HKIRC 調查：63% 企業未訂 AI 政策，49% 已現「影子 AI」

調查發現了甚麼？

806 間機構。四組數字。拼出同一個故事。

數字政策辦公室（DPO）與香港互聯網註冊管理有限公司（HKIRC）在 2026 年 4 至 5 月期間，完成「香港企業職場 AI 應用與安全趨勢調查」，訪問了 806 間不同產業及規模的機構。

HKIRC 行政總裁黃家偉工程師在新聞稿中形容，AI 正迅速滲透各行各業，帶來效率提升同時，也讓數據安全風險同步增加，企業需要建立管治框架、加強培訓同提升安全意識。

「影子 AI」實際上是甚麼問題？

「影子 AI」（shadow AI）不是新詞，意思是員工在公司政策範圍以外，自行採用未經批准的 AI 工具處理工作——最常見的情況，是把客戶資料、內部文件貼上一個公司從未審批過的聊天機械人，圖個方便。

問題不在員工存心搞事。多數情況下，只是某個崗位發現某個工具好用，公司又未講清楚可以用甚麼、不可以用甚麼，於是自己找辦法。49% 這個數字代表的，不是「有人使壞」，而是「規矩未寫，人已經在用」。

員工不是在等指引才開始用 AI，指引反而是追落後那一方。

為甚麼兩組數字要一起看？

把「63% 未訂政策」同「49% 已現影子 AI」放在一起看，情況會更清楚：接近三分之二機構未有規矩，接近一半機構已經出現未授權使用——兩個數字重疊的部分，很可能是同一批機構。

對處理客戶資料、學生資料或服務對象資料的機構而言，這代表風險不是「將來要處理」，而是已經在發生。我們在科大調查：73% 在職港人常用 AI寫過類似情況——個人層面的使用率遠超培訓同政策的追趕速度，今次 HKIRC 的調查則是從機構管治的角度印證同一件事。

政府的免費計劃可以幫到甚麼？

配合調查發布，數字政策辦公室與 HKIRC 同日推出「安全AI@職場賦能計劃2026」，邀請全港中小企業、學校及非政府機構參加，核心有三項：

1. 三大專屬培訓——分別為管理層、技術團隊及一般員工設計，因為三者面對的風險同責任不一樣。
2. 免費 AI 策略與政策生成器——線上工具，協助機構快速制定一份適合自身環境的 AI 使用政策，毋須登記即可使用。
3. 限額免費顧問服務——協助機構進一步優化政策同策略，名額有限，要在官方網站登記。

計劃亦支援 IT 團隊落實「最小權限」原則，並提供實用檢查清單管控 AI 工具的存取風險。詳情可以在計劃官方網站 cyberhub.hk/tc/ai 查閱。

值得留意的是，呢個計劃冇收費，但都唔會自動幫貴機構做完呢件事——生成器同顧問服務都要有人主動用先有用，兩者都需要機構內部先決定邊個負責跟進。

機構可以先做哪一步？

不是急住寫政策。第一步是摸清而家實際用緊乜嘢。

問三位不同崗位的同事：過去一個月分別用過哪些 AI 工具、貼過哪類資料落去——哪個是公司批准的，哪個是自己搵嚟用的。這條問題答完，通常會比預期詳細，也會直接指出兩件事：哪一批資料要優先規管，以及政策應該先管邊一類工具。

政策本身不用一開始就寫得完整。最少要涵蓋哪些工具獲准使用、哪些資料不可以輸入、出事時通知誰——一頁紙做得完，關鍵不在寫得多仔細，而在有冇人負責跟進。由哪個流程開始整理，我們在公司「AI 化」應該由哪個流程開始拆得比較細。

常見問題

← 返回 AI 新聞