AI洩密只抓員工祭旗？平台商、資安顧問、公司管理漏洞誰來算帳
【M傳媒／分析報導】
員工把公司程式碼、客戶資料、財務數字貼進生成式AI，現在已經不是單純的「個人操作失誤」，而是企業整套AI治理有沒有跟上的問題。
2023年三星電子就曾發生員工把內部程式碼與會議內容輸入ChatGPT的事件，之後公司一度限制內部裝置使用外部生成式AI。這起事件讓企業開始重新檢查一件事：AI工具已經進辦公室，公司的機密資料到底有沒有畫出清楚界線。
AI平台也要把安全設計做好
目前ChatGPT Business、Enterprise、Edu及API等商務產品，企業輸入與輸出預設不會拿去訓練模型。
個人版ChatGPT則有不同的資料控制設定，使用者可以自行調整。
問題出在很多員工工作時，用的可能不是公司核准的企業帳號，而是自己的私人帳號，甚至其他免費AI工具。
企業真正要防的，已經不只是ChatGPT，而是大量看不到、管不到的「Shadow AI」。
平台端可以持續強化機密資料提醒、企業帳號管理、權限控管與DLP整合，降低員工把敏感資料直接丟進外部AI的風險。
資安管理不能只剩下「禁止使用AI」
公司直接公告「禁止使用生成式AI」，看起來最簡單，實際上往往沒有這麼有效。
員工仍可能改用手機、私人帳號或其他免費工具，公司反而完全看不到資料流向。
比較實際的做法，是把資料先分級。
例如程式原始碼、客戶名單、尚未公開的財報、投標價格、產品設計，可以直接列為禁止輸入外部AI的機密資料。
公司同時提供核准的企業版AI工具，再搭配權限管理、DLP、員工教育及供應商管理，才能真正降低風險。
NDA、員工工作規則及外包契約，也可以把AI使用規範直接寫進去。
營業秘密要有真正的保密措施
企業日後如果發生AI洩密，進入司法程序後，還是要回到《營業秘密法》的基本條件。
營業秘密除了要有秘密性及經濟價值，企業本身也要採取合理保密措施。
法院看的不會只有一張「禁止使用AI」公告，而是整套制度。
包括：
資料有沒有分級。
帳號有沒有權限控管。
文件有沒有標示機密。
員工有沒有簽保密協議。
公司有沒有教育訓練。
敏感資料能不能被任意下載、複製或外傳。
所以公司沒有單獨訂一份「AI政策」，不代表營業秘密一定失去保護；但企業連基本管理都沒有，日後主張自己已經做好保密，就會更加困難。
AI洩密還有新的舉證問題
傳統洩密比較容易追查郵件、USB、下載紀錄。
AI時代則多了一層難題。
企業除了要證明員工曾經把資料輸入外部AI，還可能需要釐清平台如何保存資料、資料是否被後續處理，以及是否真的造成第三人取得或使用。
這些都會增加資安鑑識與司法調查的難度。
因此，企業現在除了防止洩密，也要保留AI使用紀錄、帳號紀錄、權限資料與內部稽核軌跡，讓事故發生後還有證據可以追。
M編觀察
AI洩密已經不是「員工手滑」四個字可以解決。
企業要建立AI使用規範，資安與法律顧問要把資料分級、DLP、NDA與教育制度重新整理，AI平台則要持續強化企業控管與風險提醒。
司法端未來也需要建立更成熟的AI資料鑑識與舉證標準。
AI可以進公司，機密資料一定要先畫出邊界。真正有效的防線，不是單純禁止AI，而是讓員工知道什麼能用、什麼不能丟，企業也有能力看得到、管得到、查得到。
關鍵字： AI洩密、營業秘密、ChatGPT、生成式AI、Shadow AI、合理保密措施、DLP、NDA、企業資安、AI治理、資料外洩、M傳媒
