料存取權限？

• AI 生成的客戶資料是否經過人工核實？

• 公司是否制定資料保存及刪除政策？

• 是否有處理資料外洩事故的內部流程？

• 是否定期向員工提供 AI 私隱及安全培訓？

如果以上項目仍有多項未完成，建議公司先從內部 AI 使用政策及資料分類開始，逐步建立管理制度。

九、企業應該如何開始建立 AI 管理制度？

如果公司目前還沒有正式的 AI 使用政策，不需要一次過建立複雜的管理系統。

中小企可以先從幾個基本步驟開始：

第一步：盤點目前使用的 AI 工具

整理公司及員工正在使用的 AI 平台，了解每個工具的用途、資料保存方式及使用權限。

第二步：制定員工使用指引

清楚列明哪些資料可以輸入 AI、哪些資料必須先刪除，以及哪些資料禁止上載。

第三步：檢查客戶資料使用目的

確認客戶原本提供資料的用途，以及 AI 是否涉及新的資料處理目的。如有需要，更新私隱政策及個人資料收集聲明。

第四步：安排定期檢查

定期檢視 AI 工具的設定、資料保存期限及員工使用情況。如果更換平台或增加 AI 自動化功能，亦應重新評估相關風險。

第五步：安排員工培訓

讓員工了解個人資料保障原則，避免因為操作不當而將客戶資料或公司機密外洩。

AI 管理不只是 IT 部門的工作。管理層、行政、人事、會計及客戶服務團隊，都應清楚自己的資料處理責任。

十、SMEBro 提醒：企業使用 AI，效率與合規同樣重要

AI 可以協助企業節省行政時間、整理客戶資料及改善日常工作流程，但企業不能只關注工作效率，而忽略資料私隱及內部管理。

尤其對香港中小企而言，即使沒有專門的 IT 或合規部門，亦應建立基本的資料管理制度，清楚規定員工可以使用哪些 AI 工具，以及如何處理客戶和公司資料。

除了 AI 私隱管理，企業亦應定期整理公司文件、財務紀錄及法定申報資料，讓日常營運更加有系統。

SMEBro 為香港中小企提供多項企業支援服務，包括：

• 公司註冊及成立

• 公司秘書及法定合規服務

• 會計理帳

• 法定審計

• 利得稅申報

• 公司註銷

無論是新成立公司，還是希望改善現有企業管理流程，都可以按公司實際需要安排合適的服務。

想讓公司日常管理更有系統？立即聯絡 SMEBro，了解公司秘書、會計理帳及企業合規服務。