---
name: ai-use-policy-draft
description: 起草一份簡短、白話的公司 AI 使用政策：核准的工具、絕不能貼進 AI 工具的資料、何時必須由人審查 AI 產出、何時要揭露使用了 AI、誰負責政策和核准新工具，並標出每個需要法務審閱的地方。適用於創辦人、營運主管或經理要一份 AI 政策、AI 使用規範、ChatGPT 使用政策、員工生成式 AI 指引，或工作上使用 AI 的規則時。
---

# AI 使用政策草稿

> 這不是法律意見。這是給律師審閱前準備的初稿，不能取代律師審閱。

大家真的會遵守的政策，2 頁就寫得完，並回答 4 個問題：用哪些工具、哪些資料絕不能輸入、什麼時候由人檢查產出、有問題找誰。英國國家網路安全中心（NCSC）建議不要把敏感資訊放進公開的 AI 工具，因為服務提供者看得到查詢內容，也可能用來改進服務。所以政策的核心是一份簡短、具體、附例子的資料分類清單，加上一份標明哪些工具有企業版條款的核准工具清單。

## 適用情境

- 公司或團隊裡有人在沒有規則的情況下使用 ChatGPT、Claude、Gemini 或 Copilot。
- 在全公司導入某個 AI 工具之前。
- 客戶或投資人問「你們有 AI 政策嗎？」。
- 不適用於完整的 AI 治理或風險管理計畫，也不適用於面向客戶的 AI 產品條款：那些需要法務和資安專家。

## 需要準備

- 正在使用或計畫使用的 AI 工具，以及每個工具用的是企業方案還是個人帳號。
- 公司處理哪些資料：客戶資料、健康或財務資料、原始碼、合約、員工資料。
- 任何限制資料使用的法規或客戶合約。絕不要猜；不清楚就標「[待確認：法務]」。
- 誰負責這份政策（一個人），以及誰核准新工具。

## 步驟

1. **用 2 句話說明目的。** 鼓勵使用，同時保護資料和客戶。寫明適用於所有員工和外包人員、任何裝置、所有工作上的任務。
2. **列出核准的工具。** 寫出工具、方案、核准的用途，以及在公司帳號的設定下，輸入的資料會不會被拿去訓練模型 [待確認：每個工具的廠商條款]。沒列出的工具，一律不得用於公司資料。寫明如何申請新工具。
3. **定義資料分類並附例子。** 這個技能預設分 3 類。絕不能輸入：密碼和金鑰、客戶或員工的個人資料、健康或金融帳戶資料、未公開的財務數字、合約和法律事務、任何客戶合約限制的內容。只能用核准工具：內部文件、未公開的計畫、原始碼 [待確認：法務與資安]。任何工具都可以：公開資訊，以及不含機密的自己的文字。每一類舉 2 到 3 個這家公司工作中的例子。
4. **訂審查規則。** AI 產出在寄給公司外部、公開發布、用於和人有關的決定（招募、考核、薪資），或用於法律、財務、醫療、資安事務之前，都要先由人檢查。使用的人要為它負責。事實、數字、引述和出處都要對照來源查證。
5. **訂揭露規則。** 什麼時候要告訴客戶或讀者用了 AI：這個技能的預設是，聊天機器人和自動回覆要說明自己是自動的；主要由 AI 生成的內容，在客戶合約、平台規則或法律要求時揭露 [待確認：各市場的法規（法務）]。在會造成誤導的情況下，不要把 AI 產出說成某個具名的人親自完成的作品。
6. **指定負責人和更新週期。** 寫出政策負責人（一個人）、誰核准工具、出錯或資料外洩時向哪裡回報、多快要回報，以及下次檢討日期。這個技能的預設：每 6 個月一次，因為工具和條款會變。
7. **標出需要法務審閱的地方。** 凡是取決於法律、合約或廠商條款的點，都標上「[待確認：法務]」：個人資料保護、產業規範、客戶合約條款、產出內容的智慧財產權歸屬、員工監控，以及揭露要求。

## 輸出格式

```markdown
# [公司名稱] AI 使用政策
*供法務審閱的草稿。不是法律意見。第 [n] 版，[日期]。負責人：[姓名]。*

## 為什麼要有這份政策
[2 句話]

## 核准的工具
| 工具 | 方案 | 核准用途 | 資料會被拿去訓練嗎？ |
|---|---|---|---|
| [工具] | [企業版／Enterprise] | [用途] | [不會／待確認：廠商條款] |
沒列出的工具：不得用於公司資料。申請新工具：[方式]。

## 可以輸入什麼
| 絕不能輸入 | 只能用核准工具 | 任何工具都可以 |
|---|---|---|
| [例子] | [例子] | [例子] |

## 使用前先檢查
- [審查規則]

## 告知對方用了 AI
- [揭露規則]

## 出問題時
在 [時間] 內向 [人員／頻道] 回報：[要回報的內容]。

## 負責人
- 政策負責人：[姓名] · 工具核准：[姓名] · 下次檢討：[日期]

## 需要法務審閱的地方
- [ ] [項目] [待確認：法務]
```

## 範例

**輸入：** 「幫沐光健康數據寫一份政策，公司 40 人。我們替診所處理去識別化的病患資料，也有一部分可識別的病患資料。團隊在用 ChatGPT（有些是個人帳號），我們正在採購 Claude Team。工程師用 GitHub Copilot Business。負責人：林志豪（營運長）。」

**輸出：**

```markdown
# 沐光健康數據 AI 使用政策
*供法務審閱的草稿。不是法律意見。第 0.1 版，11月4日。負責人：林志豪。*

## 為什麼要有這份政策
我們希望每個人都用 AI 把工作做得更快。我們也替診所處理病患資料，所以由這些規則決定哪些工具、哪些資料可以用。

## 核准的工具
| 工具 | 方案 | 核准用途 | 資料會被拿去訓練嗎？ |
|---|---|---|---|
| Claude | Team | 寫作、分析內部文件 | [待確認：廠商條款和管理員設定] |
| GitHub Copilot | Business | 公司儲存庫中的程式碼 | [待確認：廠商條款] |
| ChatGPT | 個人帳號 | 在企業方案核准前，只能用於公開資訊 | [待確認] |
沒列出的工具：不得用於公司資料。申請新工具：在 #it-requests 提出，由林志豪核准。

## 可以輸入什麼
| 絕不能輸入 | 只能用核准工具 | 任何工具都可以 |
|---|---|---|
| 病患資料（即使你認為已去識別化）；診所合約；密碼和 API 金鑰；員工人事資料 | 內部文件、產品路線圖、與病患無關的程式碼 | 公開的研究、你自己寫的草稿文字 |

## 使用前先檢查
- AI 產出在寄給診所、公開發布，或作為員工相關決定的依據之前，都要先由人檢查。
- 每個數字、出處和臨床相關的陳述，都要對照來源查證。
- AI 生成的內容一律不用於臨床建議。

## 告知對方用了 AI
- 給診所的任何自動回覆，都要說明是自動回覆。
- 其他揭露依診所合約辦理 [待確認：法務]。

## 出問題時
在 1 小時內向林志豪或 #security 回報：輸入了什麼、用哪個工具、什麼時候。

## 負責人
- 政策負責人：林志豪 · 工具核准：林志豪與資安負責人 · 下次檢討：5月

## 需要法務審閱的地方
- [ ] 每個服務市場的健康資料規範 [待確認：法務]
- [ ] 診所合約中關於複委託處理者和 AI 的條款 [待確認：法務]
- [ ] 「去識別化」資料是否符合法律標準 [待確認：法務]
- [ ] 每個核准工具的廠商資料使用條款 [待確認：法務與資安]
```

## 寄出前檢查

- [ ] 技能產出和政策草稿的開頭都有法律免責聲明。
- [ ] 每個「絕不能輸入」的資料類別都有這家公司的具體例子。
- [ ] 每個核准工具都寫了方案；除非明確決定，個人帳號不得用於公司資料。
- [ ] 審查規則涵蓋對外使用、和人有關的決定，以及法律、財務、醫療或資安事務。
- [ ] 沒有把法律、法規或廠商條款寫成事實；每一項都標了「[待確認：…]」。
- [ ] 政策指定一個人為負責人，並寫了檢討日期。

## 常見錯誤

- 全面禁止 AI。大家還是會用個人帳號偷偷用，而那些資料你看不到也管不了。
- 只寫「不要輸入敏感資料」卻不舉例。大家不知道哪些算敏感資料。
- 照抄別家公司的政策，卻沒確認哪些法律和合約適用於你們。