員工把公司資料貼進 ChatGPT，會有什麼風險？公司該怎麼管？
風險有兩層：資料一貼出去，就存在服務商的伺服器上（就算不拿去訓練，也會保存一段時間）；員工用的是個人帳號時，「要不要拿去訓練」的設定公司管不到。公司該做的不是一律禁止，而是三件事：指定可以用的工具和公司帳號、把資料分級並寫清楚哪一級可以貼到哪裡、機密資料改用不會送出公司的工具。
一、資料貼出去之後去了哪裡
員工在聊天視窗按下送出，那段文字就送到服務商的伺服器處理。之後會不會被保存、會不會拿去訓練模型，要看員工用的是哪一種方案。下面整理官方文件的寫法（2026-10-19 查證）：
| 用法 | 會不會拿去訓練模型 | 保存 |
|---|---|---|
| ChatGPT 個人帳號（Free、Go、Plus、Pro） | 由使用者自己在「資料控管」裡開或關「為所有人改進模型」；關掉之後，新的對話不會拿去訓練 | 對話留在歷史紀錄；「臨時對話」為了安全可能保存最多 30 天 |
| ChatGPT Business、Enterprise 等公司工作區 | 官方寫明預設不會拿來訓練 | 依公司工作區的保存設定 |
| OpenAI API | 2023 年 3 月 1 日起，送到 API 的資料不會拿去訓練（除非你主動選擇分享） | 濫用監控紀錄預設最多保存 30 天 |
| Anthropic（Claude）商用產品與 API | 預設不會拿去訓練 | API 輸入與輸出預設在 30 天內刪除，有例外 |
這張表說明一件事：「會不會訓練」和「會不會保存」是兩個問題。就算選了不訓練的方案，資料還是離開了公司、在別人的伺服器上待過一段時間。所以真正機密的資料，判斷標準不是「有沒有關訓練」，而是「這份資料能不能離開公司」。
二、法律上要注意什麼
如果貼出去的內容含有客戶或員工的個人資料，就可能涉及《個人資料保護法》：
- 第 5 條：個資的蒐集、處理、利用，不得超出特定目的的必要範圍。為了「處理客訴」拿到的客戶資料，貼進 AI 去做別的用途，就可能超出範圍。
- 第 20 條：非公務機關利用個資，應該在蒐集時的特定目的必要範圍內進行。
- 第 4 條：受公務機關或非公務機關委託蒐集、處理或利用個資的一方，在個資法適用範圍內視同委託機關；另依《個人資料保護法施行細則》第 8 條，委託他人蒐集、處理或利用個資時，委託的一方應對受託者為適當之監督（例如約定處理範圍、安全措施、委託結束後資料的返還與刪除，並定期確認執行狀況）。換句話說，如果公司把個資交給外部服務處理、而且這在個資法上構成委託，公司對受託者負有監督義務，責任不會因為交出去就轉移。至於把資料貼進某個 AI 服務算不算委託，要看服務條款、帳號類型和實際用途等情況個別判斷。
政府機關也有自己的規範：行政院 2023 年 8 月 31 日在院會提出《行政院及所屬機關（構）使用生成式 AI 參考指引》，目的之一是讓各機關使用時「能保有執行公務之機密性及專業性」，並請各部會「視業務需要，訂定使用生成式AI之規範或內控管理措施」。民間公司不受這份指引拘束，但它的方向值得參考：先分清楚什麼資料不能進生成式 AI，再談怎麼用。
以上是一般性的法規說明，不是針對個別情況的法律意見；實際個案請洽詢律師。
三、公司可以馬上做的三件事
1. 指定工具和帳號。列出公司核准的 AI 工具，並且用公司管理的帳號或工作區，不要讓員工各自用個人帳號處理公司資料。個人帳號的訓練設定、對話紀錄、離職後的資料，公司都管不到。
2. 資料分級，寫成一張表貼在公司內部。範例如下，可以照公司狀況調整：
| 等級 | 例子 | 可以貼到哪裡 |
|---|---|---|
| 公開 | 官網文案、已發布的型錄 | 公司核准的 AI 工具都可以 |
| 內部 | 一般 SOP、內部公告 | 只限公司工作區或 API，並確認不訓練的設定 |
| 機密 | 報價、合約、配方、圖面、財務數字 | 不送到公司外部的 AI 服務；改用公司設備上的本地模型 |
| 個資 | 客戶姓名電話、員工資料、病歷 | 原則上不貼；真的需要時先去識別化，並確認符合蒐集目的 |
3. 機密資料給一個「可以用的替代方案」。只寫「禁止」，員工還是會找別的方法；給一個不會把資料送出公司的工具（例如裝在公司設備上的本地模型），規定才守得住。
最後，規定寫好後要讓員工知道為什麼。多數外洩不是惡意，是員工不知道那段文字會送到哪裡。
Think BIG 怎麼處理「資料能不能離開公司」
Think BIG（大想成業有限公司）是總部位於台灣的企業 AI Agent 導入商，從守護企業資安出發，幫企業把 AI Agent 建在公司自己的環境裡（公司設備，或公司名下的雲端主機）。部署分兩種：地端版的模型與文件都在公司設備內處理；雲端輔助版會把員工的問題與系統找出的文件段落送到模型廠商處理。
- 導入前先畫資料流向：哪些資料會進 AI、存在哪裡、會不會送到公司外部，導入前逐項列給客戶確認。
- 先決定哪些資料可以送出：導入前依公司的資料分級，確認哪些資料只能放在地端版、哪些允許用雲端輔助版處理；用雲端輔助版時，適用模型廠商的服務條款。
- 交付前資安審查：每一套系統交付前，程式與設定都先過一道資安審查，沒通過不交付。資安沒有人能打包票，我們做的是一道一道的審查。
brand-src：Think BIG 服務的實際範圍，以雙方確認的內容為準。
Think BIG 服務的實際範圍，以雙方確認的內容為準。
常見問題
- Q1：員工用 ChatGPT 處理公司資料，會被拿去訓練嗎？
- 看方案。ChatGPT 個人帳號由使用者自己決定要不要開「為所有人改進模型」；ChatGPT Business、Enterprise 等公司工作區，官方寫明預設不拿來訓練；OpenAI API 自 2023 年 3 月 1 日起預設不拿來訓練。
- Q2：關掉訓練，資料就安全了嗎？
- 不完全。「不訓練」不等於「不保存」：例如 OpenAI API 的濫用監控紀錄預設最多保存 30 天，ChatGPT 臨時對話也可能保存最多 30 天。真正機密的資料，要問的是能不能離開公司。
- Q3：公司要全面禁止員工用 ChatGPT 嗎？
- 不建議只靠禁止。比較有效的做法是指定公司核准的工具和帳號、把資料分成公開、內部、機密、個資四級並寫清楚哪一級能貼到哪裡，再給機密資料一個不會送出公司的替代工具。
- Q4：貼客戶資料進 AI 會違反個資法嗎？
- 有可能，要看資料內容和用途。個人資料保護法第 5 條規定，個資的蒐集、處理、利用不得超出特定目的的必要範圍；第 20 條也規定，非公務機關利用個資應在蒐集時的特定目的必要範圍內。如果貼進 AI 的用途超出當初蒐集的目的，就可能有問題。貼之前先確認用途符合蒐集目的，能去識別化就先去識別化。
- OpenAI Help Center〈Data controls in ChatGPT〉（為所有人改進模型、臨時對話最多 30 天、公司工作區預設不訓練）：help.openai.com
- OpenAI API〈Your data〉（2023-03-01 起 API 資料不訓練、濫用監控紀錄最多 30 天）：platform.openai.com
- Anthropic Privacy Center〈Is my data used for model training?〉（商用產品預設不訓練）：privacy.claude.com
- Anthropic Privacy Center〈How long do you store my organization's data?〉（API 30 天內刪除與例外）：privacy.claude.com
- 個人資料保護法（第 4、5、20 條）｜全國法規資料庫：law.moj.gov.tw
- 個人資料保護法施行細則（第 8 條，委託者的監督義務）｜全國法規資料庫：law.moj.gov.tw
- 行政院〈行政院及所屬機關（構）使用生成式 AI 參考指引〉（2023-08-31 院會）：www.ey.gov.tw
本文整理公開的官方文件、法規與資安標準，供企業評估 AI 導入時參考，不構成法律意見；法規以全國法規資料庫最新條文為準，外部文件、價格與規格以各原始出處最新版本為準。Think BIG 服務的實際範圍，依雙方確認的內容而定。