私隱專員公署完成審查60間機構　確保人工智能安全

為貫徹落實全國兩會推動「人工智能+」的政策方向及香港特區政府所發布的《香港創新科技發展藍圖》，促進人工智能在香港安全及健康地發展，個人資料私隱專員公署已於2025年2月展開新一輪的循規審查，是次審查涉及60間本地機構，並涵蓋不同行業，包括電訊、銀行及金融、保險、美容、零售、運輸、教育、醫療、公用事業、社會服務及政府部門，以了解它們在使用人工智能時收集、使用及處理個人資料有否遵從《個人資料（私隱）條例》（《私隱條例》）的相關規定。同時，是次審查亦審視了該些機構就公署於2024年發布的《人工智能 （AI）：個人資料保障模範框架》（《模範框架》）所提供的建議和最佳行事常規的實施情況，以及對於使用人工智能的管治情況。根據審查結果，私隱專員公署今日發表報告，公署對該些機構在使用人工智能時保障個人資料私隱方面的主要觀察如下：

• 48間機構（80%）在日常營運中使用人工智能，較2024年循規審查上升5%，當中42間機構（約88%）使用人工智能已超過一年；
• 在該48間機構當中，26間機構（約54%）使用三個或以上的人工智能系統。人工智能系統主要應用於客戶服務、市場營銷、行政支援、合規/風險管理及研發等領域；
• 在該48間機構當中，24間機構（50%）會透過人工智能系統收集及/或使用個人資料，而它們在收集個人資料之時或之前均已向資料當事人提供「收集個人資料聲明」，述明收集資料的目的，以及資料可能會被轉移給哪類人士等資訊；
• 在該24間機構當中，19間機構（約79%）會保留在人工智能系統中所收集的個人資料，並已訂明個人資料的保留期限，在達致原來的收集目的後，刪除有關個人資料。餘下的五間機構（約21%）則不會保留在人工智能系統中所收集的個人資料；
• 所有透過人工智能系統收集及/或使用個人資料的機構均有採取相應的保安措施，以確保其持有的個人資料在使用人工智能系統期間受到保障。這些措施包括：存取控制、滲透測試、加密數據及個人資料匿名化等，當中有七間機構（約29%）亦會啟用人工智能相關的安全警報及進行紅隊演練；
• 在該24間機構當中，23間機構（約96%）在實施人工智能系統前會進行測試，以確保其可靠性、穩健性及公平性。此外，20間機構（約83%）在採用人工智能系統前有進行私隱影響評估；
• 在該24間機構當中，22間機構（約92%）已制定資料外洩事故應變計劃應對突發事故，其中七間機構（約32%）的應變計劃更涵蓋專門針對人工智能相關的資料外洩事故；
• 該24間機構中有15間機構（約63%）在透過人工智能系統收集、使用及處理個人資料時曾參考私隱專員公署就人工智能出版的指引或意見，包括《模範框架》、《使用AI聊天機械人「自保」十招》及《開發及使用人工智能道德標準指引》，有七間機構（約29%）有計劃參考相關指引；及
• 在該24間機構當中，19間機構（約79%）設有人工智能管治架構，例如設立人工智能管治委員會及/或指派專人負責監督人工智能系統的使用。

私隱專員公署現已完成有關的循規審查。在是次循規審查過程中未有發現有違反《私隱條例》相關規定的情況。

個人資料私隱專員（私隱專員）鍾麗玲表示：「是次循規審查結果顯示，大部分香港機構在業務營運中已經開始將人工智能應用於不同範疇，以提升日常營運效率、產品或服務質素。審查的機構在透過人工智能系統收集及/或使用個人資料時均採取了相應的保安措施保障數據安全，並在決策過程中採取較高程度的人為監督，以減低人工智能出錯的風險。另外，絕大部分機構均有制定資料外洩事故應變計劃應對突發事故，更有部分機構的應變計劃涵蓋專門針對人工智能相關的資料外洩事故。」

私隱專員亦指出：「人工智能是把雙刃劍，雖能促進業務發展，但亦帶來不同程度的個人資料私隱及道德風險。我樂見在審查的機構當中，大部分機構均設有人工智能管治架構，以監督人工智能系統的使用。機構作為資料使用者在開發或使用人工智能系統時有責任確保人工智能系統的數據安全，適時檢視、監察及評估人工智能系統對個人資料私隱的影響，確保遵從《私隱條例》的相關規定。同時，機構亦應未雨綢繆，制定人工智能事故應變計劃，並為員工提供適當培訓，以應對與人工智能相關的突發事故。」

除參考《模範框架》外，私隱專員公署亦鼓勵機構參考公署發出的《僱員使用生成式AI的指引清單》，協助它們制定僱員在工作時使用生成式AI的內部政策或指引，以及遵從《私隱條例》的相關規定。公署希望透過是次循規審查，向所有開發或使用人工智能的機構提供以下建議措施：

• 如在開發或使用人工智能的過程中收集或處理個人資料，須採取措施確保遵從《私隱條例》的相關規定，並持續監察及檢視人工智能系統；
• 制定開發或使用人工智能策略及設立人工智能內部管治架構，並為所有有關人員提供足夠的培訓。此外，機構亦應制定人工智能事故應變計劃，以監察及應對可能意外發生的事故；
• 就開發或使用人工智能進行全面的風險評估（包括私隱影響評估），有系統地識別、分析及評估風險，包括私隱風險，並因應有關風險而採取適當的風險管理措施，例如風險較高的人工智能系統須有較高程度的人為監督；
• 定期對人工智能系統進行內部審核（及在有需要時進行獨立評估），以確保系統安全及數據安全，而人工智能的開發或使用亦應持續遵從機構相關政策，包括人工智能策略的規定；及
• 與持份者有效地溝通及交流，以提高使用人工智能的透明度，並因應持份者的反饋適時調整人工智能系統。