不少香港企業看完三十分鐘產品示範，便準備簽下一套生成式人工智能工具；但採購部門手上，往往只有一份產品簡介和一句「資料很安全」。由資料存放在哪個地區，到模型會不會用客戶資料訓練，再到合約結束後資料如何取回，全部沒有書面答覆。

《個人資料（私隱）條例》沒有為生成式人工智能設專屬條文，企業要自行把資料分類，再逐項對應供應商條款。以下整理十二條問題，涵蓋資料地區、訓練用途、刪除機制、輸出擁有權、審計日誌、單一登入與角色權限、幻覺處理、供應商鎖定、價格模型、退出條款、私隱合規，以及本地支援與服務水平承諾。以下逐項檢視最易漏的三個位置。

資料地區與訓練用途最易漏

第一條要問資料存放在哪個地區。跨境傳輸直接影響私隱合規，但很多供應商只答「雲端」，不會主動說明資料中心所在國家。採購方要把地區寫入合約，並要求供應商列出所有次處理者；否則日後審計時，連資料去過哪裡都答不出。

第二條要問會不會用客戶資料訓練模型。口頭保證不算數，書面答覆要寫入合約，並註明預設是否開啟訓練、能否關閉、關閉後是否即時生效。若供應商條款寫明「可能用於改善服務」，即等於保留訓練權利，採購方要當作已同意處理。

第三條要問刪除機制與時間。合約終止後，資料幾多日內刪除、備份內的副本何時清除、能否提供刪除證明，全部要寫清楚。否則資料長期留在備份內無法追蹤，出事時難以證明已履行責任。

權限、審計與輸出擁有權

第四至第六條圍繞控制權。要求支援單一登入與角色權限，否則離職員工的帳戶難以撤銷，前員工仍可透過個人帳戶讀取公司資料。審計日誌要能回答誰在何時輸入了甚麼資料、系統輸出過甚麼；沒有日誌，等於無法舉證。

第七至第九條是日常運作。幻覺與錯誤如何處理、供應商鎖定與匯出格式、價格模型按座位還是按用量、有無隱藏費用，都要在試用期內實測。只看示範、忽略整合成本，是常見錯誤；三十天試用要記錄實際使用量與出錯率。

第十至第十二條是退出與問責。退出條款與資料取回、是否符合《個人資料（私隱）條例》與客戶的行業要求、有無本地支援與服務水平承諾，三者要在簽約前書面確認。把合規責任全推給供應商，是最危險的想法；監管機構追問時，責任仍在採購方。金管局對銀行採用代理式人工智能的監管方向會否延伸至其他受監管行業，仍待觀察；香港私營機構目前沒有同等強制申報要求，企業宜自行把供應商書面答覆、三十天試用紀錄與退出計劃一併存檔，作為日後問責依據。

價格與鎖定風險

按座位收費看似簡單，但供應商往往在試用期後才調整價格。有本地軟件商報價每座位每月200元，30天試用結束後改為320元，加幅六成。採購方要要求供應商分開列明座位費、用量費與隱藏費用，例如API呼叫超額、儲存空間、審計日誌保留年期，全部寫入合約附件，否則預算失控時追究無門。

匯出格式決定日後能否轉換供應商。若系統只提供專有格式，匯出的對話紀錄與設定檔無法直接匯入其他工具，等於被鎖定。採購時應要求供應商書面確認支援通用格式（如JSON、CSV），並在30天試用期內實測匯出流程，確保資料能完整取回。沒有匯出測試，鎖定風險無法評估。

退出條款要包括資料取回時限與銷毀證明。部分供應商合約寫明終止後30天內可取回資料，但同時保留備份最多一年，且不保證銷毀。採購方應要求供應商在合約列明銷毀時限與證明方式，例如提供刪除確認書。若供應商拒絕，這本身就是一個警號，反映其對資料控制權的態度。

採購流程與常見錯誤

採購流程應先做資料分類，再要求供應商書面回答12條問題，最後進行30天試用。資料分類是指按敏感程度把企業資料分級，例如公開、內部、機密，再對應供應商的資料地區與訓練用途條款。沒有分類，供應商答「不會用客戶資料訓練」也無法驗證，因為不同級別資料的風險根本不同。

最常見的失誤是只看示範。示範環境的數據乾淨、反應流暢，但實際整合到企業系統時，身份驗證、權限同步與審計日誌往往要額外開發，成本可能超過軟件年費。另一失誤是忽略整合成本，例如與現有客戶關係管理系統對接，需要聘請外部顧問，這些開支在採購階段很少被計算在內。

把合規責任全推給供應商，是第三項常見錯誤。即使供應商聲稱符合《個人資料（私隱）條例》，採購方作為資料使用者，仍有責任確保資料處理符合法例。出事時，監管機構首先追問的是企業有否做盡職審查，而非供應商的口頭保證。因此，供應商的書面答覆、試用紀錄與退出計劃，必須一併存檔。

12條問題不是萬能清單，但至少迫使供應商把口頭承諾變成書面紀錄。香港企業面對的現實是，私隱條例沒有為生成式AI設專屬條文，監管機構的指引仍在演變。採購方若只靠示範判斷，等於把合規風險留在自己身上；日後審計時，供應商一句「合約沒有寫」就足以令企業陷於被動。

另一方面，要求供應商書面回答也可能遇到阻力，部分國際供應商以全球標準合約為由拒絕修改條款，企業要衡量自身議價能力。無論如何，採購前先做資料分類，再對應供應商條款，是最基本的自我保護。金管局對銀行採用代理式AI的監管方向會否延伸至其他行業，仍待觀察；私營機構宜主動建立存檔習慣，而非等待監管機構上門才補救。