理鴻法律事務所

隨著ChatGPT、Claude 及各類大語言模型成為企業提升效率與開發創新產品的關鍵工具，越來越多企業開發者、行銷團隊或內部員工，習慣將客戶資料、會議紀錄、使用者反饋甚至內部文本，直接「餵」給生成式AI進行摘要、分析、客服對答或模型微調（Fine-tuning）。

然而，當這些輸入資料中包含了客戶姓名、聯絡方式、消費紀錄甚至醫療病歷等資訊時，企業是否已經不知不覺違反了《個人資料保護法》（下稱「個資法」）的規範？如果開發團隊聲稱「已經把姓名換成代號」，這樣算不算合規？

本文將帶您理解企業導入生成式AI時常遭遇的個資合規疑慮，並為企業開發者與產品團隊提供具體可行之「去識別化守則」。

餵個人資料給生成式AI，在法律上屬於什麼行為？

許多企業員工或開發者誤以為：「我只是把資料輸入對話框，請AI幫我摘要，又沒有公開發布，怎麼會違法？」然而，從個資法與資安合規的角度來看，將資料輸入第三方生成式AI服務，就可能涉及這些法律風險：

（1）個資的「利用」與「國際傳輸」
根據個資法第2條規定，將個資進行輸入、檢索、傳輸或分析，均屬於個資之「利用」。當企業將包含個人資料之文本傳輸至OpenAI等境外服務提供商之伺服器時，性質上更屬於個資法第21條規範之「國際傳輸」。

依據個資法第19條與第20條，非公務機關（企業）對個資之蒐集、處理與利用，必須具備「特定目的」，且應於蒐集時之特定目的必要範圍內為之。若企業當初向客戶蒐集個資時，告知條款中並未包含「提供予第三方AI服務進行資料分析或訓練」，則未經去識別化即逕行輸入AI當中，即容易被認定為「逾越特定目的外之利用」，構成違法利用個資。

（2）資料被拿去「訓練模型」的潛在外洩風險
在使用多數生成式AI時，依據其預設服務條款，使用者輸入的對話內容可能被用於改進與訓練未來之模型。這意味著企業輸入的個資或敏感資訊，可能會在其他使用者的提示詞回應中被洩露或還原，造成不可逆的資安與個資外洩事件。

「去識別化」就萬無一失嗎？

當開發團隊意識到個資風險後，最常見的做法是「遮蔽姓名」或「將姓名替換成代號」。但在法律上，這樣做真的達到「去識別化」了嗎？

對於「去識別化」在法律上，其實是有一定的標準存在：

（1）使用代號 ≠ 完全去識別化
若企業僅將姓名、身分證字號替換為隨機代碼或代號（例如：將「ＸＸＸ，居住於臺北市信義區，年薪 200 萬元」改為「代號 A101，居住於臺北市信義區，年薪 200 萬元」），但企業內部仍保存有對照表，或該資料結合其他社會經驗、職場背景、消費時間等資訊後，仍能直接或間接識別出該特定個人者，該資料在法律上依舊屬於個資法所保護之個人資料。
因此，僅利用使用代號的方式去處理資料，若未經當事人同意或缺乏法定基礎即傳輸予第三方AI服務，依然構成違法利用。

（2）匿名化的法律標準
唯有經過處理後，技術上達到「無法還原」且「無從直接或間接識別特定個人」之程度，該資料才不再屬於個資法所稱之個人資料。此時，企業將匿名化資料餵給AI模型，才不會產生違反個資法的法律責任。

3. 企業開發者應具備的去識別化與防護守則

為協助企業在享受AI技術優勢的同時，建立堅固的合規防火牆，建議企業在使用AI實落實以下原則：

守則一：嚴格區分Web UI與API管道
• 禁止使用一般 Web UI 處理敏感個資：企業應明文規範員工與開發者，嚴禁將未經完全匿名化之客戶個資或企業機密輸入免費版或一般商業對話版之 ChatGPT 網頁端。
• 優先採用商用級API服務並簽署DPA：若需透由API串接AI，企業應確保選用承諾「輸入資料不用於模型訓練」之商業級API，並與AI服務商簽署「資料保護協定」（Data Privacy Agreement, DPA）與確認「零資料保留條款」（Zero Data Retention, ZDR），以確保資料傳輸與儲存之合規性。

守則二：採行雙層去識別化機制
僅去除姓名絕不足夠，開發團隊在建構 Pipeline 時應實施雙層去識別化：
1. 直接識別徹底遮蔽：針對姓名、身分證字號、電話號碼、Email、地址、IP 位址、金融帳號等，進行自動化遮蔽或徹底刪除。
2. 間接識別模糊化：針對年齡、職業、特定事件時間點、極少數之地理位置等可能導致交叉比對還原的特徵，進行泛化（如將精確出生年月日改為年齡區間，將精細地址改為縣市級別）等模糊化處理。

守則三：更新隱私權政策與取得適法性基礎
若企業之產品功能不可避免地需要將使用者的資料透過AI模型處理，企業應於產品之「隱私權政策」與「服務條款」中：
1. 明確告知使用者資料將透由第三方技術提供者（如AI服務商）進行自動化分析或處理。
2. 說明資料處理之範圍、目的與防護措施，並依法取得當事人之同意或確立合法的契約履行為處理基礎。

違法代價：企業忽視AI個資合規將面臨的法律風險

若企業未建立完善之去識別化機制，逕將個資餵給第三方AI服務，可能面臨以下多重法律責任：

💡理鴻律師叮嚀
生成式AI固然為企業帶來巨大的轉型契機，但「資料安全與個資合規」始終是企業不可退讓的底線。企業在推動AI創新專案時，切勿心存僥倖認為「只是下個指令應該沒關係」。

遇到更複雜的狀況，不確定如何處理嗎？ 歡迎提供相關文件，預約我們的法律諮詢服務，讓專業律師為您評估最佳策略。

本文內容僅為法律資訊之整理，非屬個案之正式法律意見；相關法規及實務見解可能隨時變動，實際情形仍應諮詢專業律師。