近八成香港機構採取「人在環中」的方式監督人工智能系統

READ IN ENGLISH

個人資料私隱專員公署指，超過八成使用人工智能系統處理個人資料的機構有為僱員提供人工智能相關培訓。

個人資料私隱專員公署（私隱專員公署）公布最新循規審查結果，發現超過九成香港機構在日常營運中使用人工智能，而透過人工智能系統處理個人資料的機構當中，近八成採取「人在環中」的人為監督方式。

私隱專員公署於2026年1月展開新一輪循規審查，涵蓋60間機構，包括銀行及金融、美容、教育、政府部門、保險、醫療、公用事業、零售、社會服務、電訊、運輸、會計、餐飲、創新及科技、物流及物業管理等行業。

審查結果發現，57間機構（95%）在日常營運中使用人工智能，較去年上升15個百分點，當中45間機構（約79%）使用人工智能已超過一年，超過一半（29間機構）使用三個或以上的人工智能系統，主要應用於行政支援、客戶服務、研發、市場營銷、以及合規或風險管理等領域。

與此同時，24間機構（約42%）會透過人工智能系統收集及／或使用個人資料，所有機構均在收集個人資料之時或之前向資料當事人提供「收集個人資料聲明」，述明收集資料的目的及資料可能會被轉移給哪類人士等資訊，其中7間機構（約29%）的「收集個人資料聲明」更列明使用人工智能工具處理個人資料。

只有7間機構（約29%）會保留在人工智能系統中所收集的個人資料，較去年大幅下降約50個百分點，而這些機構均已訂明個人資料的保留期限，並在達致原有收集目的後刪除個人資料。其餘17間機構（約71%）則不會保留相關資料。

個人資料保障方面，所有透過人工智能系統收集及／或使用個人資料的機構已採取相應的保安措施，包括存取控制、加密數據、滲透測試及個人資料匿名化等，其中有5間機構（約21%）更設有人工智能相關的安全警報及進行紅隊演練。

在人工智能系統管理與管治方面，在該24間機構中：

• 23間機構（約96%）在實施人工智能系統前會進行測試
• 19間機構（約79%）在採用人工智能系統前有進行私隱影響評估
• 22間機構（約92%）已制定資料外洩事故應變計劃應對突發事故
• 15間機構（約63%）有定期進行內部審核及／或獨立評估

其中，近八成機構（19間）採取「人在環中」的人為監督方式，在決策過程中保留控制權，以防止或緩減人工智能系統出錯或作出不當決定。

其餘5間機構（約21%）則採用「人為管控」的方式，審視人工智能系統輸出的結果，以監督系統運作，並在有需要時才介入。

此外，近八成（19間機構）已設立人工智能管治架構，例如成立人工智能管治委員會及／或指派專人負責監督人工智能系統的使用。超過六成機構（15間）在透過人工智能系統收集、使用及處理個人資料時，曾參考私隱專員公署就人工智能發布的指引或意見。

私隱專員公署表示審查過程中並無發現有違反《私隱條例》相關規定的情況。

審查亦發現，所有透過人工智能系統收集及／或使用個人資料的機構均容許僱員在工作期間使用生成式人工智能，其中17間機構（約71%）已制定生成式人工智能政策或指引，以協助僱員正確使用生成式人工智能，另外5間機構（約21%）則計劃制定相關內部政策或指引。

超過八成機構（20間）亦有為僱員提供人工智能相關培訓，按年上升約八個百分點，其中18間機構（90%）的培訓更涵蓋與人工智能相關的私隱風險內容，按年上升約七個百分點。

個人資料私隱專員鍾麗玲表示，隨着人工智能的應用日益普及，機構在受惠於人工智能帶來便利之餘，亦須正視潛在的私隱風險。

「機構應制定全面的人工智能策略、進行風險及私隱影響評估、採取適度的人為監督，並定期檢視和評估人工智能系統對個人資料私隱的影響，以確保在透過人工智能系統收集、使用及處理個人資料時符合《私隱條例》的相關規定。」

延伸閱讀：香港私隱專員公署就僱員使用生成式AI發表指引