AI 訂閱散落各部門？用登記冊釐清工具與資料責任

登記實際用途，帳單只是起點

登記冊的作用，是讓主管判斷某項用途能否按現有方式繼續。每項紀錄應有固定編號，列明工具、公司工作區或帳戶，以及實際處理的工作。同一產品若分別供市場部撰寫公開產品介紹、供客服讀取客戶郵箱，便應拆開記錄；兩者的資料及操作權限不同，不能只因帳單相同就一併批准。盤點亦要包括免費帳戶、試用版、瀏覽器擴充功能，以及原有軟件內啟用的 AI 功能。

可先請各部門主管示範平日怎樣使用，再與訂閱及報銷紀錄核對。付款紀錄只能協助找出帳戶，不能證明員工實際上載了甚麼。未確認的事項應列為待查，指派跟進人和期限，而非默認已獲批准。公司可由行政或營運同事統籌登記冊，但每項用途仍須有一位具名的業務負責人，能決定使用範圍並處理問題；付款人不一定適合承擔這個角色。

下次檢討可直接採用的欄位

先採用設有編輯權限及版本紀錄的共用試算表，每行代表一項用途，以下項目可直接用作欄位。核查文件放在限制存取的資料夾，表內只留下連結，不要把客戶資料再複製一份。資料欄應寫「客戶姓名及電郵地址」等類別，以及允許或禁止使用的範圍，不應存放提示詞全文、密碼或 API 金鑰。若前線同事慣用中文、管理層慣用英文，宜以兩種語言寫清用途及限制，避免同一條規則出現不同理解。

這是建議的日常管理範本，並非認證清單。如續約或退出安排影響決策，可另加欄位。

資料未齊，也要有明確處置

假設一家香港分銷商，市場部用 AI 根據公開規格撰寫中英文目錄，客服則另行把助理連接到共用郵箱。市場部的負責人可提議保留用途，但限定只輸入公開資料，並由同事在刊登前核對產品描述及兩種語言的內容。這個安排只是一項建議控制，不能當作工具準確可靠的證據；登記冊要留下誰同意、限制是甚麼，以及何時再核查。

至於郵箱用途，若暫時沒有人能確認連接是否具備發信權限，或上載內容會保留多久，便應標記為待審，暫停連接，由管理員核查權限，業務負責人釐清資料處理問題。期間沿用原有的人手回覆流程。日後恢復時，要記下已核實的存取界線，以及誰可批准更改。即使兩個部門都說自己只是「寫草稿」，也不能把市場部的批准直接套用於客服。

檢討後應清楚選擇保留、限制權限、等待證據期間暫停，或停用重複用途。停用前先找出依賴該工具的工作、仍需保存的紀錄，以及負責匯出和移除存取權的人。取消付款不代表交接已完成。若決定收緊使用，同時要提供可行的替代流程，否則同事可能轉用另一個未登記帳戶，問題仍然存在。

分清參考指引與公司決定

NIST《AI 風險管理框架》1.0 屬自願採用。當中的 Govern 1.6 涉及 AI 系統清單，Govern 6 涉及第三方風險，可作為建立登記冊的參考；這不代表框架指定使用本文的試算表，更不代表香港中小企必須購買登記冊產品。來源網頁表示框架正在修訂，本文引用的是 1.0 版本。

香港政府於 2026 年 4 月 22 日的立法會答覆提及，AI 智能體可能涉及權限過高及資料外洩。答覆中有關連接政府內部網絡電腦的安裝限制，是針對政府部門，不能直接說成所有中小企一律禁止安裝。企業檢查自身權限時應分清這個適用範圍。填妥登記冊有助留下決策及缺口，但單憑一份表格，不能證明已符合法律要求或運作安全。

先建立更新習慣，再考慮專用軟件

覆核頻率應視乎出錯後果及用途變動速度。公司可先試行每星期跟進未解決事項，穩定且已批准的用途則每季覆核；這是工作安排建議，並非來源規定。一旦新增資料來源或連接、擴大權限、更換負責人，或供應商有重大變更，就應提前檢查。覆核不是把日期順延，而是確認實際做法仍符合記錄。員工離職或調職時，須重新分配責任及檢查存取權；發生事故後，則記下改變了甚麼決定及其依據。

只要統籌人仍能核對更新、各負責人能按時回覆，試算表便可繼續使用。若公司已有資產或服務清單，亦可加入上述欄位及提醒，避免多建一份資料。當漏覆核、版本衝突或複雜審批權限已造成實際負擔，才值得評估專用管理軟件。試用時帶入公司的真實欄位，檢查能否分派責任、保留決策歷史、限制敏感證據的存取，以及匯出可用紀錄。自動偵測工具或能找到帳戶，卻不能代業務負責人解釋使用目的。

下次管理會議前，請各部門提交現有用途，並指定統籌人。會上一起填妥一項紀錄，把每個未解決問題交給具名同事，再決定哪些用途可在核查期間繼續。若分不清助理只是回答問題，還是能代人操作，可參考下方的既有指南。需要修改系統權限或人員接手流程時，才進一步考慮技術整合支援；首次盤點現在就能用試算表開始。