示例
AI 使用政策示例：員工真正能執行的 14 條規則
好的 AI 使用政策示例會說明真實任務、允許使用的工具和資料、必要審查，以及必須由人承擔責任的節點。“負責任地使用 AI”不是可執行指令。下面 14 個示例展示如何把寬泛原則轉化為適用於日常工作的規則。
研究與披露: 這些示例參考了 NIST AI 風險管理框架核心、NIST 生成式 AI 配套框架，以及 2026 年 9 月 4 日 Google 美國 SERP 中公開的職場政策模式。它們是原創示例，不屬於法律意見，也沒有複製任何僱主政策。
1. 使用公開資訊起草內容
**允許：**使用已批准的 AI 工具，根據公開來源為非機密內容製作提綱或進行編輯。
**必須：**作者核實聲明、開啟引用來源、檢查相關權利，並對最終措辭負責。
**禁止：**發布虛構引語、參考資料、客戶結果或統計資料。
2. 研究與綜合
**允許：**要求已批准工具整理所提供的來源並識別分歧。
**必須：**儲存來源清單，標記缺乏支援的結論。引用底層出版物，而不是 AI 回應。
**禁止：**把生成文字或搜尋摘要當成獨立證據。
3. 會議記錄
**允許：**只有在滿足政策、參會者告知、存取和保留要求時，才可以轉寫和總結會議。
**必須：**會議負責人在分發前確認決定、行動負責人、日期和爭議事項。
**禁止：**悄悄把推斷出的行動變成已經分配的承諾。AI 會議記錄指南提供了一種可審查格式。
4. 軟體與程式碼
**允許：**對已獲許可的程式碼倉庫和許可證使用已批准的編碼助手。
**必須：**按照人工編寫變更所採用的相同標準，對程式碼進行審查、測試、掃描和歸因。
**禁止：**把秘密資訊或受限原始碼傳送給未經批准的服務，或僅僅因為程式碼可以編譯就合併。
5. 客戶溝通
**允許：**根據已批准的客戶記錄和支援指南起草回覆。
**必須：**如果訊息會產生實質影響，責任人應在傳送前檢查身份、帳戶事實、承諾、語氣和升級規則。
**禁止：**虛構帳戶操作、退款、政策例外或法律承諾。
6. 機密資料與個人資料
**允許：**只有明確批准某項工具處理指定資料類別和用途時，才能在其中處理該類資料。
**必須：**最小化欄位，遵守保留規則，並確認供應商的訓練用途和存取設定。
**禁止：**假設付費套餐會自動允許處理所有機密或個人資料。
7. 就業決定
**允許：**完成偏差和無障礙性審查後，使用已批准工具提供低風險行政支援，例如整理職位描述格式。
**必須：**任何會對候選人或員工進行評分、推薦、排名或產生重大影響的系統，都必須由法務和 HR 負責人批准。最終決定仍由人承擔責任。
**禁止：**使用通用聊天機器人篩選簡歷或推斷受保護特徵。
8. 事故與意外輸出
**必須：**停止受影響工作流程，保留相關記錄，透過安全或 AI 事故渠道報告，並識別下游接收者。
**禁止：**刪除追蹤記錄，或者為了避免報告而靜默修改輸出。
9. 行銷與公開聲明
**允許：**根據已批准的產品事實、品牌指南和獲得許可的素材起草行銷活動變體。
**必須：**活動負責人在發布前核實產品能力、價格、客戶證據、比較、披露和素材權利。可能變化的聲明需要帶日期的來源。
**禁止：**虛構客戶評價、在沒有研究的情況下暗示實測效能，或把合成人物呈現為真實客戶。
10. 資料分析與報告
**允許：**使用已批准工具清洗、總結、視覺化或解釋允許處理的資料集。
**必須：**儲存源資料、轉換步驟、單位、篩選條件和假設。核對重要合計，並由報告負責人批准結論。
**禁止：**把受限記錄上傳到未經批准的工具，在不披露的情況下刪除不方便的資料行，或把生成圖表當成底層計算正確的證據。
11. 圖片、音訊與影片
**允許：**在滿足訓練資料、肖像、商標和平台要求時，為已批准的創意工作制作合成媒體。
**必須：**當政策、法律、合約或語境要求時，標註合成或經過實質修改的媒體。保留涉及可識別人物、客戶素材和許可輸入的批准記錄。
**禁止：**冒充同事或公眾人物、偽造紀實證據、移除水印或製作欺騙性媒體。
12. 翻譯與本地化
**允許：**使用合適工具為已批准的來源材料起草譯文。
**必須：**由具備資質的審查者檢查含義、地區用語、姓名、數字、法律文字、文化語境和固定 URL。已批准的源文始終具有最高權威。
**禁止：**發布未經審查的高影響翻譯說明，或為了語言自然度而靜默改變產品承諾。
13. 採購與供應商評估
**允許：**總結公開供應商文件，並整理對已批准問卷的回覆。
**必須：**採購和安全負責人在原始記錄中核實合約、資料流、分包處理者、保留、訓練用途、服務承諾和退出條款。
**禁止：**讓 AI 接受條款、選擇供應商，或把缺失答案表述為承諾。
14. 自動化操作
**允許：**在工作流程成文權限範圍內，準備可撤銷的操作或建議。
**必須：**在傳送、採購、發布、刪除或更改記錄系統等後果性操作前，採用最小權限、限定憑據、限制、日誌、冪等性和審批。
**禁止：**僅僅因為某項任務偶爾需要執行操作，就為通用助手授予長期廣泛存取權限。
執行卡模板
任務：
業務負責人：
已批准工具和版本：
允許的資料類別：
禁止的輸入：
所需來源：
人工審查檢查項：
AI 可以執行的操作：
需要批准的操作：
保留的記錄和期限：
事故渠道：
下次審查日期：三個完整執行卡示例
低風險：內部研討會提綱
任務：根據公開文章和已批准的團隊簡報起草研討會提綱。
業務負責人：學習負責人。
已批准工具：組織管理的寫作工作區。
允許的資料：公開資料和被分類為一般員工可存取的內部資料。
必要審查：負責人檢查來源、議程、聲明和無障礙性。
AI 可以：總結、整理、起草和建議練習。
AI 不可以：邀請參與者、發布材料或虛構參與者回饋。
記錄：已批准提綱和來源清單保留一年。
升級渠道：學習營運渠道。中風險：客戶續約簡報
任務：根據已批准的帳戶記錄準備內部續約簡報。
業務負責人：客戶總監。
已批准工具：獲准處理客戶機密資料的簽約工作區。
允許的資料：指定 CRM 匯出和已批准支援摘要。
必要審查：客戶總監核實事實、承諾和待解決問題。
AI 可以：整理證據、識別缺失欄位並起草簡報。
AI 不可以：更改 CRM 記錄、聯絡客戶、報價或承諾條款。
記錄：最終簡報、引用的帳戶記錄、審查者和日期。
升級渠道：銷售營運和隱私聯絡人。高風險：候選人篩選請求
任務：根據簡歷對申請者排名。
處理結論：不在一般可接受使用路徑下批准。
原因：該任務對就業產生實質影響，可能帶來歧視、
無障礙性、隱私、透明度和記錄義務。
下一步：將成文使用場景提交 HR、法務、隱私和安全團隊
正式評估；與此同時繼續使用現有人工審查招聘流程。這些示例說明為什麼只看相同動詞並不足夠。“總結檔案”對於公開研討會文章可能是低風險任務，對於醫療便利安排記錄卻可能是高風險任務。執行語境決定需要哪些控制。
如何為組織編寫示例
從人們已經在執行的十項 AI 任務開始，而不是假想未來架構。訪談使用者、檢查真實資料流，併為每項任務編寫一張執行卡。加入一個險情示例：展示看似相同卻越過邊界的操作，比增加一條抽象禁令更有教育意義。
然後用三個問題測試每個示例：
- 新員工能否判斷該用途是否允許？
- 經理能否識別必要審查者和記錄？
- 安全團隊能否確定涉及哪些資料和系統？
經理決策樹
員工提出新用途時，經理可以詢問：
- 針對該確切資料類別，這項工具是否在批准登記表中？
- 任務是否影響就業、法律權利、安全、財務、客戶或公開聲明？
- AI 是否會傳送、發布、採購、刪除、授予存取或更改記錄？
- 審查者能否在影響發生前檢查來源並修正輸出？
- 是否有負責人、保留記錄、事故路徑和停止工作流程的方法？
如果第一項答案是否定的，應停止並申請工具審查。如果第二或第三項任一答案為肯定，就將用途轉入高風險審批路徑。如果缺乏證據或負責人，輸出應保持草稿狀態，直到缺口解決。
避免政策形式主義的上線方式
使用簡短場景練習發布這些示例。要求團隊為任務分類、識別允許資料、選擇審查者，並說明最終保留什麼記錄。加入一個模糊案例，讓人們練習升級處理而不是猜測。
跟蹤問題、險情、未批准工具請求和事故。相同問題重複出現時，修訂示例或批准工具登記表。不要透過增加寬泛禁令來回應每個邊緣案例，而應澄清決策規則和負責人。
當工具更改條款、增加整合或操作能力、改變資料處理方式或引入新模型時，審查任務卡。即使產品名稱不變，把起草變為自動傳送的功能也會改變風險。
示例編寫檢查清單
[ ] 任務足夠具體，兩位經理會作出相同分類。
[ ] 已批准工具和資料類別均已註明。
[ ] 允許的輔助工作與最終權限相互分離。
[ ] 必要證據和審查可以觀察。
[ ] 禁止行為包含一個貼近現實的險情。
[ ] 記錄、保留和事故路由已經說明。
[ ] 地區或角色差異保持可見。
[ ] 示例具有負責人和下次審查日期。保持跨部門示例一致
使用一套中央規則，再為財務、HR、銷售、行銷、工程、支援和法務新增部門執行卡。本地示例可能因為處理不同資料或決定而更加嚴格，但不應與組織級政策衝突。
當兩個部門共享工作流程時，指定交接方式。例如，行銷團隊可以起草公開客戶案例，銷售團隊確認帳戶事實，法務審查權利和聲明，客戶負責人取得批准。執行卡應說明誰能阻止發布，以及所有人審查哪個來源版本。
依據執行卡抽查已完成工作。確認使用了已批准工具、沒有受限輸入、證據和審查者有記錄，並且操作保持在範圍內。用發現的問題改進示例，不要把每次修正都視為不當行為。
對示例進行版本控制
為每張執行卡指定負責人、版本、生效日期和變更歷史。把它連線到工具登記項和底層政策條款。產品獲得新整合或自主操作能力時，應在啟用功能前審查受影響的執行卡。
歸檔舊版本，使事故審查者能夠確定過去任務適用哪條說明。清楚標記歸檔卡，避免員工繼續使用。沒有生效日期的知識庫頁面可能悄悄把過時建議變成目前政策。
一致地回應錯誤
區分善意失誤、指引不清、疏忽行為和蓄意誤用。回應措施可以包括停止工作流程、修正外部記錄、通知受影響人員、重新培訓、更改存取權限、修訂示例，或採用現有行為處理程式。不要在 AI 政策中臨時創造新的懲罰框架。
發生錯誤後詢問五個問題：
- 適用規則和批准的替代方案是否清晰且容易找到？
- 工具或介面是否讓不安全路徑比批准路徑更容易？
- 哪些資料、人員、系統和下游決定受到影響？
- 哪項預防或檢測控制本應發揮作用？
- 需要進行什麼糾正、通知、評估或監控變更？
按比例保留證據。可能需要相關提示詞、輸出、版本、工具操作、批准、接收者和修正記錄，但事故並不能成為收集無關員工內容的理由。
使用事故發現改進執行卡。如果多人因為已批准除錯工具過慢而貼上受限日誌，那麼組織既有行為問題，也有工作流程設計問題。
與受影響人員共同審查示例
政策、安全和法務團隊瞭解控制要求，員工則知道工作會在哪些位置變得模糊。與實際執行任務的人，以及適當情況下受輸出影響的人一起審查示例草稿。
要求他們在沒有提示的情況下為邊緣案例分類。如果有經驗的經理得出不同答案，應在培訓前修訂執行卡。測試批准路徑在真實截止期限下是否可行，以及升級處理能否及時得到回應。
對於 HR、客戶或無障礙性敏感的工作流程，讓瞭解接收者體驗的人參與。技術上合規的規則如果刪除人工渠道或強迫他人披露個人資訊，仍可能造成傷害。
組織級條款可以使用配套的 AI 政策模板，並參考 企業如何使用 AI 指南將政策映射到分階段工作中。
常見問題
AI 可接受使用示例應該包含什麼？
註明任務、已批准工具、允許資料、必要審查、禁止行為、責任人、保留記錄和升級路徑。
示例可以替代正式 AI 政策嗎？
不能。政策定義組織級權限和原則，示例則把這些規則轉換成適用於具體工作的決定。
每項 AI 輸出都應該接受人工審查嗎？
審查深度應與影響匹配。低風險頭腦風暴可能只需作者常規審查；就業、法律、財務、安全、公開發布和客戶影響工作需要由責任人明確審查。
示例可以比核心政策更頻繁地變化嗎？
可以。把任務示例和批准工具登記表儲存在可控文件中，以便隨著工具和工作流程變化進行更新，同時保留負責人和變更歷史。
公司應該發布多少個 AI 使用示例？
先覆蓋員工最常執行的十到十五項任務，以及影響最大的禁止或需批准案例。當重複問題揭示真正缺口時，再增加示例。
政策示例應該指定具體供應商嗎？
在單獨登記表或執行卡中註明已批准工具，這樣產品變化時不必重寫核心政策。產品名稱必須始終與允許用途和資料範圍配對。
員工不確定時應該怎麼辦？
提供一個容易聯絡的渠道和回應負責人。政策應該鼓勵員工在提交受限資料或執行後果性操作前暫停並詢問。
承包商和供應商應該如何使用這些示例？
在入職和合約中加入適用執行卡，限制其只能存取已批准系統，並說明報告義務。沒有明確存取和說明時，不要假設外部人員使用相同的工具登記表或資料環境。
可以使用個人 AI 帳戶處理工作嗎？
只有當政策明確允許該帳戶、用途和資料時才可以。託管帳戶通常具有更強的身份、設定、支援和離職控制；付費個人帳戶不會自動獲得批准。
已批准的 AI 工具不可用時怎麼辦？
使用成文人工備用流程或另一項明確批准的工具。服務中斷不代表可以把公司資料轉移到個人帳戶或未經審查的服務。
經理應該檢查員工的 AI 提示詞嗎？
存取應基於明確的業務、安全、審計或事故目的，並提供適當告知和權限。常規、不受限制的監控會帶來隱私和信任問題，也可能捕獲敏感內容。
將已批准的執行卡及其來源材料放入 Ottermind，在任務中把權限、證據、交付物和審查標準儲存在一起。
