你的 AI 部署，真的符合《个人资料（私隐）条例》的要求吗？
一家香港金融服务机构的运营主管，六个月前批准了一套 AI 部署方案。系统负责分析客户通讯，标记服务问题并生成摘要。没有人核查涉及的个人资料是否已作最小化处理，也没有人记录哪个 AI 模型在处理这些数据，以及数据存放在何处。上个月，一位客户根据《个人资料（私隐）条例》（PDPO）提出数据查阅要求，法律团队这才发现，该 AI 系统对其处理或保存的个人资料没有任何审计记录。
这并非假设场景。根据个人资料私隐专员公署（PCPD）2025 年 5 月的合规调查，香港 80% 的机构在日常运营中已使用 AI，但拥有书面 AI 治理政策的不足三分之一。《个人资料（私隐）条例》自 1996 年起适用于所有个人资料的处理。变化在于：PCPD 现已就 PDPO 的义务如何具体适用于 AI 发布了明确、详细的指引，并表明 2026 年将就已知悉相关要求的机构采取更积极的执法行动。
PCPD 的 AI 个人资料保护模型框架是什么？它要求什么？
PCPD 于 2024 年 6 月 11 日发布的《人工智能：个人资料保护模型框架》，是亚太地区任何私隐监管机构发布的首个专注于 AI 的个人资料保护框架。它是指引性文件而非具法律约束力的法例，但 Mayer Brown 及 Clifford Chance 的法律分析指出，遵循该框架是机构在部署涉及个人资料的 AI 时符合 PDPO 的有力佐证。
框架适用于任何采购、实施或使用涉及个人资料的 AI 系统的机构。实际上，这意味着任何在客户记录、员工资料、通讯或其他可识别个人的资料上使用 AI 的企业，均在框架涵盖范围之内。
框架围绕 AI 生命周期组织：采购阶段、实施阶段及持续运营阶段。每个阶段均有 PCPD 期望机构在 AI 部署前及部署期间主动解决的具体治理要求，而非在系统上线后才作事后补救。
哪些 PDPO 核心义务直接适用于企业 AI 部署？
香港《个人资料（私隐）条例》包含六项保障资料原则（DPP）。其中四项对企业 AI 部署带来直接责任，而这些责任在实践中往往被低估或误解。
保障资料原则一：目的与收集限制。 个人资料只能为明确说明的特定目的而收集，收集范围亦应限于达成该目的所必要的程度。若以"更多数据或许有用"为由，将未经明确目的说明的客户资料集输入 AI 模型，即属于违反 PDPO 的行为。
保障资料原则二：准确性。 个人资料必须准确且保持最新。AI 系统基于个人资料作出决定时，其输出的可靠性取决于底层数据的质量。PCPD 框架明确要求机构对 AI 系统进行验证与测试，确保不会基于不准确或过时的个人资料生成输出。
保障资料原则三：保留期限。 个人资料不得保存超过必要期限。当 AI 系统处理个人资料时，机构必须能够回答：系统保存这些数据多长时间？存放在哪里？由谁控制？许多现成的 AI 工具在处理和临时缓存数据时，以机构未能察觉的方式制造了非预期的保留义务。
保障资料原则六：查阅及更正。 个人有权要求查阅其个人资料，亦有权要求更正不准确的资料。若 AI 系统曾处理某人的个人资料以生成输出（信用评估、服务建议、绩效评估），机构必须能够履行该查阅要求，并举证所使用的数据。这要求具备审计记录，而目前许多 AI 部署并未能提供。
香港企业应立即落实的五项 AI 治理措施
根据 PCPD 框架及 Clifford Chance、A&O Shearman 的法律分析，以下五项措施代表任何在 2026 年于个人资料上部署 AI 的香港企业，所应具备的最低可行 AI 治理基础。
措施一：制定获董事局批准的 AI 治理政策。 PCPD 框架要求机构制定机构层面的 AI 策略，明确说明 AI 可用于哪些目的、谁负责 AI 部署决策，以及如何监控 AI 的使用。该政策必须有书面记录，并在可向监管机构举证的治理层面获得批准。
措施二：在任何涉及个人资料的 AI 部署之前，开展私隐影响评估（DPIA）。 PCPD 明确建议以 DPIA 作为 AI 处理个人资料的前置要求。DPIA 识别所使用的数据、AI 部署带来的风险、已有的缓解措施，以及剩余风险。在部署前开展 DPIA，远比在 PCPD 调查启动后再作应对更具成本效益。
措施三：以设计落实数据最小化原则。 每个处理个人资料的 AI 系统，均应被配置为仅使用其特定目的所必要的最少个人资料。这意味着要主动审查向 AI 模型输入的数据，移除对 AI 功能并非必要的字段，并审视 AI 输出中包含的衍生个人资料是否得到适当的保护与保留管理。
措施四：建立 AI 处理登记册。 企业应维护一份书面记录，涵盖每个处理个人资料的 AI 系统，包括所使用的数据类型、系统的部署位置、供应商资料、适用的保留期限，以及内部责任人。这份登记册是回应 PCPD 查询、数据主体查阅要求或内部审计的基础。
措施五：建立 AI 采购的供应商尽职调查标准。 PCPD 框架对向第三方供应商采购 AI 的机构同样有所规范。在签署 AI 供应商合约之前，企业应核实供应商如何处理个人资料、基础设施所在司法管辖区是否具备足够的数据保护，以及合约终止后数据的处置安排，并确认供应商能否支持 DPIA 文件及审计要求。
Agentic AI 带来哪些额外的 PDPO 考量？
Agentic AI（自主代理 AI）能够在无需人工逐步介入的情况下，跨多个数据来源自主执行多步骤任务。这类系统带来额外的 PDPO 考量，PCPD 已开始在其指引中明确触及。Freshfields 2025 年的分析指出，自主代理 AI 在数据最小化和目的限制方面带来更高风险，因为代理在执行任务时，往往会存取比人工审阅者在手动流程中会查看的更广泛的数据范围。
对于在 2026 年部署或评估 Agentic AI 的企业主管，治理原则明确：存取个人资料的自主代理系统，必须被限制在每项特定任务所必要的最少数据范围内，并设有访问控制，防止代理存取其定义操作范围以外的个人资料。为传统 AI 部署制定的治理框架，在引入自主代理能力时，可能需要重新审视。
在 AI 合规与业务增长之间找到正确平衡
香港的 AI 治理不是一次性的合规演练。随着 AI 能力的扩展、自主代理系统的普及，以及 PCPD 执法立场的演变，企业今天构建的治理框架必须具备持续适应的能力。在 2026 年投资于系统化、有据可查的 AI 治理方案的机构，正在构建的是一种机构能力，而非只是完成一份合规清单。
AI 治理的真正目的，不是为了限制 AI 的应用，而是为了让企业能够放心地扩大 AI 投资，同时向监管机构、客户及董事局提供充分的管控保障。懂AI，更懂你。UD 深知技术选择的背后，是对你所在业务环境与监管环境的深刻理解。28 年企业服务经验，让我们能够提供不止技术，更是与业务和合规真正对齐的策略支持。
AI 治理不需要你独自从零开始。UD 团队手把手带你完成每一步，从 PDPO 合规差距评估、私隐影响评估（DPIA）支援，到 AI 治理政策制定与供应商尽职调查框架，以 28 年香港企业服务经验，为你的每一个决策提供支撑。
