公司文件可以上傳 AI 工具嗎？

先看文件，不是先看 AI 名稱

同一個 AI 工具，拿公開新聞稿做摘要和拿未公開報價單、原始碼、投標文件做分析，風險完全不同。第一步先確認文件的所有人、內容、來源、密等、契約限制與預計用途，再決定能不能進入哪一種工具。

「公司內部」只是管理標籤，不是法律結論。它可能只是一般流程文件，也可能同時包含個資、營業秘密、第三方著作、客戶 NDA 或尚未公開的重大資訊。

若團隊還不清楚公司用 AI 除了文件上傳要查哪些台灣規範，先看台灣公司 AI 法規第一層檢查分開法律、行政院施行規劃與數發部風險分類框架，再回本頁按文件與資料流決定核准方式。

如果文件來自中國子公司，或含中國境內員工、求職者、客戶、客服或工廠資料，先看中國資料出境與 AI 工具，把來源地、遠端存取、重要資料、個人資訊、數量與境外接收方單獨盤點。若還涉及向中國境內公眾提供生成式 AI 服務或把內容放上中國平台，再回到中國 AI 法規總覽分開判斷。

先用四級分類擋下明顯風險

文件等級	常見例子	AI 使用起點
公開	已發布新聞稿、官網內容、公開說明書	可用核准工具，但仍查版本、第三方素材與輸出正確性
內部	一般會議紀錄、流程文件、內部教材	先排除個資、機密、客戶資料與契約限制，再限定工具與用途
機密	報價、成本、客戶名單、產品路線、投標與未公開策略	未經資料所有人與公司流程核准，不進外部 AI
高敏感	核心原始碼、配方、金鑰、未公開財務、醫療或大量個資	預設禁止；只有受控環境、最小資料與跨部門審查後才評估

分級不是做完一張表就結束。文件從草稿變成公開版、專案結束、客戶要求刪除或權限人員離職時，都要重新判斷。

四種使用方式要分開審

使用方式	主要問題	建議起點
員工個人 AI 帳號	公司難以管理保存、分享、外掛、離職停用與刪除	只限公開資料及低風險草稿；公司文件先禁止
公司管理的 AI 工作區	仍要看實際方案、設定、連線、管理員與資料地點	工具核准後，再按文件密等逐項開放
AI API 或系統串接	另有金鑰、日誌、備份、錯誤重送與下游資料流	先畫資料流、用測試資料並設最小權限
本地 AI 或受控 RAG	仍有索引、備份、權限、外掛、模型輸出與維運風險	隔離資料、限制檢索範圍並保留操作與管理紀錄

本地部署和企業方案都可以增加控制，但不會把錯誤的資料用途變正確，也不會取代契約、授權和產業規範的檢查。

上傳前的七步檢查

1. 確認所有人：文件是公司的、客戶的、供應商的，還是含第三方內容？
2. 判斷密等：公開、內部、機密或高敏感，依據是什麼？
3. 找出受管資料：是否含個資、營業秘密、原始碼、金鑰、著作、未公開財務或契約資訊？
4. 縮小範圍：能否改用公開版、假資料、遮蔽內容、最小片段或較少欄位？
5. 查清資料流：資料會到哪裡、保存多久、是否訓練、複委託、分享、連線、跨境或進入備份？
6. 設定控制：誰能用、誰核准、輸出誰看、何時刪除，出事時怎麼停？
7. 留下證據：保存條款版本、設定、分類、核准、使用、覆核與定期複查紀錄。

合理保密措施看的是實際管理

智慧局 FAQ 把文件分級與標示、保密契約、密碼、存取權限、need-to-know、日誌、稽核及教育訓練列為可參考作法。重點不是每家公司都要照抄同一套，而是公司是否依資料價值、規模與作業方式，持續做出有效管理。

智慧局法律 e 教室另整理一件員工把營業秘密上傳雲端的判決。該案是依具體保密協議、員工守則與資訊管理規範判斷；可用來提醒企業，員工有權讀取文件，不代表有權把文件傳到外部空間。它不能推成所有雲端 AI 上傳都必然構成違法的通則。

已經誤傳時先處理範圍

先停用分享、外掛、自動化與後續輸出，不要急著清空所有紀錄。接著記下工具與帳號、時間、文件版本、資料範圍、分享對象、連線應用程式、供應商保存與可刪除狀態。

能刪除時，要確認刪除的是聊天、檔案、索引、分享連結、API 日誌、下載檔或備份中的哪一層。文件若含帳密、金鑰或弱點資訊，應評估撤銷與輪替；若涉及個資、客戶 NDA、重大未公開資訊或受監理資料，再由公司負責人判斷通知、通報與後續處置。