你擔心的可能是：「員工不會用 AI 怎麼辦？」
但真正的風險，可能出在另一邊：員工很會用，把客戶資料、合約、薪資表直接貼進 AI 工具，因為這樣最快。
AI 治理是企業事先決定 AI 能碰哪些資料、誰可以用、哪些動作要人工覆核的一套規則。
01 / 觀點與拆解連 AI 公司自己都在設限
九月的三個新模型，有一個共同點：最強的資安能力，都沒有完全開放。
| 公司 | 做法 | 給企業的啟示 |
|---|---|---|
| 資安專用模型 Gemini 3.8 Flash Cyber，只透過 Fairwind 計畫提供給受信任的政府機關、關鍵基礎設施營運者與軟體維護者 | 能力越強，越要限定誰能用 | |
| Anthropic | 同一個模型分兩個版本：一般版 Fable 5.1 帶有防護，限制部分高風險任務；Mythos 5.1 只透過受信任的存取計畫，提供給經審核的資安防禦者與生命科學研究者 | 同一套工具，不同人該有不同權限 |
| OpenAI | GPT-6 Astra 達到 OpenAI Preparedness Framework 的「Critical」資安能力門檻，進階資安能力透過 Daybreak Blue 計畫受控存取 | 高能力要搭配留痕與審核 |
02 / 觀點與拆解為什麼企業更需要治理
AI 可以幫資安團隊整理告警、比對設定、提出修補建議；但同樣的能力，也可能被拿來加速攻擊。
放到一般企業，風險可能更日常：
- 人資用 AI 整理履歷，個資被上傳到未核准的工具。
- 行政讓 AI 自動寄出通知，寄錯對象。
- 主管把未公開的策略貼進 AI 做簡報。
這些都不是技術問題，而是沒有規則。
03 / 觀點與拆解第一個行動：先做一張「能放、不能放」清單
不用一開始就寫一本 AI 使用規範。先把公司最常處理的 10 種資料列出來，標上「可以放進 AI／去識別後可以放／不能放」，發給所有同仁。
這張清單如果要進一步變成完整的制度，就是資訊安全管理系統（例如 ISO/IEC 27001）要處理的事。
04 / 觀點與拆解達美觀點：權限不是畫面上看不到，而是資料根本不送出去
達美智創所屬集團的電商行銷團隊，在做內部的選品報價系統時，進貨價與關稅屬於機密。系統的做法不是在畫面上把欄位藏起來，而是只有檢視權限的人登入時，系統根本不把這幾個欄位傳給他。行銷同仁照樣查得到定價、毛利與淨利率，可以自己去更新平台售價，成本欄位不會傳到他的電腦上。
財務部門的公務車管理看板也採同樣原則：誰能看、誰能改、能看哪些區域，三件事分開設定；畫面上的灰階和隱藏按鈕只是使用體驗，每次存檔，系統都會再檢查一次權限。
但我們也要誠實說：財務部門推動兩週的 AI 學習小組後做了一次盤點，發現「AI 資料分級、可用工具清單、事件回報」這些制度，我們自己仍在建立中。這也是為什麼我們認為，治理要跟著第一個工具一起開始，而不是等工具多了才補。
產業動態
課程資訊