香港中小企 AI 使用政策指南：由零開始六步、影子 AI 三重風險同 PCPD 四份指引
分類：行業情報 | 日期：2026-10-20
一、點解要訂政策：影子 AI、幻覺、供應商條款變更三重風險
好多中小企未訂 AI 政策，唔係因為員工唔用 AI，而係因為員工已經喺度用，只係公司唔知。據報導，私隱專員公署調查發現，少於三成香港機構已有生成式 AI 政策（按報導轉述，唔係親自核實的數字）。換句話講，大部分公司正喺無政策的狀態下用緊 AI 工具。
三重風險要分開理解：
1. 影子 AI：禁止唔等於無人用
影子 AI 指員工因方便而用未批准的免費工具，資料離開公司控制且公司毫不知情。單靠禁止一般無效，較可行的方向係提供真正好用的批准替代工具，加上開放溝通，令員工唔需要偷偷用未批准工具。
海外調查稱逾七成員工曾用未批准工具（71%）。必須標明：呢個屬於海外數據，唔係香港數字，唔好當成香港情況。
點解禁止唔夠：禁止只係擋住名義上的使用，擋唔住實際使用。員工為咗完成工作，會用自己電話、自己帳戶繼續用未批准工具，資料照樣離開公司控制。邊界：批准替代工具必須真正好用——如果批准工具慢、功能少、限制多，員工一樣會轉返去未批准工具。常見錯誤：只發通告話「唔准用」，無提供替代方案；或者批准清單上面有工具，但員工根本唔知點用。
2. 幻覺：輸出要當初稿，唔好當答案
大型語言模型本質係模式預測而非事實檢索，會自信地虛構數字、引用、案例。加上自動化偏見，令人傾向直接複製貼上。解法係將輸出定性為初稿，強制人類對照原始來源覆核。覆核要多花少少時間，但係避免對外講錯數字、引用錯誤來源的必要步驟。
點解要強制覆核：模型輸出流暢自然，令人誤以為準確；尤其危險係數字、法例條號、案例名稱呢啲「睇落好真」的虛構。邊界：覆核唔係「睇過」就得，要對照原始來源逐項核對（見第五節輸出覆核五查）。常見錯誤：只覆核文筆通順唔覆核事實；趕時間直接對外用。
3. 供應商條款變更：信任頁面唔等於合約承諾
以下段落屬於一般商業實務觀察，唔係已核實香港法律立場：消費者版與企業版的訓練用途安排可以好唔同；條款可更新；信任頁面上的承諾唔等於合約承諾。採購時要睇合約本身，包括訓練用途、保留、次級處理者、刪除、輸出權屬、彌償等條款。批准清單須定期覆核，唔好訂一次就唔理。
點解要睇合約唔睇信任頁：信任頁係市場宣傳，合約先係法律依據。條款更新時，通知可能只係電郵一封，錯過就當接受。邊界：合約審查要睇原文，唔好只睇銷售簡報。常見錯誤：用消費者版帳戶處理公司資料，以為同企業版一樣；條款更新無人睇，批准清單從此過期。
二、香港法例框架：無專門 AI 法例，硬法律基礎係 PDPO
香港現時並無直接規管 AI 的專門法例，採取「現有法律＋自願指引」模式。中小企合規的硬法律基礎主要是《個人資料（私隱）條例》（PDPO）；PCPD／DPO 文件屬建議性質，唔係法律。
唔好將歐盟《人工智能法案》、GDPR、內地相關法例寫成香港要求。嗰啲屬於其他司法管轄區的制度，唔係香港要求。香港公司要對照的，首先係 PDPO 同本地官方指引。如有疑問，應諮詢專業意見。
PDPO 涉及個人資料的收集、使用、保存、保安、查閱及改正等一般安排。具體要求以私隱專員公署公開指引及專業意見為準，本文只講一般概念。PDPO 相關安排屬簽約前要問的問題（見第七節）。
常見錯誤：將歐盟或內地法例的要求直接套落香港公司，寫出一份「合規」但唔係香港要求的政策；或者以為 PCPD 指引等於法律，唔分建議同強制。
三、PCPD 四份文件＋DPO 兩份文件：逐項寫明日期同內容
PCPD 第一份：2021 年 8 月《開發及使用人工智能道德指引》
三價值（尊重、有益、公平）＋七原則＋四步實踐指南。較針對自行開發 AI 的機構。自行開發 AI 的公司，參考價值較高；只係用第三方 AI 工具的公司，亦可參考其價值同原則作為政策方向。邊界：呢份唔係針對日常用第三方工具的場景，唔好硬套。
PCPD 第二份：2024 年 6 月《人工智能模型個人資料保障框架》（Model Framework）
精確日期：律所指 2024-06-11／PCPD 公告 2024-06-13。四範疇：AI 策略及管治、風險評估及人類監督、模型訂製及實施與管理、持份者溝通。針對採購、實施、使用第三方 AI（含生成式 AI）的機構。對於一般中小企嚟講，呢份比第一份更貼近日常採購同使用場景。
PCPD 第三份：2025 年 3 月 31 日《員工使用生成式 AI 指引》清單
五方面：範圍、私隱、合法＋防偏見、數據保安、違規後果。加上人類驗證輸出＋AI 事故應變計劃。四份之中，呢份最貼近政策範本。公司起草員工使用規則時，可對照呢五方面逐項檢查有無漏。
PCPD 第四份：2026 年 8 月 25 日代理式 AI 指引
九項建議＋DPP 對應、保安清單五階段（評估、準備、部署、使用、停用）。呢份指引無獨立執法機制，唔好寫成新執法權。代理式 AI 指工具可以按目標自動執行多步操作，風險同一般對話式 AI 唔同，部署前要按五階段檢查。邊界：部署前先做評估，唔好部署咗先補。
DPO《Ethical AI Framework》（道德 AI 框架）
2021 年制定、2023 年 8 月更新、2025 年 12 月最新修訂。內容包括 12 原則＋三道防線。版本日期以數字政策辦公室官方頁為準。常見錯誤：「White & Case 稱 DPO 於 2024-07 發佈」應理解為機構改組／重發，唔係框架首次發佈，引用日期要分清。
DPO 2025 年 4 月 15 日《生成式 AI 技術及應用指引》
由 HKGAI 制定。三類持份者、五維度。自願性質，2025 年 12 月更新。公司參考時，要記住佢屬自願性質指引，唔係法律，唔好寫成強制要求。
四、AI 工具分類、批准清單、三級資料分類、資料輸入紅線
AI 工具分類
公司可以將 AI 工具分為三類：
- 公開工具：一般公開可用的 AI 工具，通常以個人帳戶或免費版本使用，資料處理安排以供應商公開條款為準。
- 企業版工具：以公司帳戶、企業合約使用的 AI 工具，一般有較明確的合約條款、資料處理安排同管理功能。
- 內部工具：公司自行開發或內部部署的 AI 工具，資料留喺公司控制範圍內，但仍要按政策管理使用同紀錄。
分類本身唔等於安全保證。邊類工具可以用、用嚟做乜，要由公司按批准清單決定。常見錯誤：以為企業版就自動安全，唔睇合約條款；或者分完類就當做完政策。
批准清單制
批准清單制的意思係：清單以外一律視為未批准。公司應該維持一份書面批准清單，列明批准使用的工具名稱、版本、用途、批准日期、負責人。清單要定期覆核，覆核頻率要明確（見第七節提問項目）。清單唔更新，政策好快就會同現實脫節。
點做：清單至少包括工具名稱、版本、批准用途、批准日期、負責人五欄；覆核頻率寫入政策（例如每季或每半年）。點解：無書面清單，員工唔知邊啲用得；無覆核頻率，清單會靜靜過期。常見錯誤：清單只寫工具名，無版本同用途，員工照用舊版或超範圍用。
三級資料分類
- 公開級：已公開的資料，例如公司已公開的宣傳內容。
- 內部級：公司內部資料，例如未公開的內部流程文件、內部討論紀錄。
- 受限敏感級：敏感資料，例如客戶個人資料、商業秘密、未公開財務資料、登入憑證。
資料分類由公司自行決定，上面只係範本概念，唔係法定分類。公司要按自身業務定出邊啲資料屬於邊一級，並寫入政策。點解要分類：唔分類，員工就無判斷標準，乜都照輸入。常見錯誤：分完級但無對應到工具（例如內部級資料可以用邊啲工具），分類同批准清單脫節。
資料輸入紅線
以下資料一律唔好輸入一般 AI 工具：
呢條紅線適用於一般 AI 工具。企業版或內部工具的安排，要按合約條款、資料分類同批准清單另外決定，唔好假設企業版就自動可以輸入任何資料。輸入前要對照批准清單同資料分類，唔清楚就唔輸入，先問負責人。邊界：紅線係底線，唔係上限——公司可以按自身情況加嚴。常見錯誤：紅線只寫喺文件，無喺培訓講；員工唔知「一般 AI 工具」包唔包公司買咗嘅企業版。
五、員工使用規則、輸出覆核、培訓、違規分級處理、紀錄保存、離職後 AI 帳戶
員工使用規則
政策應該寫明：
- 邊啲工具批准使用，邊啲未批准。
- 邊啲資料可以輸入，邊啲唔可以輸入。
- 輸出點樣處理，邊啲輸出可以直接用，邊啲要覆核先可以用。
- 對外發布、提交客戶、提交監管機構的文件，必須經過覆核，唔好直接用 AI 輸出。
- 有疑問時問邊個，唔好自行判斷。
輸出覆核：事實／引用／偏見／保密／版權五查
輸出覆核清單建議包括五查：
- 事實查：數字、日期、名稱、人名、公司名，對照原始來源核對，唔好只信輸出。
- 引用查：引用的法例、指引、案例、連結，逐條開嚟核對，確認真實存在同內容相符。
- 偏見查：輸出有無偏見、刻板印象、唔恰當表述，特別係涉及招聘、評估、客戶溝通的內容。
- 保密查：輸出有無包含公司機密、客戶個人資料、未公開資料，唔好將內部資料變成對外內容。
- 版權查：輸出有無複製他人受版權保護的內容，商業使用前要另外檢查（版權安排見第八節）。
覆核人要記錄已覆核，唔好只係口頭話覆核過。點解要五查：幻覺最危險係「睇落好真」，逐項查係唯一防線。邊界：覆核責任要寫明邊個做——作者自查定第二人覆核，唔同風險等級唔同要求。常見錯誤：覆核只做一次就當永久有效，工具更新後輸出習慣變咗都唔知。
培訓
有政策無培訓，係常見失敗模式之一。培訓應該包括：政策內容、批准清單點睇、資料分類點分、輸入紅線、輸出覆核五查、違規後果、邊個係負責人。新入職員工要接受培訓，現有員工要定期重溫，工具清單或政策有重大變更時要再講解。培訓要留紀錄，包括日期、參加者、內容大綱。點解要留紀錄：出事時要證明做過培訓，無紀錄等於無做過。
違規分級處理
違規處理建議分級，具體分級同後果由公司自行決定，唔係法定分級：
- 輕微：例如誤用未批准工具但無輸入敏感資料。處理方向：提醒、再培訓、記錄。
- 一般：例如輸入內部資料到未批准工具，或未經覆核就對外使用輸出。處理方向：書面提醒、跟進補救、記錄、檢討流程。
- 嚴重：例如輸入客戶個人資料、商業秘密、登入憑證到一般 AI 工具，或造成資料外洩、對外發布錯誤內容。處理方向：即時跟進、按外洩應變步驟處理（見第八節）、管理層檢討、按公司紀律程序處理。
分級只係範本概念，公司要按自身情況定出分級同處理程序，並寫入政策。任何涉及法律問題的情況，應諮詢專業意見。常見錯誤：分級寫咗但無寫邊個有權決定屬於邊級，出事時互相推。
紀錄保存
紀錄保存要包括：
- AI 使用紀錄：使用者、工具名稱、用途、輸入資料類別。只記類別，唔抄個人資料本身。舉例：記「輸入資料類別：客戶聯絡資料類別」，唔好將客戶姓名、電話、電郵抄入紀錄。
- 保存期：公司自行定出保存期，並寫入政策。保存期要考慮業務需要同相關法例要求，唔好無限期保存。
- 期滿銷毀方法：刪除＋覆核確認。期滿後刪除紀錄，並由負責人覆核確認已刪除，留低刪除紀錄。
- 紀錄本身的個人資料：提醒：紀錄本身唔好包含不必要的個人資料。紀錄只記工作需要的資料，唔好為咗方便而將個人資料抄入紀錄。
紀錄保存安排要同資料分類、輸入紅線一齊理解：紀錄係為咗追蹤同檢討，唔係為咗收集更多個人資料。常見錯誤：紀錄抄晒客戶個人資料入去，紀錄本身變成另一個資料外洩源頭。
離職後 AI 帳戶範本條款
離職安排係 AI 政策容易漏咗的一環。範本條款建議包括：
- 停用時間：離職生效當日停用全部公司 AI 帳戶，並記錄日期＋執行人。
- 取回公司資料：停用前取回公司對話紀錄／檔案。邊啲紀錄要取回、點樣取回、取回後點保存，由公司按資料分類同紀錄保存安排決定。
- 檢查私人 AI 帳戶：檢查有無公司資料帶入私人 AI 帳戶。以申報＋盤點為依據：要求離職員工申報曾用邊啲工具、處理過邊啲資料類別，並按申報進行盤點。
- 交接清單：曾用工具、處理資料類別、進行中工作。交接清單要交畀接手同事同負責人，確保進行中工作唔會因為離職而中斷或遺失。
上面屬於範本條款，具體執行要按公司人事安排、合約條款同相關法例決定。如有疑問，應諮詢專業意見。常見錯誤：只停用電郵帳戶，唔記得 AI 工具帳戶，離職員工繼續用公司付費帳戶。
六、由零開始六步＋常見失敗模式
六步
- 第一步：負責人。指定一位負責人，負責政策起草、批准清單維護、培訓安排、違規跟進、定期檢討。無負責人，政策好快就會無人理。
- 第二步：盤點。盤點公司現時用緊邊啲 AI 工具、邊啲員工用緊、做緊乜用途、輸入緊邊啲資料類別。盤點要誠實，唔好只盤點已批准的工具，連未批准的都要盤點，先知道真實風險。
- 第三步：一頁版政策＋清單。先寫一頁版政策，加批准清單、資料分類、輸入紅線、輸出覆核五查。一頁版的好處係員工肯睇、記得住。太長的政策，員工一般唔會逐字睇。
- 第四步：講解＋簽署。向員工講解政策內容，確保員工明白批准清單、紅線、覆核要求、違規後果。講解後由員工簽署確認已閱覽同明白政策。簽署紀錄要保存。
- 第五步：試行回饋。試行一段時間，收集員工回饋：批准工具係咪好用、有無工作場景被政策阻住、清單有無漏、覆核流程係咪太繁複。試行回饋用嚟改善政策，唔係用嚟證明政策唔需要。
- 第六步：定期檢討。定期檢討政策，包括定期、事件、法規三類觸發點：
- 定期觸發：每 6 個月或法例／指引有變時覆核（見文首覆核週期）。
- 事件觸發：發生 AI 事故、資料外洩、供應商重大條款變更、員工違規事件時，檢討政策是否足夠。
- 法規觸發：PDPO 修例、PCPD／DPO 新指引、相關法例變更時，檢討政策是否要更新。
落地步驟時間表（例如第 1 週做盤點、第 1–2 週出政策初稿）屬建議性質，非事實聲稱，唔好寫成官方要求。公司按自身規模同資源調整時間表，重點係六步齊全，唔係趕時間。
常見失敗模式
- 有政策無培訓：政策寫咗，但員工唔知、唔明、唔記得，等於無政策。
- 只禁無替代：只禁止未批准工具，但無提供好用的批准替代工具，員工會繼續偷偷用。
- 清單唔更新：批准清單訂一次就唔理，工具改版、條款變更、員工轉用新工具，政策同現實脫節。
- 無負責人無紀錄：無負責人跟進，無紀錄證明做過培訓、覆核、檢討，出事時無從交代。
七、簽約前要問的問題
本節唔係服務承諾，而係教讀者向任何 IT 支援供應商提問。本指南提及本站服務時，一律以「託管 IT 支援服務」稱呼。每項問題後面，都跟住「要確認乜」同「點確認」。
以下採用「已確認／待確認」兩欄結構：左欄引 pricing／FAQ 原文（已確認的公開內容），右欄列簽約前問題（待確認的項目）。
| 已確認（引 pricing／FAQ 原文） | 待確認（簽約前問題） |
|---|
| 本站 /pricing 公佈基礎版為 HK$600／月，計價單位未公佈，以查詢為準。 | HK$600／月級實際包括邊啲服務、計價單位點計、加人／加機點計。要確認乜：實際服務範圍、計價單位、加人／加機安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。 |
| 本站 /pricing 基礎版 tier 只寫「正版 Office 365 商業授權」原文（/pricing FAQ 補充包 Word／Excel／PPT／Outlook／OneDrive／Teams）。版本、授權數量、持有人名義仍未公佈，以查詢為準。 | 版本、授權數量、持有人名義、日常管理是否包括在內。要確認乜：版本、授權數量、持有人名義、日常管理範圍。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。 |
| HK$1,200／月級寫明「數據備份建議及設定」，只包建議＋設定，唔包還原測試。 | 還原測試是否提供、若提供，如何收費、由邊個負責做、幾耐做一次、紀錄點保存。要確認乜：還原測試安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。 |
| 上門安排以雙方簽署的服務協議為準（按 DECISIONS.md 決定 6，屬內容政策，唔係 /terms 引文）；上門安排簽約前問清楚並寫入協議。按首頁 FAQ Q5：基礎版上門按次收費，專業進階版及以上包含特定次數或緊急優先處理（按次收費金額、特定次數未公佈）。 | 上門安排、特定次數、按次收費金額、超次點計。要確認乜：上門安排、次數、收費。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。 |
- AI 工具清單同資料處理：供應商建議用邊啲 AI 工具？工具係公開版定企業版？資料會點處理、保留幾耐、會唔會用嚟訓練？要確認乜：工具名單、版本、資料處理安排、保留期、訓練用途。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 合約條款：合約有無寫明訓練用途、保留、次級處理者、刪除、輸出權屬、彌償？合約有無事先通知重大條款變更的條款？重大條款變更前幾耐通知？要確認乜：合約條款全文、事先通知重大條款變更條款、通知期。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾；簽約前閱讀合約原文。
- 批准清單覆核頻率：批准清單幾耐覆核一次？邊個負責覆核？供應商條款變更時，幾耐會通知客戶？要確認乜：覆核頻率、負責人、通知安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 輸出覆核同版權：供應商有無協助檢視 AI 輸出的安排？輸出版權歸屬點定？要確認乜：輸出覆核安排、版權歸屬。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 紀錄保存同離職交接：AI 使用紀錄點保存、保存幾耐、期滿點銷毀？離職時 AI 帳戶點停用、對話紀錄點取回、交接清單包括邊啲？要確認乜：紀錄保存安排、離職交接安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 網絡保險問卷：網絡保險問卷協助是否包括在內，未公佈，以查詢為準。投保前逐項問清楚：問卷邊個負責填、MFA／備份／修補等證據由邊個提供、若問卷涉及還原測試證據，由邊個負責做。保費、賠償、受保決定以保險經紀／保險公司為準，唔好憑託管 IT 支援服務假設已受保。要確認乜：問卷協助是否包括、包括邊啲、唔包邊啲。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- M365 日常管理：M365 只寫「正版 Office 365 商業授權」原文。日常管理（例如加人／離職停用、MFA、權限）是否包括在內，未公佈，以查詢為準，簽約前問清楚並寫入協議。要確認乜：日常管理是否包括、包括邊啲。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 系統遷移：系統遷移（例如轉換電郵／檔案系統）是否包括在內、收費模式係點、包咩／唔包咩，未公佈，以查詢為準。遷移範圍、DNS 切換安排、超大郵箱點計，簽約前問清楚並寫入協議。要確認乜：系統遷移是否包括、收費模式、範圍。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- Exclusions（簽約前要問清楚的排除項目）：月費唔包啲咩？（例如系統遷移、基建工程、訂製軟件開發，係咪另行報價？）要確認乜：排除項目清單、另行報價安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。本節採用「簽約前要問清楚的排除項目」的寫法，唔係任何供應商自己的 exclusions 清單。
- PDPO 相關安排：供應商服務是否包括 PDPO 相關安排、包括邊啲、唔包邊啲？私隱文件、網絡入口保安、備份、帳戶及權限、第三方工具合約審查，邊啲已包、邊啲另收費、邊啲唔提供？要確認乜：PDPO 相關安排範圍。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
八、PDPO 三大常見誤解＋版權
誤解一：DPP 違規即係刑事
根據指引，一般會涉及以下安排：DPP 違規一般非刑事。私隱專員先發執行通知，唔遵從先可能刑事。第 50A 條：首次罰款第 5 級 $50,000＋監禁 2 年；其後第 6 級 $100,000＋監禁 2 年＋每日罰款；每日罰款額以 Cap. 486 原文為準，本文未引用。如有疑問，應諮詢專業意見。
直接促銷／起底係直接刑事例外：
- 直接促銷：最高 HK$500,000＋3 年；為得益提供則 HK$1,000,000＋5 年。
- 起底：無造成指明傷害最高 HK$100,000＋2 年；造成則最高 HK$1,000,000＋5 年。起底＝未經同意披露＋意圖造成指明傷害或罔顧會否造成指明傷害。
上面數字以 Cap. 486 原文為準。常見錯誤：將 DPP 違規直接講成「違法會坐監」，無分執行通知程序同直接刑事例外。
誤解二：資料外洩有法定強制通報期限
資料外洩通報現時屬 PCPD 指引建議（「切實可行下盡快」），唔係法定強制期限。唔好將外地通報期限寫成香港法。
外洩應變五步（按 PCPD 指引摘要）：
- 收集資訊
- 遏止
- 評估傷害
- 考慮通報
- 記錄
公司應該預先寫好外洩應變步驟，唔好等出事先諗。通報對象、通報內容、通報時間，要按 PCPD 指引同實際情況決定。如有疑問，應諮詢專業意見。常見錯誤：等外洩發生先搵通報表格，或者將外地 72 小時之類的期限當成香港要求。
誤解三：第 33 條已經生效，禁止跨境轉移
PDPO 第 33 條（跨境轉移限制）從未生效，唔好寫成已生效禁令。跨境轉移現受 DPP 及一般保安責任規管。公司將個人資料傳去境外處理或儲存時，要按 DPP 及保安責任評估，唔好誤以為第 33 條已經生效、亦唔好誤以為完全無規管。
版權：電腦生成作品＋TDM
版權方面，根據 Cap. 528，電腦生成作品的作者＝作出必需安排的人。呢個係一般概念，具體個案的作者歸屬，要按實際安排同專業意見決定。
TDM 例外＋opt-out 修例已延後，先發指引、無時間表。修例進度以官方公布為準，本文唔作時間推測。如有疑問，應諮詢專業意見。
九、DTSPP
DTSPP 增強版條款未公布，以官方公布為準。（核查日期：2026-10-19；要確認乜：官方公布的增強版資格／金額／截止。點確認：以官方公布為準，唔好用舊一輪數字或二手報導；發佈前按 DECISIONS.md D15 再複驗官方來源。）
舊一輪（已結束）僅作歷史參考：1:1 配對、上限 HK$50,000。引用 1:1／HK$50,000 必須標明「舊一輪（已結束）」，唔好當成新一輪條款。增強版是否開放申請、資格、金額、截止，全部未公布，唔好猜測日期／金額。要確認乜：官方公布的增強版詳情。點確認：以官方公布為準，唔好用二手報導。
十、結論
一份可用的 AI 政策，核心係批准清單＋禁入資料清單＋人類覆核。先認清三重風險：影子 AI 要靠好用的批准替代工具＋開放溝通，唔係單靠禁止；幻覺要靠輸出當初稿＋強制人類對照原始來源覆核，多花少少時間；供應商條款變更要靠睇合約本身＋定期覆核批准清單。香港無專門 AI 法例，硬法律基礎係 PDPO，PCPD／DPO 文件屬建議性質，唔係法律。由零開始六步：負責人、盤點、一頁版政策＋清單、講解＋簽署、試行回饋、定期檢討。簽約前將第七節的問題逐條問清楚，並要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
附錄：未證實項目清單
以下每項均標示「未證實／需用戶確認」，唔好寫成事實。每項後面都跟「要確認乜」同「點確認」。
- 「少於三成機構有生成式 AI 政策」比例（有報導來源支持，本文寫「據報導」並附來源，唔好寫成親自核實的數字）：未證實／需用戶確認。要確認乜：PCPD 調查原文、調查方法、調查日期。點確認：以官方來源複驗；查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- 代理式 AI 指引正式細節（本文轉化時須對照官方原文確認；PCPD 官方 PDF 全文未能直接開啟逐字核對）：未證實／需用戶確認。要確認乜：PCPD 官方原文、九項建議全文、DPP 對應。點確認：對照官方原文複驗；查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- PDPO 修例最新進度（修例建議仍在討論、未通過）：未證實／需用戶確認。要確認乜：修例最新進度、官方公布。點確認：以官方公布為準，唔好用二手報導。
- 第 50A 條每日罰款額（引用前必須開 Cap. 486 原文核對；本文未引用每日罰款額）：未證實／需用戶確認。要確認乜：Cap. 486 原文每日罰款額。點確認：開 Cap. 486 原文核對。
- 行業監管指引（金管局／證監會／保監局 AI 相關期望，本文點到即止，未展開）：未證實／需用戶確認。要確認乜：各監管機構最新指引、適用範圍。點確認：以官方公布為準，唔好用二手報導。
- 供應商條款主張（供應商網誌，標示為一般商業實務觀察，唔好寫成已核實香港法律立場）：未證實／需用戶確認。要確認乜：合約原文條款、事先通知重大條款變更條款。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
- Ethical AI Framework 版本／日期（已更正為 2021 年首次制定；「White & Case 稱 DPO 於 2024-07 發佈」應理解為機構改組／重發，唔係框架首次發佈）：未證實／需用戶確認。要確認乜：DPO 官方頁版本日期。點確認：對照 DPO 官方頁複驗。
- AI 政策是否在 DTSPP 方案清單內：未證實／需用戶確認，以官方清單為準，唔猜。要確認乜：官方方案清單、申請資格。點確認：以官方公布為準，並要求相關方面以書面確認，唔好只信口頭承諾。
- 本站未公佈項目：計價單位、M365 版本／授權數量／持有人名義、日常管理是否包括、系統遷移是否包括、還原測試提供安排、上門安排——全部以查詢及書面確認為準。要確認乜：各項實際安排。點確認：查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。
來源
以下每項均附查閱日期 2026-10-19；未能取得可開啟驗證的官方直接連結者，以機構名稱加公開頁面標示（連結待發佈前再驗）。研究報告查核日期：2026-10-19；本站引用終驗日期：2026-10-20。發佈前須經真瀏覽器逐項複驗，並補上完整連結。
- 私隱專員公署，2021 年 8 月《開發及使用人工智能道德指引》（三價值＋七原則＋四步實踐指南）。來源：私隱專員公署公開頁面，查閱日期 2026-10-19（連結待發佈前再驗）。
- 私隱專員公署，2024 年 6 月《人工智能模型個人資料保障框架》（律所指 2024-06-11／私隱專員公署公告 2024-06-13；四範疇）。來源：私隱專員公署官方文章：https://www.pcpd.org.hk/english/news_events/newspaper/newspaper_20240725.html ，查閱日期 2026-10-19。
- 私隱專員公署，2025 年 3 月 31 日《員工使用生成式 AI 指引》清單（五方面＋人類驗證輸出＋AI 事故應變計劃）。來源：私隱專員公署公開頁面，查閱日期 2026-10-19（連結待發佈前再驗）。
- 私隱專員公署，2026 年 8 月 25 日代理式 AI 指引（九項建議＋DPP 對應、保安清單五階段）。來源：私隱專員公署公開頁面，查閱日期 2026-10-19（連結待發佈前再驗）；另見律師行分析（九項建議＋保安清單五階段）：https://www.reedsmith.com/articles/hong-kong-s-new-guidance-on-protecting-personal-data-privacy-in-agentic-ai-use/ ，查閱日期 2026-10-19。
- 數字政策辦公室 Ethical AI Framework（2021 年制定、2023 年 8 月更新、2025 年 12 月最新修訂；12 原則＋三道防線）。來源：數字政策辦公室官方政策頁面：https://www.digitalpolicy.gov.hk/en/our_work/data_governance/policies_standards/policy/ ，查閱日期 2026-10-19。
- HKGAI／數字政策辦公室，2025 年 4 月 15 日《生成式 AI 技術及應用指引》（三類持份者、五維度；自願性質；2025 年 12 月更新）。來源：數字政策辦公室官方政策頁面：https://www.digitalpolicy.gov.hk/en/our_work/data_governance/policies_standards/policy/ ，查閱日期 2026-10-19。
- 英國國家網絡安全中心（NCSC）指引《The hidden risks of shadow AI》（2026-09-07）：影子 AI 方向（提供批准替代工具＋開放溝通）；海外調查 71% 引述研究（海外數據，唔係香港數字；NCSC 文內連結至 Microsoft 研究）。來源：https://www.ncsc.gov.uk/blogs/the-hidden-risks-of-shadow-ai ，查閱日期 2026-10-19。
- Lewis Silkin／Mondaq／JDSupra 一致引述私隱專員公署調查發現：少於三成香港機構已有生成式 AI 政策（按報導轉述，唔係親自核實數字）。來源：Lewis Silkin（Mondaq）：https://www.mondaq.com/Article/1621510 ，查閱日期 2026-10-19。
- Cap. 486《個人資料（私隱）條例》原文：第 50A 條、直接促銷、起底罰則分級；第 33 條從未生效。每日罰款額以 Cap. 486 原文為準，本文未引用。來源：香港法例電子版：https://www.elegislation.gov.hk/hk/cap486 ，查閱日期 2026-10-19。
- Cap. 528《版權條例》原文：電腦生成作品作者＝作出必需安排的人；TDM 例外＋opt-out 修例已延後，先發指引、無時間表。來源：香港法例電子版公開頁面（《版權條例》第 528 章），查閱日期 2026-10-19（連結待發佈前再驗）。
- 私隱專員公署指引：資料外洩通報屬指引建議（「切實可行下盡快」）；外洩應變五步（收集資訊、遏止、評估傷害、考慮通報、記錄）。來源：私隱專員公署《資料外洩事故處理及通報指引》公開頁面，查閱日期 2026-10-19（連結待發佈前再驗）。
- 供應商網誌（一般商業實務觀察，唔係已核實香港法律立場）：供應商條款變更主張（信任頁面唔等於合約承諾、消費者版與企業版訓練用途安排差異、條款可更新）。來源：供應商網誌公開頁面，查閱日期 2026-10-19（個別網誌連結待發佈前再驗）。本文未具名個別供應商網誌，故無逐條連結。
- 立法會 ITB 文件 CB(2)1240/2026(03)，2026-10-12 §14：DTSPP 增強版僅一句「would be enhanced to support more SMEs in adopting AI and cybersecurity solutions」，無金額、無資格、無日期、無截止。來源：https://www.legco.gov.hk/yr2026/english/panels/itb/papers/itb20261012cb2-1240-3-e.pdf ，查閱日期 2026-10-19。
- 本站 /pricing：六級收費（基礎遙距版 HK$600／月、專業進階版 HK$1,200／月、企業設備版 HK$2,200／月、全方位無憂版 HK$2,950／月、設計專用版 HK$4,950／月、旗艦網頁版 HK$5,950／月）、基礎版 tier「包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）」、HK$1,200 級「數據備份建議及設定」、FAQ「100% Microsoft 正版商業授權，包 Word／Excel／PowerPoint／Outlook／OneDrive／Teams」（終驗日期：2026-10-20）。