PCPD 2026 AI 私隱合規清單：香港企業用 AI 前要先做哪 6 件事？

PCPD 2026 AI 私隱合規清單：香港企業用 AI 前要先做哪 6 件事？

一間香港零售公司想把 WhatsApp 查詢、會員資料和網店訂單交給 AI 整理；一間教育機構想用 AI 幫學生配對課程；一間專業服務公司想讓 AI 先草擬客戶跟進紀錄。這些想法都很實用，但管理層很快會遇到同一個問題：如果 AI 接觸到客戶姓名、電話、購買紀錄、報名資料或合約內容，誰負責決定可以讀甚麼、保留多久、出錯時怎樣處理？

這不再是遙遠的合規題。香港個人資料私隱專員公署（PCPD）在 2026 年 5 月 19 日公布新一輪 AI 個人資料私隱合規檢查結果，檢查涵蓋 60 間機構，包括銀行、教育、零售、物流、物業管理、餐飲、會計、創科及公共服務等行業。PCPD 指出，60 間受檢機構中有 57 間，即 95%，已在日常營運使用 AI；當中 24 間透過 AI 系統收集或使用個人資料。

對香港企業來說，重點不是「可不可以用 AI」，而是「用 AI 前是否已經有足夠治理」。以下 6 件事，可以作為 SME、營運團隊和 IT manager 的 AI privacy governance 起步清單。

1. 先建立 AI inventory，不要讓工具在部門之間失控

很多公司第一次發現 AI 風險，不是因為正式系統出問題，而是因為不同部門已經各自試用工具。市場部用 AI 寫廣告，客服用 AI 整理客戶查詢，HR 用 AI 改招聘內容，管理層用 AI 總結報表。每一個工具單獨看都像是小事，但加起來就是一個沒有盤點的資料處理環境。

PCPD 的 Model Personal Data Protection Framework 建議企業建立 AI strategy 和 AI inventory，清楚列出公司使用甚麼 AI 系統、用途是甚麼、會否涉及個人資料、由哪個部門負責，以及是否由第三方供應商提供。

實務例子：一間診所或教育中心可以先用表格列出所有 AI 使用場景，例如「客服回覆草稿」、「課程推薦」、「內部會議記錄摘要」。每一項都標明資料來源、是否包含身份證明、付款紀錄或健康資料，以及輸出是否需要職員審批。這份 inventory 不一定複雜，但它是後續權限、合約、培訓和風險評估的基礎。

2. 分清楚 AI 只是輔助，還是正在處理個人資料

不是所有 AI 用法都同樣高風險。用 AI 改寫一般市場文案，和用 AI 分析客戶投訴、會員消費紀錄或求職者履歷，是兩個完全不同的風險層級。

PCPD 在 2026 年 5 月 19 日的結果中提到，24 間透過 AI 系統收集或使用個人資料的機構，涉及的 AI 系統包括 chatbot、OCR、文字/圖片/影片/簡報生成工具和數據分析工具。這提醒企業：只要 AI 工具會讀取、整理、轉換或輸出與個人有關的資料，就應該納入私隱治理，而不是只當成普通辦公軟件。

實務例子：物流公司可以用 AI 產生一般「送貨延誤通知」模板，風險較低；但如果 AI 要讀取客戶地址、電話、訂單號碼和派送時間，再生成個別回覆，就已涉及個人資料處理。這時候應先確認收集目的、資料保留期、供應商處理方式和職員覆核流程。

3. 把 PICS、私隱政策和資料保留期寫清楚

企業採用 AI 後，很多既有文件需要更新，包括 Personal Information Collection Statement（PICS）、私隱政策、內部資料保留表和供應商合約。PCPD 的檢查結果顯示，受檢而透過 AI 收集或使用個人資料的機構，均在收集個人資料時或之前提供 PICS；但只有約 29% 在 PICS 中列明會使用 AI 工具處理個人資料。

這對 SME 很有啟示。公司未必一開始就要寫很長的 AI 政策，但至少要讓客戶、員工或會員知道：資料為甚麼被收集、會否交由 AI 工具處理、會否轉交第三方、保留多久，以及在甚麼情況下刪除。

實務例子：一間網店如果用 AI 客服整理客戶查詢，可以在收集資料頁面和私隱政策補充 AI 處理用途，例如「用於分類查詢、草擬客服回覆及改善服務流程」。同時，系統上應設定查詢紀錄的保留期，例如完成售後服務後按既定規則刪除或匿名化，而不是無限期留在客服工具內。

4. 為員工使用 GenAI 設定邊界，而不是只靠口頭提醒

很多 AI 風險來自人手 copy and paste。員工把客戶資料貼入未經批准的 AI 工具，可能只是想快一點完成報告，但公司很難事後追蹤資料去了哪裡。

PCPD 的 2026 檢查指出，在 24 間透過 AI 系統收集或使用個人資料的機構中，全部都容許員工在工作中使用生成式 AI；當中約 71% 已制定內部政策或指引，另外約 21% 計劃制定。這個數字說明 GenAI employee policy 已經不再是大型企業才需要的文件。

實務例子：一間會計或專業服務公司可以把員工 AI 使用分成三類：可用、需批准、不可用。可用包括改寫不含客戶資料的電郵語氣；需批准包括整理匿名化後的客戶查詢趨勢；不可用包括把完整合約、身份證明、財務報表或未公開商業資料貼入個人 AI 帳戶。政策應配合實際工具權限和培訓，否則只是一份無人執行的文件。

5. 高風險流程要由人員審批，並保留審批紀錄

AI 可以提高效率，但不應在所有情況下自動作決定。PCPD 的結果顯示，涉及個人資料的受檢機構中，約 79% 採用 human-in-the-loop，由人保留決策控制，以防止或減低 AI 出錯或作出不當決定；其餘則採用 human-in-command，由人監察系統運作並在需要時介入。

對香港企業來說，最實際的做法是把 AI 權限分成三層：可讀取、可建議、可執行。越接近付款、合約、投訴、拒絕服務、員工評核或敏感個人資料，就越需要人工審批。

實務例子：物業管理公司可以讓 AI 先把住戶維修申請分類，例如水喉、電力、升降機或保安問題；但涉及扣款、投訴回覆、個人資料更正或事故責任的決定，應由職員審批後才發出。系統亦應記錄誰審批、何時審批、改了甚麼內容，日後才有審計線索。

6. 在上線前做 PIA，之後定期 audit 和演練 incident response

AI 系統不是「上線一次就完成」。模型、資料來源、供應商功能、員工用法和法規期望都會變。PCPD 的 2026 結果顯示，涉及個人資料的受檢機構中，約 79% 在實施 AI 系統前進行 privacy impact assessment；約 92% 制定 data breach response plans；約 63% 定期進行內部審計或獨立評估。

SME 不一定要一開始做大型審計，但至少要有上線前檢查、定期覆核和事故處理流程。特別是使用 AI agents 時，PCPD 明確提醒企業應小心考慮資料性質和敏感程度，只授予執行任務所需的最低存取權限，並注意插件、技能和官方下載來源的安全。

實務例子：一間培訓機構想用 AI agent 自動跟進未付款學生，可以先做 2 至 4 星期 pilot。第一階段只讓 AI 讀取課程名稱、付款狀態和聯絡渠道，生成提醒草稿；職員確認後才發送。pilot 結束後，團隊檢查是否有錯發訊息、資料過度暴露、學生投訴或職員繞過流程的情況，再決定是否擴大至更多課程。

AI 合規不是拖慢創新，而是令 AI 可以長期使用

PCPD 在 2026 年 5 月 19 日公布的結果並不是叫企業停止用 AI。相反，數據顯示 AI 已經進入香港日常營運：行政支援、客服、行銷、風險管理、研發、人力資源和企業傳訊都在使用。真正的分別在於，成熟企業會把 AI 當成系統能力來管理，而不是任由部門各自試工具。

對香港 SME 而言，最值得先做的不是購買最複雜的 AI 平台，而是把基礎做好：列出 AI inventory、整理資料流程、更新 PICS 和私隱政策、制定員工 GenAI 指引、設計 human-in-the-loop 審批、建立 PIA、audit 和 incident response 節奏。

當 AI 涉及客戶資料和日常決策，下一步可以先選一條高風險流程，檢查資料來源、使用目的、審批紀錄、保留期限和事故處理方法。