一份 AI 使用政策要想管用,得短到能记住,也得宽松到没人需要绕路。实际做法就是:控制在两页;至少给每个人配一个公司批准的 AI 账号;大部分篇幅用来说清楚哪些数据可以放到哪里。禁止用个人账号处理公司数据,但不要禁止 AI 本身。
绕路问题是可以量化的。Netskope 的《2026 年云与威胁报告》基于其客户的使用数据,发现 47% 的生成式 AI 用户在工作中仍然使用个人 AI 应用,平均每个组织每月会出现 223 起员工向 AI 应用发送敏感数据的事件(Netskope)。在 KPMG 与墨尔本大学 2025 年的一项调查中,一半的美国员工表示自己在工作中使用 AI 工具,却不知道公司是否允许(KPMG)。
今年是解决这个问题的时机,原因有两个。在欧盟,各国监管机构从 2026 年开始执行《AI 法案》中的 AI 素养义务,欧盟委员会表示,这一义务也适用于员工只是用 ChatGPT 之类的工具写作或翻译的公司。另一方面,AI 工具早已不只是回答问题,它们会连接邮箱和共享盘,并根据读到的内容采取行动,而为聊天机器人写的政策管不到这些。下面是模板,以及每条规则背后的理由,另附两个可以用来调整模板的互动工具。
禁令和 20 页的政策,失败的原因是一样的
两者都假设人们会先读规则,再打开浏览器标签页。事实上没人这么做。禁令把批准的路堵死了,却让未批准的路畅通无阻。律所起草的 20 页政策,技术上什么都允许,可在有人要把合同粘贴进聊天机器人的那一分钟里,没人能搞清楚到底适用哪一条。
KPMG 对 1,019 名美国员工的调查,展示了这种落差在日常中是什么样子。
这些都是想把活干完的普通人。近一半的人表示自己把公司敏感信息或知识产权上传到了公共 AI 平台,53% 的人表示会避免披露自己用过 AI。规则含糊或带有敌意时,隐瞒是可以预见的反应,对管理者来说这也是最糟的结果,因为没人承认的问题,你没法去解决。
管用的政策短小、具体、分级。一份能被遵守的政策,两页就够。它点明账号类型和数据级别,而不是要求大家"负责任地使用 AI"。而且它在"可以"和"禁止"之间留了一个中间层,员工不必在完全放开和彻底禁止之间二选一。
这套结构不用你自己发明。NIST 的《生成式 AI 概要》(Generative AI Profile)是其 AI 风险管理框架的配套文件,列出了生成式 AI 带来或加剧的 12 类风险,并在"治理"(Govern)职能下建议组织"为 GAI 制定透明的可接受使用政策"(行动 GV-1.4-002)(NIST AI 600-1)。其中四类风险,小公司每周都会碰到:虚构(confabulation,NIST 对幻觉的叫法)、数据隐私、信息安全和知识产权。下面的模板就是围绕这四类风险搭建的。
把每个工具归入三个层级
工具清单是大家最常查阅的部分,所以放在最前面。分三个层级,并且写明账号,而不是品牌。"ChatGPT"不算一个层级,"我们的 ChatGPT Business 工作区,通过公司 SSO 登录"才算。
| 层级 | 适用范围 | 典型条目 |
|---|---|---|
| 已批准 | 使用公司托管账号的通用 AI,向所有人开放 | 公司的 ChatGPT 工作区、工作账号上的 Copilot Chat、Workspace 中的 Gemini、Claude Team 组织 |
| 受限 | 仅限某一specific用途或某个团队使用的工具 | 内部会议的会议记录工具、工程团队的编程助手、市场部文案的写作助手、带连接器的 agent |
| 禁止 | 用个人账号处理公司数据的工具,以及索要完整文档却回报很少的工具 | 用个人 AI 账号处理公司数据,以及 AI 文本检测器 |
禁止层要简短,并且讲明理由。Netskope 发现,90% 的组织会主动屏蔽至少一款生成式 AI 应用,平均屏蔽 10 款。被屏蔽最多的是 AI 检测器 ZeroGPT,45% 的组织对其设限。安全团队认为它风险高,因为检测器往往要求用户提交完整文本或源代码。这也是检验任何工具的好办法:它要你交出什么,又能给你什么?
判断力主要体现在受限层。像 Otter.ai 或 Fireflies.ai 这样的会议记录工具,用在内部站会没问题,但用在一位没同意被录音的客户的通话里就有问题。像 GitHub Copilot 或 Claude Code 这样的编程助手,应该在公司套餐下用于公司代码库,而不是用外包人员的个人订阅。像 Grammarly 这样的写作助手,可以批准用于市场文案,但不一定批准用于 HR 信函。把条件就写在工具旁边,一句话说清。
如果你还没选定批准使用的助手,我们的 ChatGPT 替代品指南和实时更新的 AI 聊天机器人榜单对比了主要选项。
公司套餐改变了什么,又没改变什么
已批准层建立在一个前提上:公司套餐对待你数据的方式与个人套餐不同。对于 Microsoft Copilot Chat、Google Gemini、Claude 和 ChatGPT,这一点成立,只是细节有差异。下面是各家供应商官方文档的说法。
| 工具 | 公司套餐 | 个人账号 |
|---|---|---|
| ChatGPT | Business、Enterprise 和 Edu 的数据默认不用于训练。Business 管理员可控制数据保留。支持 SSO。 | Free、Go、Plus 和 Pro 的内容会用于训练模型,除非用户关闭"为所有人改进模型" |
| Microsoft Copilot Chat | 工作账号享有企业数据保护,无需额外付费。提示词不会用于训练基础模型,并会记录以备审计。 | 企业数据保护适用于工作会话,以绿色盾牌图标标示。在个人账号上使用前,请先查看 Microsoft 的条款。 |
| Gemini | Workspace 内容未经许可,不会在你的域之外被人工审核或用于训练。沿用现有访问控制。 | Google 表示一部分对话会由人工审核员阅读,并要求用户不要输入机密信息 |
| Claude | Team:默认不用你的内容训练模型,支持 SSO,管理员可控制连接器。Enterprise 增加审计日志和自定义保留期。 | Free、Pro 和 Max 用户自行选择对话是否用于训练模型,选择加入的数据保留五年 |
表格来源:OpenAI 的企业隐私页面和数据控制常见问题,Microsoft 的 Copilot Chat 隐私文档,Google 的 Workspace 隐私中心和 Gemini Apps 隐私中心,以及 Anthropic 的定价页面和消费者条款更新。
有三个细节容易漏掉。Microsoft 把 Microsoft 365 Copilot 改名为 Microsoft Copilot,把 Microsoft 365 Copilot Chat 改名为 Microsoft Copilot Chat,所以旧政策里可能还写着已经不再使用的产品名。Copilot Chat 的网页搜索走 Bing,适用另外的条款,用户和租户标识符会被剥离。另外,OpenAI 表示,默认情况下,它不会用其商业产品从已连接应用中访问到的数据来训练模型。
再说局限。这些控制措施都拦不住有人在手机上把客户名单粘贴进个人账号。它们不会检查输出里的错误,也解决不了工具产出内容的归属问题。企业条款保护的是落在正确位置上的数据,而让数据落到正确位置,是政策的任务。
Netskope 用一整年的数据,追踪了公司提供这样一个位置之后会发生什么。
使用个人账号的生成式 AI 用户占比从 78% 降到 47%,而公司托管账号的占比从 25% 升到 62%。在两者之间切换的比例从 4% 升到 9%,Netskope 认为这说明公司工具在便利性或功能上仍有人想要而没有的东西。对小公司的启示很直接:在写下任何一条禁令之前,先买下或开通一个托管工具,并把它维护得足够好用,别让人们又漂回去。如果你已经在为 Microsoft 365 或 Google Workspace 付费,买新东西之前先看看你的套餐里包含什么。
按级别划分的数据规则
如果大家只会记住一个部分,就让它是这一部分。工具清单告诉大家在哪里工作,数据规则告诉大家哪些内容不能放进去,而且在已批准的工具里同样适用。
先看什么在泄露。在 Netskope 的数据中,生成式 AI 应用违反政策时涉及最多的三类内容是源代码、受监管数据和知识产权。
源代码以 42% 居首,通常是为了调试或重构而粘贴进去的。个人信息、财务信息等受监管数据以 32% 紧随其后,然后是合同、内部研究等知识产权,占 16%。Netskope 还发现,有一半的组织对生成式 AI 应用没有可强制执行的数据保护政策,所以在这些公司里,很多情况可能根本没人看到。
用四个级别加一条硬规则。多数公司在邮件或文件共享上已经有类似的标签,有的话直接沿用。
- 公开信息,比如你的网站和已发布的文档,可以放进任何 AI 工具。
- 内部资料,比如流程文档和会议记录,只能放在已批准的工具里;在受限工具里,只能用于其指定用途。
- 机密工作内容包括源代码、合同、财务数据和客户文件。只能放进公司批准的工具,而且只能给本来就有权查看的人使用。
- 受限数据绝不能放进通用 AI 工具。这包括客户或员工的个人数据,含健康和支付信息。
- 密码和 API 密钥不能放进任何 AI 工具,不管有没有获批。Netskope 指出,它们常常藏在代码示例和配置文件里,所以要告诉工程师粘贴前先清理干净。
受限级别有一个值得写明的例外:专门为这类数据采购、按名称批准、并签有数据处理协议的系统。带 AI 功能的 HR 平台处理员工档案可以没问题。通用聊天助手则不行,无论它的企业条款多好。
把这些级别和三个层级对应起来,就是下面这样。
半圆表示"有条件",你的示例就写在这里。每个级别写一条:把堆栈跟踪放进公司的编程助手没问题,客户的数据库导出文件则不行。人们忘了定义之后,仍然记得示例。如果想按这些级别审查一款新工具,我们的 AI 工具隐私框架讲得更深入,AI 隐私工具榜单则收录了专门用于脱敏或隔离敏感数据的产品。
审核、披露与输出内容的归属
每一份 AI 输出都需要一位明确的责任人,政策里一句话就能写清:谁发送或发布 AI 辅助的成果,谁负责。NIST 把虚构(confabulation)定义为"自信陈述但错误或虚假的内容",并把过度依赖和自动化偏见列为人与这些系统协作时的风险。KPMG 发现,58% 的美国员工依赖 AI 完成工作,却没有认真评估结果,所以这个风险已经躺在你的收件箱里了。
审核规则要与风险相称。内部摘要读一遍就够了。数字、引文、出处、法律陈述,以及要上线的代码,则需要对照来源或测试来核实。就照这样写明。对所有内容一律要求"人工审核",只会变成大家悄悄不再遵守的规则。
对客户和读者的披露
有些披露现在已具有法律效力。根据 2026 年起适用的欧盟《AI 法案》第 50 条,部署者必须标注深度伪造,以及为就公共利益事项向公众提供信息而发布的 AI 生成或经 AI 篡改的文本,除非该文本已经过人工审核或编辑控制(European Commission)。对大多数小公司来说,实际规则更简单:在对方有理由想知道的场合,告知他们正在与 AI 系统或 AI 制作的媒体打交道,并且绝不让 AI 撰写评价或用户证言。
内部披露同样重要。如果超过一半的员工已经避免披露自己使用 AI,那么惩罚披露的政策只会让这个比例更高。只在 AI 的帮助会改变读者检查这份工作的方式时,才要求大家提一句用了 AI,到此为止。
知识产权与保密
归属是第一个陷阱。美国版权局认定,AI 输出"只有在人类作者确定了足够的表达性要素时"才可能受版权保护,仅靠提示词不构成(US Copyright Office)。如果你需要拥有某样东西,比如 logo 或核心品牌文案,就要有一位人类作者,并保存好各版草稿。
第二个是他人的保密要求。客户合同和保密协议有时会限制其资料可以流向哪里,而供应商承诺不用你的数据训练模型,并不能改变你对客户的约定。政策应当要求员工在把客户文件放进任何 AI 工具之前,先查看合同。
Agent、连接器和会议机器人需要单独的规则
聊天机器人只能看到你粘贴给它的内容。连接了你的邮箱或 CRM 的 agent 能读到多得多的东西,还能采取行动:发送、删除、预订、购买。多数为聊天机器人写的政策没有涉及这一块,而这恰恰是最新的风险所在。
Netskope 把 Model Context Protocol(MCP)描述为正在迅速成为将 AI agent 连接到公司系统的首选方式,并指出 AI 浏览器和接入 MCP 的工具需要各自的治理和监控。核心问题是间接提示词注入:指令藏在网页或邮件里,agent 读到之后便照着执行。在下面的示意图中,攻击是从左下角进来的。
去年 Anthropic 试点其浏览器 agent Claude for Chrome 时,公布了异常具体的数字。在 123 个测试用例中,蓄意的提示词注入攻击在没有安全缓解措施时成功率为 23.6%,有缓解措施时为 11.2%。在修复之前的一个例子里,一封声称出于"安全原因"需要删除邮件的邮件,让 agent 未经确认就删除了用户的邮件(Anthropic)。供应商公布自己的失败率之所以有价值,恰恰因为这个数字不是零。
所以 agent 的规则关乎权限,而不是提示词怎么写。
- 任何人启用每个连接器之前,都要经管理员批准,并且只给完成工作所需的最小访问权限(只读日历权限好过完整的邮箱权限)。
- agent 在发送、删除、付款、发布或向公司外部分享任何内容之前,必须由人确认。
- 能接触机密数据的 agent,不得在无人看管的情况下浏览开放网络。
- 指定专人维护一份清单,记录哪些 agent 持有哪些连接,并与工具清单一起定期复查。
在需要之前,先查看你批准的工具给管理员提供了什么。比如 Claude 的 Team 套餐就包含针对远程和本地连接器的管理员控制。像 Microsoft Copilot Studio 这样的 agent 构建工具,就是用来创建新 agent 的,批准规则对它们同样适用。我们的团队在生产环境中运行 AI agent 的经验总结讲了运维方面的内容。
会议记录工具
AI 会议记录工具也是 agent。它们加入通话,录下所有在场的人,并把音频发送给供应商,其中包括那些从没选择过这个工具的人的声音。解决办法成本很低:会议一开始就告知有机器人,允许任何人要求关闭,取得外部参会者的同意,并为录音设定保留期限。AI 会议助手榜单可以帮你对比哪些产品为管理员提供了这些控制。
可直接复制的两页模板
这是骨架。每一行对应成品政策中的一个短小章节,并附有示例条款供你修改。不适用的行直接删掉,最终控制在两页以内。
| 章节 | 示例条款 |
|---|---|
| 1. 目的与适用范围 | 本政策适用于所有代表公司使用 AI 的人,包括外包人员。目标是安全地使用 AI,而不是少用 AI。 |
| 2. 已批准的工具 | 已批准:[工具、账号类型]。受限:[工具、指定用途]。禁止:用个人 AI 账号处理公司数据。 |
| 3. 数据规则 | 公开:任何工具。内部:已批准的工具。机密:已批准的工具,按需知情。受限数据和凭据:绝不可以。 |
| 4. 账号 | 公司数据只能放进公司账号。员工离职当天,其 AI 账号即被移除。 |
| 5. 人工审核 | 谁发送、发布或交付 AI 辅助的成果,谁就对它负责。数字和引文要对照来源核实。 |
| 6. 披露 | 在客户有理由想知道的场合,告知他们正在与 AI 系统打交道。不得使用 AI 撰写评价或用户证言。 |
| 7. 知识产权与保密 | 使用客户资料前先查看客户合同。我们需要拥有的成果,保留人工撰写的草稿。 |
| 8. Agent 与连接器 | 每个连接器须经管理员批准,权限最小化,发送、删除、付款或发布任何内容前须经人工确认。 |
| 9. 培训 | 每个人在入职时和之后每年各完成一次简短培训。我们会保存记录。 |
| 10. 报告失误 | 24 小时内向 [负责人] 报告。报告不追责。隐瞒失误才算违规。 |
| 11. 负责人与复审 | 负责人:[姓名]。工具清单每季度复查一次,整份政策每年复查两次,或在供应商变更条款时复查。 |
想要定制,就回答下面生成器里的问题。它会根据欧盟业务、受监管数据、会议记录工具、agent、对外发布内容和编程助手等情况添加相应条款,并把大纲复制为纯文本,方便你粘贴到文档编辑器。
有一个答案对大纲的影响比其他都大:默认工具。选择"尚未选定",已批准层就会变成一个截止日期,因为没有已批准账号的政策,其实就是换了个说法的禁令。
一个月内落地,然后持续更新
对几百人及以下的公司,四周足够了。第一周,负责人起草这两页,并确认已批准的工具已配置好公司登录。第二周,由一个团队试点,并记录政策没有回答的每一个问题。第三周补上这些空白并开展培训。第四周,把政策放到大家看得到的地方,比如入职清单里。
下面这个循环就是整个流程,中间只有一个人。这个人比任何单条条款都重要。
培训对许多公司来说有法律依据。欧盟《AI 法案》第 4 条自 2025 年初起,要求 AI 系统的提供者和部署者采取措施,提升其员工的 AI 素养,各国市场监督机构今年已开始监督和执行。《数字综合法案》(Digital Omnibus)在 2026 年修订了第 4 条:AI 素养仍是一项义务,但不再强制要求某个具体的或"足够"的水平。欧盟委员会表示不需要证书,并建议保留内部记录。它也回答了多数小公司都会问的问题:如果员工用 ChatGPT 写广告文案或翻译文本,这一义务就适用,并且应当让员工了解幻觉等具体风险(European Commission)。
培训要短,并且和岗位挂钩:哪些工具已批准,哪些数据绝不能放进去,怎样检查输出,出了失误怎么报告。大家记得住的三十分钟,胜过记不住的一整天。
报告失误需要在政策里单独写一条,因为默认状态就是沉默。要求在有人把受限数据粘贴到错误的地方、AI 的错误传到了客户那里、或 agent 做了没人要求的事情时,一天内报告。要做到不追责。这些报告正是你了解哪些规则行不通的渠道。
然后按计划复查。供应商改名称、改条款的速度,比多数政策被重读的速度快。Anthropic 去年修改了其消费者条款:Free、Pro 和 Max 用户可以自行选择对话是否用于训练其模型,选择加入者的数据保留五年,而商业套餐不在这次变更范围内。每季度看一次工具清单,就能抓住这类变化。在第一次复查之前,先用下面的清单给你现有的政策打个分。
已批准账号占三分,其余各占一到两分,所以得分不到六分的政策,应该回到第一项重新做起。其他所有规则,都以人们有一个获批的地方可以工作为前提。
常见问题
小公司需要书面的 AI 使用政策吗?
需要。只要有人把公司数据用于 AI,就需要,而在大多数公司里这早已发生。先写一页也可以。没有政策,员工只能自己猜哪些是允许的。
我们应该在工作中禁用 ChatGPT 吗?
禁止用个人 ChatGPT 账号处理公司数据,并给大家一个公司工作区。个人用户可以关闭训练,但公司仍然无法控制数据保留,也没法在员工离职时切断访问。一刀切的禁令,多半只是把使用转移到了你看不到的手机上。
Microsoft Copilot Chat 对公司数据安全吗?
用工作账号登录时,它享有 Microsoft 的企业数据保护,提示词不会用于训练基础模型。提示词和回复也会被记录,用于审计和电子取证(eDiscovery),这一点值得告诉员工。受限数据仍然要按你自己的规则排除在外。
欧盟《AI 法案》要求对员工进行 AI 培训吗?
第 4 条要求提供者和部署者采取措施,提升其员工的 AI 素养,日常业务中使用聊天助手也在范围内。对形式和证书没有统一规定。一场与员工使用 AI 的方式相匹配的简短培训,加上一份出席记录,是合理的最低标准。
谁应该负责 AI 政策?
指定一个人,通常是已经负责 IT 或运营的那位,再由一位业务侧的经理来复查工具清单。受限数据和客户合同方面可以征求法务意见,但负责人应该能在没有律师在场的情况下,把每条规则讲清楚。