個人資料私隱專員公署在 2025 年針對 60 間香港機構進行的合規檢查,得出一項應重設每個董事會 AI 風險討論的結論:80% 受查機構已在日常運營中使用 AI,較一年前上升 5%,而公署未發現任何違反個人資料(私隱)條例的個案。這並非無條件的肯定,而是一份公告:標準已劃定,仍在試點階段的企業,將以此為衡量基線。
2026 年香港 PDPO 對 AI 的法律地位為何?
香港目前沒有獨立的 AI 法例。最後一次重大修訂於 2021 年的個人資料(私隱)條例,仍是當 AI 系統處理個人資料時的主要規範。金管局與證監會等行業監管機構提供額外的行業指引,但 PDPO 是每一間企業的基礎規則。
這點之所以重要,是因為它移除了一個常見藉口。部分董事會仍將 AI 合規當作「等待專門 AI 法例」的觀望事項。公署已關上這扇門。2024 年的「人工智能:個人資料保障模範框架」與 2025 年的「僱員使用生成式 AI 的指引清單」,合在一起明確列出目前已適用於 AI 部署的義務。
對香港企業領袖而言,這代表 PDPO 合規不再是 AI 部署後的下游事項,而是上游關卡。公署已表明每年將持續進行合規檢查,被衡量的群體,現在已涵蓋所有以 AI 處理個人資料的機構。
什麼是 PCPD 模範 AI 框架?為何對企業重要?
公署於 2024 年 6 月發布的「個人資料保障模範框架」,是香港就 AI 部署最具權威的官方指引。框架定義了四個營運支柱:AI 策略與管治、風險評估與人為監督、AI 模型客製化與系統管理,以及與持份者的溝通與互動。
這套框架重要的原因是:形式上自願,實際上等同強制。公署在合規檢查時,正是以這四個支柱作為評估格。無法在四個支柱上展示成熟度的機構,就是最有可能出現在下一份公開個案報告中的對象。Slaughter and May 與 Mayer Brown 等律師行均發布顧問報告,把此框架視為實際合規基線。
對於需向董事會匯報的 IT 總監而言,這套框架同時提供了有用的翻譯。討論不再停留於 AI 是否「安全」,而是變得具體:哪個支柱有缺口、誰負責、補救時程為何。
支柱一(AI 管治)在香港企業中如何實際運作?
支柱一要求建立一個 AI 管治架構,能將董事會層級的意圖,轉化為日常營運中的決策。實務上代表須設置指定的 AI 管治委員會、公開的 AI 使用政策、為每個生產環境的 AI 系統指派負責人,以及一套針對超出委員會職權的議題的書面升級流程。
香港一家 200 人的專業服務公司,可行的運作模式如下:董事會委任由營運總監主持的 AI 管治委員會,成員包括 IT、法律、人力資源與部署 AI 的業務單位代表。委員會每月召開一次。生產環境中的每個 AI 系統都有指定系統負責人與年度審查日。每一筆新的 AI 採購決定,必須在簽約前經委員會審議。
沒有這層架構,機構無法回答公署的第一個問題:是誰決定部署這個 AI 系統,依據是什麼。2025 年的合規檢查明確要求提供這些決策的書面紀錄,而非高階主管的口頭保證。
企業應如何依支柱二進行 AI 風險評估?
支柱二要求對每一個處理個人資料的 AI 系統執行「私隱影響評估」(PIA),評估的深度需與系統風險級別相稱。PIA 記錄哪些個人資料流入 AI、AI 對其進行什麼處理、產生哪些風險、以及採取哪些控制措施緩解。所需的人為監督程度,需依評估出的風險級別校準。
對於低風險系統,例如僅回答通用產品問題、不輸入個人資料的聊天機械人,採用輕量版 PIA 範本即可。對於高風險系統,例如用於信貸、招聘或保險核保的 AI 評分工具,PIA 必須完整,並至少每年覆查一次。公署的指引明確指出,高風險系統需採用人類參與決策迴圈,而非僅在外圍觀察的監督模式。
香港上市金融機構在這方面起步較早,因為金管局 2019 年的大數據分析原則已要求類似評估。對於沒有此基礎的中型企業而言,PIA 紀律是現況與符合公署標準之間最大的差距項目。
支柱三(系統管理)對生產環境 AI 有何要求?
支柱三涵蓋企業日常如何運作 AI 系統,包括資料最小化、模型客製化控制、存取管理、安全測試、事故應變,以及對模型行為的持續監控。它是技術密度最高的一個支柱,也是最常被完全下放至 IT 部門、缺乏業務參與的支柱。
所需控制包括:書面化的資料最小化政策,證明僅蒐集並保留 AI 既定用途所必需的個人資料;每個客製化 AI 模型在生產環境中均有模型卡或同等紀錄;以角色為基礎的存取管理,每季重新認證;以及一套經測試的事故應變劇本,明確涵蓋 AI 特有的失效模式,例如幻覺、偏見漂移與提示注入。
香港一家部署 AI 客服助理的物流公司,應能隨時回答四個營運問題:系統處理哪些個人資料、誰有權覆寫其判斷、部署前進行了哪些測試、以及若系統開始產生不準確回應,團隊將如何偵測與應變。在合規檢查中,無法回答其中任何一題,將被視為支柱三的缺口。
支柱四(持份者溝通)如何落實於實務?
支柱四要求企業透明地與其個人資料被 AI 處理的人士溝通。實務上代表須備有明確披露 AI 使用情況的私隱通知、讓個人查詢或挑戰 AI 決策的清晰渠道,以及一份針對處理個人資料的員工使用生成式 AI 的書面政策。
2025 年的「僱員使用生成式 AI 的指引清單」就是這方面的營運範本。清單告訴機構,其內部 AI 使用政策應涵蓋哪些內容:允許使用的工具、禁止輸入的內容、強制的覆核步驟、培訓要求,以及違反規定的後果。公署將欠缺此類政策視為支柱四缺口,而非僅是缺少最佳實務。
香港常見的缺口在於私隱通知本身。許多企業在 2021 年刑事化起底修例後更新過通知,自此未再覆查。將 AI 使用以公署所期望的具體程度納入通知,是任何已擴大 AI 部署的機構在 2026 年的優先項目。
香港企業最常掉入的合規陷阱是哪些?
最常見的陷阱可以預測,但也是公署合規團隊現在優先查找的議題。第一是使用第三方 AI 工具處理員工個人資料時,未簽訂符合 PDPO 標準的資料處理協議。第二是以真實客戶資料而非合成或匿名化資料集進行 AI 測試。第三是允許員工以免費版消費級 AI 工具處理觸及個人資料的工作。
Mayer Brown 在 2025 年 10 月的顧問報告中指出第四個陷阱:機構導入 AI 自動化貸款審批或求職篩選等決策時,未書面記錄 AI 建議在告知受影響個人前,是如何經由人類覆核。PDPO 的資料準確性與查閱原則,將此書面責任放在部署機構身上,而非 AI 供應商。
對於企業領袖而言,這四個陷阱顯示同一個模式:技術上的 AI 部署比治理外殼跑得更快。補救通常不困難,但鮮少免費,而且缺口愈久不補,成本愈滾愈大。
結語:PDPO 合規已是競爭問題,而非單純的法律問題
將符合 PDPO 的 AI 部署視為競爭優勢的企業,將在未來十年贏得香港受監管行業的合約。將之視為每年覆查一次的法律衛生項目的企業,將發現補救成本高於設計成本。公署已公開框架、清單與評估格。剩下的變數,僅在於機構在下一次合規檢查前還是之後將其落地。
對香港企業領袖而言,機會在於把 AI 管治變成市場差異化能力,而非合規成本。懂AI的冷,更懂你的難 — UD 同行28年,讓科技成為有溫度的陪伴。
與 UD 邁出下一步
你已掌握四大支柱框架,下一步是將現有 AI 部署對齊 PDPO 義務,並在下一次合規檢查前優先補上高風險缺口。UD 擁有 28 年服務香港企業的經驗,手把手帶你完成每一步,從 PIA 設計、AI 管治委員會建置,到內部生成式 AI 政策撰寫。