員工已經在用 AI 了：與其禁止，不如先訂一份使用守則
很多老闆以為公司還沒「導入 AI」，但實際走一圈辦公室就會發現：業務用它潤飾報價信，行政用它整理會議紀錄，企劃用它發想文案。AI 早就進了公司，只是沒有經過你。這件事本身不是壞事，員工願意用新工具找效率，代表他們想把事情做好。真正的風險在於，沒有人說過什麼能貼、什麼不能貼，每個人只好用自己的判斷。
看不見的風險，多半出在「貼進去的東西」
多數 AI 工具是雲端服務，你輸入的內容會傳到服務商的伺服器處理。依方案與設定不同，這些內容可能被保存一段時間，有些個人方案在預設設定下，還可能被拿去改進模型。對個人來說這也許無所謂，但對公司而言，一份客戶名單、一張報價單、一段還沒公開的合約條款，一旦貼進去，就已經離開公司能掌控的範圍。
除了資料外流，還有兩類常被忽略的問題。一是個資：客戶姓名、電話、病歷或身分資料的處理受個資法規範，不是員工個人可以決定的事。二是產出的責任：AI 寫的內容可能有錯，也可能和別人的作品過於相似，直接對外發出去，出了問題要負責的是公司，不是工具。這些風險平常看不見，往往要等客戶問起「我的資料怎麼會出現在別的地方」，才發現當初沒人把關。
一份守則，至少要回答這幾件事
使用守則不需要寫成厚厚一本，一兩頁、讓每個人五分鐘看得完，反而比較會被遵守。內容至少涵蓋：
- 可以用哪些工具：列出公司認可的服務與方案，優先選擇能關閉資料訓練、有企業版管理功能的選項。
- 哪些資料不能輸入：客戶個資、未公開的財務數字、合約、原始碼與帳號密碼，用具體例子講清楚，不要只寫「機密資料」四個字。
- 產出要經過誰確認：對外發出的文件、報價、宣傳內容，必須有人讀過、核對過事實才能送出。
- 遇到疑問找誰：指定一位窗口，讓員工不確定時有人可問，而不是自己猜。
守則寫好之後，花十分鐘在部門會議上逐條說明，並舉幾個實際的例子：哪一段可以請 AI 潤飾、哪一段要先把客戶名稱拿掉再貼。員工記得的往往不是條文，而是例子。也建議由公司統一申請工具帳號，而不是讓每個人用私人帳號，日後有人離職或需要調閱紀錄時，才有辦法管理。
禁止只會讓使用轉入地下；講清楚界線，員工才能放心地用、正確地用。
這對你的生意意味著什麼
訂守則的目的不是管人，而是讓公司在享受效率的同時，不必承擔說不清的風險。有了明確規則，主管不用擔心誰把什麼資料傳了出去，員工也不用在「用了怕出事、不用又落後」之間猶豫。守則也不是訂一次就好，工具和方案會變，建議每半年回頭檢查一次，把新出現的用法補進去。
如果公司裡已經有人在用 AI，現在就是訂規則的好時機——比等出了狀況再補救，成本低得多。創智苑在協助企業規劃系統與資安時，也會把 AI 工具的權限與資料流向一併納入考量。
