快速閱讀：香港中小企把客戶資料放入 AI 工具前，應先判斷那些內容是否屬於個人資料、供應商合約有沒有寫明處理方式，以及帳戶能否關閉把對話用於訓練。這份清單給品牌負責人與網站營運同事做上傳前核對，不是法律意見。未完成這三項，就不應把客戶名單、對話紀錄或可識別身分的資料貼進公開帳號。
香港中小企把客戶資料放入 AI 工具前，應先判斷那些內容是否屬於個人資料、供應商合約有沒有寫明處理方式，以及帳戶能否關閉把對話用於訓練。這份清單給品牌負責人與網站營運同事做上傳前核對，不是法律意見。未完成這三項，就不應把客戶名單、對話紀錄或可識別身分的資料貼進公開帳號。
本文重點
- 上傳前先分開「可公開的服務說明」與「可確定個人身分的紀錄」，後者不可直接貼進未核對的工具。
- 核對供應商合約或帳戶條款：對方是否代你處理資料、資料存放在哪、對話會否用於訓練模型。
- 網站只整理公開事實與查詢流程；需要跟進的客人資料留在已授權的同事通道，而不是生成式對話框。
甚麼叫把客戶資料放入 AI 工具？怎樣判斷可否上傳？
把客戶資料放入 AI 工具，是指把名單、電郵、電話、對話截圖、發票抬頭或可還原身分的檔案，貼進生成式對話、外掛或自動摘要功能，請工具起草回覆或分類。這件事適用於已經在用生成式工具、又要處理香港客人查詢的中小企，而不是討論要不要購買某一套產品名稱。
判斷方法只有三步，而且必須按這個次序。第一步：這些內容是否與一名在世人士有關、可確定身分，並以可供查閱及處理的方式記錄下來；個人資料私隱專員公署說明，《個人資料（私隱）條例》下的個人資料須符合這些條件。[1] 第二步：你是否控制收集、持有、處理或使用這些資料；公署稱這類角色為資料使用者，若把處理工作交給另一方，對方可能屬資料處理者，資料使用者仍須以合約規範或其他方法，要求對方符合保留及保安等要求。[1] 第三步：該帳戶的訓練、保留與存取設定是否已核對，而不是假設「公司內部用過就等於可以上傳」。
條例適用於公私營機構，屬科技中立及原則性的法例；附表一的保障資料原則涵蓋收集、準確及保留、使用、保安、透明度，以及查閱及改正。[1] 本文只把這些公開說明轉成上傳前的營運問題，不代替律師或合規同事就個案出具意見。
上傳前常見情況：現象、判斷與下一步
未核對就貼上客戶資料，問題通常不是「工具夠不夠聰明」，而是身分、合約與訓練開關還沒有答案。下表用現象對應判斷與下一步。
| 現象 | 判斷 | 下一步 |
|---|---|---|
| 把載有姓名、電話、電郵的試算表整份貼進對話框，請工具寫跟進信 | 內容很可能屬於可確定身分的紀錄，不是抽象的行業描述 | 先刪除可識別身分的欄位，改用編號或虛構例子；真資料只留在已授權的跟進系統 |
| 同事用個人免費帳戶上傳客人對話截圖，請工具改寫回覆 | 帳戶持有人、條款與訓練設定可能與公司無關，資料去向不清楚 | 停止使用個人帳戶處理客人資料；改核對公司帳戶合約與關閉訓練的位置 |
| 供應商口頭說「不會拿你的資料去訓練」，但沒有書面條款 | 口頭保證不能代替合約或其他可核對的約束 | 向供應商索取現行條款、資料處理說明與關閉訓練的設定截圖或文件 |
| 想讓生成式搜尋「認識客人」，於是把報價單與聯絡人放上網頁 | 把非公開的交易與身分資料公開，超出「整理公開事實」的範圍 | 網站只放服務對象、工作範圍、查詢方式；個別客人資料不上公開頁 |
| 同一份對話既用來起草社交貼文，又含客人地址與預算 | 用途可能超出原先收集資料時的跟進目的 | 分開檔案：公開草稿用虛構或已公開資料；真實跟進只由負責同事處理 |
這張表是營運分流，不能單憑一格就斷定違法或合規。同一間公司可能同時有個人帳戶、未關閉訓練及網站誤放聯絡人的問題，先處理最接近上傳動作的一項。
放入 AI 工具前要核對的六個步驟
第一步 判斷這批內容是否個人資料
做甚麼：把準備貼上的文字、表格或截圖逐欄標示「可確定身分」或「不可確定身分」。怎樣做：姓名、電話、電郵、地址、身分證明號碼、對話中可還原是哪一位客人的內容，一律標為需保護；行業通稱、已公開的服務說明、不含身分的流程模板，才可考慮用作提示詞。如何核對：請一位未參與該單的同事只看提示詞，說出能否猜到是哪一位客人；猜得到就不可上傳。
第二步 核對收集目的與這次使用是否同一件事
做甚麼：對照客人當初留下資料時，你告知或展示的用途。怎樣做：查詢表單、WhatsApp 開場或服務頁若寫明「回覆報價與跟進服務」，就把生成式工具的用途限於協助該次跟進的內部草稿；不要順便用來做公開行銷名單或訓練內部模型。公署說明，除非取得資料當事人自願給予的明示同意，否則個人資料不得用於原先收集目的以外的新目的。[1] 如何核對：提示詞檔案名稱寫明「內部跟進草稿」，且沒有把輸出直接貼到公開渠道。
第三步 核對供應商合約與資料處理者安排
做甚麼：找出這套 AI 工具的帳戶主體、合約或線上條款，確認對方是否代你處理資料。怎樣做：記錄供應商名稱、帳戶是公司還是個人、有沒有資料處理條款、資料保留及保安怎樣寫。公署說明，資料處理者不受條例直接規管，但資料使用者有責任透過合約規範或其他方式，確保他們符合相關要求；聘用資料處理者時，亦須以合約或其他方法處理保留及保安。[1] 如何核對：文件或設定頁能指出「誰是帳戶擁有人」與「資料會否交第三者再處理」；找不到就不上傳個人資料。
第四步 核對能否關閉把對話用於訓練
做甚麼：在該產品的資料控制、私隱或系統管理頁，找出訓練、改善模型或同等開關。怎樣做：消費級 ChatGPT 帳戶可在資料控制關閉「Improve the model for everyone」；關閉後對話仍可出現在紀錄，但說明不會用於訓練 ChatGPT。[2] 企業方案另有額外控制，須以該方案的私隱說明為準。[2] Microsoft 說明，Microsoft Copilot 透過 Microsoft Graph 存取使用者有權限的內容時，提示、回應及經 Graph 存取的資料不用於訓練基礎大型語言模型。[3] 如何核對：截圖或管理員設定顯示開關狀態；個人免費帳戶若無法證明公司控制權，就不處理客人資料。
第五步 把可公開事實與客人資料分開存放
做甚麼：建立兩份來源，一份給網站與對外說明，一份給內部跟進。怎樣做：公開來源只寫服務對象、工作範圍、地區、查詢入口與流程；內部來源才放訂單、聯絡人與對話。需要生成式工具協助寫服務說明時，只用公開來源。如何核對：提示詞裡沒有電話、電郵、全名或可還原的單號。網站結構與查詢流程可交由 品牌網頁製作 整理，讓客人走公開頁而不是把身分資料丟進對話外掛。
第六步 指定誰可上傳、誰審稿、紀錄怎樣刪
做甚麼：寫一頁內部規則：哪些角色可以使用哪一個公司帳戶、甚麼內容禁止貼上、草稿誰簽字才可發給客人。怎樣做：禁止把完整客戶試算表、身份證明或未公開報價單上傳；草稿必須由負責該單的同事對照原始對話後才送出。公署說明，資料使用者須採取切實可行步驟保障個人資料不會未經授權或意外地被查閱、處理、刪除、喪失或使用，並在不再需要時採取切實可行步驟刪除。[1] 如何核對：抽查最近一次使用生成式工具的提示詞，確認沒有禁上傳欄位，且輸出沒有未經審稿就發出。
若要把服務範圍、地區與查詢方式寫成可被搜尋閱讀的公開頁，而不是把客人檔案餵給模型，可一併檢視 GEO／AI 搜尋優化 如何整理網站上的公開事實與流程說明。
假設情境：室內工程公司用生成工具起草跟進信
假設情境，並非 TrafficHolic 客戶案例。一間香港室內工程公司每週收到十多條 WhatsApp 查詢，同事想把對話連同客人姓名、單位地址與預算貼進生成式工具，請它一次寫完跟進信。
它應先把地址與姓名從提示詞拿掉，改用「客人 A、兩房單位、希望先了解工序」，再用公司帳戶核對訓練開關與條款。跟進信由負責該單的同事對照原始 WhatsApp 後才發出。網站則只公開工程類型、服務地區與 WhatsApp 查詢入口，不放個別客人單位。這個例子示範上傳前的分流，不假設改完流程會增加多少查詢。
客戶資料 AI 工具 常見問題
只用公司內部電腦，是否就不必核對合約？
不是。工具若經瀏覽器或雲端帳戶傳送內容，關鍵仍是帳戶主體、條款與訓練設定，而不是電腦放在辦公室。內部電腦不能代替供應商文件。
把姓名改成暱稱再上傳，是否一定安全？
不一定。對話若仍含獨一無二的工程地址、訂單細節或可還原的時間地點，仍然可能確定是哪一位客人。核對方法是請不知情的同事讀提示詞，看能否還原身分。
生成式搜尋會不會要求網站放上客戶名單才寫得準？
不會把客戶名單當成公開要求。網站應提供可索引、對人有幫助的服務說明與聯絡流程；不要為了「讓模型認識客人」而公開個人資料。
沒有法務同事的中小企，第一步應該做哪一件？
先停止把完整客戶檔上傳到個人帳戶，改用已核對訓練開關的公司帳戶，並且只用不含身分的公開事實起草對外說明。需要就條例適用於你的業務出具意見時，應另行諮詢合資格人士；本文不處理個案法律結論。
先完成上傳前三項核對，再決定網站怎樣寫公開流程
請準備：你現在使用的 AI 工具名稱與帳戶類型、一份已去除身分的提示詞範例，以及網站上現有的服務與查詢說明。TrafficHolic 的品牌網頁製作可整理公開服務頁與 WhatsApp 入口；GEO／AI 搜尋優化則協助把可公開的服務事實寫進可被索引的頁面，而不是把客人檔案餵進模型。用 WhatsApp 說明你現時的上傳方式，開始核對下一步。
參考資料
- 個人資料私隱專員公署：《個人資料（私隱）條例》一覽
- OpenAI：Data Controls FAQ
- Microsoft Learn：Data, Privacy, and Security for Microsoft Copilot
- 個人資料私隱專員公署網站
- TrafficHolic 品牌網頁製作
- TrafficHolic GEO／AI 搜尋優化
內容審閱：2026年10月｜作者／審閱：Timson Kwok（trafficholic 創辦人）。觀點來自真實合作流程、渠道數據觀察與企業 AIO／AI Search 落地經驗；數字會隨平台演算法更新，請以當期後台為準。非金融／法律意見。
