3182名病患資料傳給AI 刪對話就安全？

(中央社財經訊息服務20261028 18:42:18)一份試算表上傳AI，竟讓3182名病患的個人資料面臨外洩風險！美國某醫療中心近日通報，院內一名員工於9月21日，將含有病患資訊的試算表上傳至未經院方核准的公用AI工具。院方當天發現問題，並自10月22日起通知受影響病患。事後除了要求員工刪除相關對話與檔案，也向AI服務商提出刪除要求，但公開資訊尚未確認服務商是否完成處理。這起事件也讓企業面對一個實際問題：當員工習慣把工作資料交給AI，企業該如何管理？

類似情況其實離一般辦公室不遠。行政人員想快速整理客戶名單、人資需要分析員工資料，或財會部門希望AI協助比對付款紀錄，只要將Excel上傳，就可能省下大量處理時間。但若檔案包含個資、薪資或未公開的商業資訊，選擇哪一種AI工具，就不能只考慮操作是否方便。

企業使用AI，並非只能在完全禁止與毫無限制之間做選擇。目前已有專為企業工作情境設計的AI服務，例如微軟提供的Microsoft Copilot，以及透過符合資格的工作帳號使用、受到企業資料保護的Microsoft Copilot Chat。依微軟說明，在適用企業資料保護的情境下，使用者輸入的提示內容、AI回覆及相關工作資料，不會用於訓練基礎模型，並受到企業服務條款與相關安全管理機制保護。對企業而言，優先選擇具備明確資料保護承諾、權限控管與管理機制的AI服務，會是降低資料使用風險、建立安全AI工作環境的重要第一步。

同樣以Microsoft Copilot為例，企業可以結合Microsoft 365既有的帳號身分、文件存取權限及資料治理機制，讓AI使用納入原本的企業管理架構。Copilot不會因為導入AI，就自動取得使用者原本沒有的文件存取權限；企業也能依照適用的授權方案與設定，搭配稽核紀錄、資料分類及敏感資訊保護措施。對企業而言，選擇具備企業資料保護機制的AI服務，不只是降低資料使用風險，也能讓後續的權限管理、使用規範及稽核作業有更完整的基礎。

除了選擇合適的工具，企業仍需要一套能持續執行的AI管理制度。2023年發布的ISO/IEC 42001人工智慧管理系統國際標準，針對組織如何建立AI使用政策、評估風險、分配管理責任及持續改善提供管理架構。它不只關注技術安全，也涵蓋企業在導入與使用AI的過程中，如何落實負責任的管理。

Cloudmax匯智資訊長期深耕企業雲端服務與資訊安全管理，多年來持續維持ISO/IEC 27001資訊安全管理系統國際驗證，並符合現行ISO/IEC 27001:2022標準要求，將資訊安全管理落實於日常服務與營運流程。面對AI逐漸融入企業日常作業，匯智也持續深化人工智慧治理相關專業，團隊成員已完成ISO/IEC 42001:2023人工智慧管理系統主任稽核員訓練，通過課程考試與評核並取得合格結業證明，進一步強化AI風險評估、使用規範及管理制度的專業知識。

匯智生活觀察室從企業管理角度觀察，AI使用規範不能只寫在員工守則中，還應涵蓋工具審核、資料分級、帳號權限及異常事件的處理程序。例如，公司可以明確規定哪些公開資料可使用一般AI工具，哪些內部文件只能透過核准的企業服務處理；涉及個資、合約或機密資訊時，則應先確認使用必要性、資料處理約定與存取權限，並視情況進行去識別化。若發生誤傳，也需要保留通報與處理紀錄，確認外部服務商的後續處置，而不是只要求員工刪除聊天室。

AI已逐漸成為辦公室裡隨手可用的工具，企業不能只仰賴員工自行判斷哪些資料適合上傳。提供安全且方便使用的工作環境，再搭配清楚的規範與管理責任，才能讓員工享有AI帶來的效率，也讓企業對資料的流向保有必要的掌握。

Cloudmax匯智資訊提供Microsoft Azure雲端架構規劃與導入、維運，以及Microsoft 365 Copilot企業AI應用與授權服務，協助企業規劃符合需求的雲端與AI工作環境。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw 圖片來源：Cloudmax 匯智／AI生成

美國某醫療中心因員工將含有3182名病患個資的試算表上傳至未經核准的AI工具，引發企業資料管理關注。隨著AI逐漸融入日常工作，企業除了選擇具備資料保護機制的服務，例如Microsoft 365 Copilot，也應建立資料分級、帳號權限、工具審核及稽核管理制度。匯智資訊持續深化AI治理專業，協助企業理解安全導入AI的重要性。圖片為AI資料使用風險與企業安全管理的概念示意，非實際事件現場或官方產品介面。（圖片來源：Cloudmax 匯智／AI生成示意圖）