什么是私隐公署的AI合规审查？
香港个人资料私隐专员公署（PCPD）今年审查了16个行业共60家机构，结果没有发现任何违反《个人资料（私隐）条例》的情况。然而同一份报告显示，制定AI政策的机构比例由63%跌至50%，董事会层面讨论AI的比例更下跌约25个百分点。零违规的成绩单背后，藏着一个正在恶化的治理问题。
私隐公署的AI合规审查，是香港私隐监管机构每年一度的例行审视，评估机构在通过AI系统收集、使用及处理个人资料时，是否符合《个人资料（私隐）条例》的规定。2026年度审查于今年5月发表，覆盖60家机构，并检视它们落实《人工智能：个人资料保障模范框架》及《雇员使用生成式AI的指引清单》的情况。
这已是连续第三轮审查，此前两轮分别在2024年及2025年完成。2026年审查范围明显扩大，在银行、保险、教育、零售等原有行业之外，新增了会计、餐饮、创新科技、物流及物业管理五个界别。受审机构中，一半雇员人数超过500人，这些发现对中大型企业管理层有直接参考价值。
2026年审查发现香港企业AI采用情况如何？
审查发现，60家受查机构中有95%在日常运营中使用AI，较2025年的80%上升15个百分点。约79%的机构使用AI超过一年，51%同时运行三个或以上的AI系统。AI在香港企业已不是试验品，而是嵌入日常运营的基础设施。
其他研究同样印证这一趋势。德勤与香港大学合作的《AI采用指数2026》发现，香港机构的AI使用率接近全面普及，但只有23%的机构实现了有可量化财务效益的实际部署。换言之，采用面很广，成熟度却很浅。
对部门主管而言，这个落差正是战略重点。你的竞争对手几乎肯定已在某处使用AI，但真正把AI连接到受治理的数据、规范流程与可量化成效的企业仍是少数。谁先补上这段距离，谁就把AI从口号变成实际的运营优势。
香港企业如何降低AI的资料风险？
2026年最瞩目的发现，是企业明显转向「轻资料」的AI部署模式。保留通过AI收集的个人资料的机构比例，由2025年约79%大幅回落至29%，跌幅接近50个百分点。越来越多企业选择即时处理后不留存资料、将资料匿名化，或干脆不让个人资料进入AI系统。
安全措施维持在高水平。全部24家机构均实施了访问控制、数据加密及渗透测试，约21%还设有AI专属安全警报并定期开展红队演练。约79%采用「人在回路」模式，由人工复核AI输出后才让其生效。
不过报告揭示了一个透明度缺口。所有通过AI收集个人资料的机构都提供了《收集个人资料声明》，但其中只有29%在声明中明确提及AI的使用。一份对AI只字不提的隐私声明，未必足以支持将相关资料输入AI系统处理。这是一个藏在合规文件之内、平日看不见的法律风险。
为什么AI采用加速，治理反而倒退？
2026年有两项治理指标不升反跌：制定了AI相关政策的机构由约63%跌至50%，董事会层面讨论AI使用的比例下跌约25个百分点至54%。采用速度越来越快，本应驾驭它的治理架构反而在弱化，私隐公署明确将此列为值得关注的趋势。
原因对任何主导过转型项目的管理者来说都不陌生。当技术从试点走向日常使用，资源和注意力全部转向部署，治理工作便悄悄失去了推动者。政策草案卡在法务审核，董事会议程排得太满，AI一项不知不觉被挤了出去。
换个角度看，这也是机会。既然样本中只有一半机构有AI政策、只有54%曾在董事会讨论AI，一位能向董事会提交完整AI治理方案的主管，立刻领先市场约一半的同行。此时此刻，治理不是行政负担，而是实打实的竞争差异。
私隐公署对Agentic AI有什么警示？
私隐公署在2026年报告及今年3月发出的专项警示中，将Agentic AI（自主执行任务的AI代理）列为风险明显更高的独立类别。与只负责生成文字的聊天机器人不同，AI代理通常持有对文件、应用程序及系统资源的长期访问权，能在无人实时监督下自主执行多步任务。
监管机构的忧虑相当具体：拥有过高默认权限的AI代理，可能暴露文件、电邮、账户凭证及浏览器内容；它可能误解指令而删除重要数据；未经审核的插件或技能包，更可能植入恶意代码，让黑客接管账户甚至整个系统。
公署建议的控制措施具体到可以直接写进内部标准：只授予最低必要的访问权限、只从官方渠道下载最新版本、将运行环境与本机设备及服务器隔离、安装插件前先验证安全性、持续进行风险评估，并在最终决策上保留人工把关。
对你的规划而言，含义很清晰：部署一个AI代理，等于授予一个非人类行为者对系统的长期访问权，治理设计必须从第一天起就是部署计划的一部分。
企业应如何回应？五步合规框架
2026年的审查结果可以转化为五项行动，让你的AI部署对齐《个人资料（私隐）条例》、私隐公署模范框架以及监管方向。这五步共同构成一条可向董事会及监管机构交代的治理基线：政策、透明度、分级监督、运营保障，以及供应链管控。
第一，重启政策制定与董事会议程。将全企业AI政策及定期向高层汇报视为问责的基本要求，并对齐私隐公署模范框架，让监督随部署规模同步扩展。
第二，让AI在隐私文件中现身。更新《收集个人资料声明》及《私隐政策声明》，用浅白文字说明AI在何处、如何处理个人资料，堵住目前71%机构留下的透明度缺口。
第三，按风险分级设置人工监督。信贷、招聘、客户待遇等重大决策保留真正的人在回路把关；对Agentic AI则采用更严格的控制组合，包括最低权限、环境隔离及插件审核。
第四，把规划中的保障措施落地。在公署样本中，定期审计比例上升17个百分点，涵盖AI事故的应急预案上升9个百分点，这些正迅速成为行业标准。今年之内，至少演练一次AI专属的数据泄露情境。
第五，用合同管好AI供应链。51%的机构同时运行三个或以上AI系统，供应商管理已是合规核心。确保合同载明数据安全、协助义务及问责条款，并在部署前完成对工具及插件的尽职调查。
企业最常犯的错误是什么？
最常见的错误，是把「审查零违规」当成可以长期安枕的证明。公署今年确实没有发现违例，但政策覆盖率与董事会参与度双双下滑，说明不少机构只是纸面合规，治理根基正在底下流失。从2026年数据可以归纳出三个具体陷阱。
以为审查与自己行业无关。2026年新增了物流、会计、餐饮、创新科技及物业管理五个界别，审查范围每年扩大。等到自己的行业被点名才准备，等于计划好了措手不及。
以为轻资料等于零风险。不留存个人资料确实降低风险，但即时处理在收集和使用的那一刻仍受条例规管。71%机构的收集声明从未提及AI，正好说明这一点有多容易被忽略。
让AI代理试点跑在管控之前。业务团队为提升效率先用上AI代理，安全审查数月后才跟上，这种次序在市场上相当普遍。私隐公署3月的警示正是为此而发，而事前纠正的成本，远低于事后补救。
结语：部署有多快，治理就要有多快
私隐公署2026年合规审查描绘的市场是：AI采用率已达95%，正式治理却在变薄，政策更少、董事会讨论更少，而Agentic AI带来的新型风险，比控制框架的建立速度来得更快。监管机构今年没有发现违规，同时也明确告诉了你，它下一步会看哪里。
对香港企业决策者而言，功课已经写在黑板上：补上隐私声明中的AI透明度缺口、让AI重返董事会议程，并以比聊天机器人更严格的标准约束AI代理。趁现在动手，这是一项战略选择；等监管收紧才做，就成了补救工程。
这条路你不需要独自摸索。懂AI的冷，更懂你的难。UD同行28年，让科技成为有温度的陪伴。
你的AI部署符合PDPO要求吗？
框架告诉你「好」是什么样子，下一步是弄清楚你的企业今天站在哪里。UD的AI Ready Check从治理、数据保障到部署成熟度为你全面评估，UD团队手把手带你完成每一步，由评估、差距分析到整改路线图，28年香港企业服务经验全程相伴。
