私隱專員鍾麗玲：使用顧客資料受規管 若用於AI言語模型需另徵同意

個人資料私隱專員公署公布指引，協助機構制定使用生成式AI的內部政策。私隱專員鍾麗玲表示，不少企業以生成式AI提高產品質素，用作起草文件或製作短片，而生成式AI特別是言語模型，需要很大量數據及文字。她提醒有關機構輸入顧客資料，是受私隱條例規管，如果涉及改變用途目的，需要取得客戶同意。

私隱專員公署

鍾麗玲在電台節目表示，在2023及2024年也做過兩次調查，發現使用AI的企業中，接近65%有採用數據安全防護措施，例如是加密程序或存取管控。她認為進步空間仍然很大。

鍾麗玲。資料圖片

公署調查又發現，超過55%企業已制定或計劃制定AI安全風險政策。鍾麗玲說今次發出指引是期望企業跟隨署方的清單，像「執藥」一樣，制定清晰的政策，了解甚麼資料可以輸入。

資料圖片

鍾麗玲又提到，暫時並不多企業就生成式AI資訊或圖像，加上標籤或水印，但其他司法管轄區包括外地及內地已有相關法規。

個人資料私隱專員公署早前介入三宗涉及個人資料保安的事故。

個人資料私隱專員公署(圖片來源:星島日報)

公署表示，一名曾任職保安服務公司的投訴人指，上司將一份載有投訴人身分證號碼的終止僱傭合約通知書，發送至有其他員工在內的即時通訊軟件工作群組。

私隱專員鍾麗玲。資料圖片

另一名曾任職酒店保安部門的投訴人指，主管將員工年度工作表現評核表存放在工作枱抽屜，但該工作枱為員工共用，主管亦未按指引鎖上抽屜。

第三宗事故則涉及一名社福機構行政職員錯誤將投訴人解僱紀錄文件的掃瞄本，儲存在部門的共用資料檔案。

私隱專員鍾麗玲表示，這三宗個案分別違反《私隱條例》的相關規定，已向三間機構發出執行通知或警告信，並呼籲僱主在保障員工個人資料方面訂定清晰政策。