2026年6月9日 · 8 min read
中小企 AI 治理指南：开 AI 客服前要定的 8 项政策
只得 28.6% 用 AI 的中小企有员工指南，23.6% 有培训。分开「成功部署」与「一镬泡」的 8 项治理框架——附香港 PDPO、PCPD 与数码政策办公室指引。
治理不是大公司先做的事情
「治理」听起来好似要有合规部门的大企业先讲。对中小企来说，其实更简单、更迫切：它就是「AI 可靠运作」与「AI 整一堆手尾要你执」之间的分界线。
OECD 2025 年中小企调查揭示了一个治理差距：在已经用生成式 AI 的中小企当中，只得 28.6% 整了员工指南、只得 23.6% 有员工培训、只得 35.6% 研究过版权与法律问题。大多数是在没有规则的情况下正在使用 AI——而 McKinsey 研究显示，这里正正是大部分「AI 表现不好」投诉的源头。
本文给齐每间中小企开 AI 客服前应该处理的八个治理领域，每个都可以用一页纸写完。
8 个治理领域
- 批准与禁止的用途。 AI 可以做什么、永远不可以做什么。例如：AI 可以答产品问题、收联络、做预约；但永远不可以处理退款、给医疗意见、或在公开价单以外承诺价钱。写到明明白白——模糊的地方就是出错的地方。
- 数据处理规则。 哪些数据可以入哪个系统。客户姓名、电话可以经 AI chat 收；信用卡号码、身份证明文件、健康资讯就永远不可以入 AI 系统。付款资料只应经安全付款连结收。
- AI 披露标准。 什么时候要话给客知它在与 AI 对话。最佳做法：每次对话一开始就披露。SurveyMonkey 2026 年数据显示 14% 消费者会在没有披露时失去信任。披露要简短自信，不要似道歉。
- 人手审查门槛。 哪些输出要人手批准先出。例如：任何涉及标准价单以外的报价、任何送货时间承诺、任何保养条款声明——即是出错有财务或声誉后果那些话题。
- 转交触发条件。 什么时候必须转真人。例如：讯息含「投诉」「退款」「经理」或者表达不满；AI 两次理解不到查询；客明确要找人。
- 工具权限。 AI 可以读或写哪些业务系统。例如：AI 可以读知识库与产品目录、可以写客户资料入 CRM，但不可以存取财务纪录、员工数据或内部通讯。
- 日志同事件报告。 错误、幻觉、数据外泄点记录与处理。维持一个简单事件日志：日期、发生了什么、影响了什么、点纠正。每月看一次。
- 培训与问责。 哪个拥有呢份政策、员工点培训、点审查合规。指派一个人（就算两个人团队都要有人孭）做 AI 负责人，做一节 20 分钟培训，每年或有大改动时 refresh。
为什么中小企更加要治理？
McKinsey 2025 年 state-of-AI 研究指出，人手验证、回馈循环、采用路线图、KPI 追踪与客户信任实务，是与「AI 创造价值」最强相关的几项。讲白些：开 AI 之前就定好规则的生意，比「先开了先算、出事先补规矩」的生意获得更多价值。
McKinsey 还发现，CEO 亲自监督 AI 治理，是与盈利影响最相关的特质之一。对中小企来说，「CEO」往往就是老板本人——也就是说治理不需要一个委员会，只需要老板做八个明确决定，再写下来。
香港与周边的监管环境
香港：以指引为主，不是立法为主。 香港暂时没有专门 AI 法例，但《个人资料（私隐）条例》（PDPO）适用于任何处理个人资料的业务，包括 AI 客服。
- 数码政策办公室 2026 年指引 实务这么处理生成式 AI 风险——数据外泄、模型偏见、错误。
- PCPD（私隐专员公署）2024 年「AI 个人资料保障框架」与 2025 年清单 直接帮到你在 PDPO 之下建立员工 AI 使用政策。
预期不是「等多条新 AI 法」，而是「用有文件纪录的控制负责任咁用 AI」。
欧盟 AI 法案（全球参考）： 已生效，分阶段适用——禁止用途与 AI 素养义务自 2025 年 2 月起，治理与通用 AI 义务自 2025 年 8 月起，全面适用日期是 2026 年 8 月。服务欧盟客户的中小企，无论公司几细，合规都不再可选。
品质保证实务
治理没有审查，就等于有政策没有执行。对中小企，QA 应包括：
- 每周对话抽样。 每周读 10–15 个 AI 对话，检查准确度、语气与转交是否恰当。
- 转交审计。 转交的对话处理得好不要？人手有没有收够背景？客是否需要重复资料？
- 幻觉标记。 标记任何不在知识库的回复，更新知识库补返个窿。
- 每月红队测试。 每月一次，故意问刁钻问题——定价边缘、政策例外、敏感话题——验证 AI 答得恰当。
Comm100 2026 基准显示 AI 转人手的满意度达 92.6%——转交质素本身就是一项可量度的功能，亦是竞争优势。
一页治理范本（即抄即用）
毋须由白纸开始。以下是一间香港中小企可以直接改的一页范本骨架：
| 领域 | 一句话写法（例子） |
|---|---|
| 批准用途 | AI 可答产品、价钱、营业时间、做预约、收联络 |
| 禁止用途 | AI 不可承诺折扣、处理退款、给医疗／法律意见 |
| 数据规则 | 只收姓名与电话；信用卡、身份证、健康资料一律不入 AI |
| 披露 | 每次对话开头表明是 AI 助理 |
| 转交触发 | 含「投诉／退款／经理」或 AI 两次答不到即转人手 |
| 工具权限 | AI 可读知识库、写客户资料入后台；不掂财务与员工数据 |
| 事件日志 | 一个 Google 表：日期／事件／影响／纠正 |
| 负责人 | [姓名] 每周审查 15 分钟，每年 refresh 政策 |
填好呢八格，你就有一份比大部分中小企更完整的治理政策——而成件事毋须一个钟。
常见问题
写一份 AI 治理政策要多久？
对中小企，1–2 个钟。八个领域每个几粒 bullet 就够，毋须一大堆法律文字。目标是清晰，不是巨细无遗。一页员工真是会读的政策，胜过一份 20 页没有人开的文件。
要不要找律师整 AI 治理？
对多数中小企，毋须。上面八个领域都是老板做得到的营运决定。但如果你做受规管行业（医疗、金融、法律）或者服务欧盟客户，就要找专业人士看返具体合规要求。
我已经在没有治理下正在使用 AI 点算？
现在就整份政策，今个礼拜培训团队。没有治理的 AI，风险不是「一定会出事」，而是「出事那阵你没有任何框架去识别、纠正或防止再发生」。想再看客户数据私隐如何处理，可以参考 中小企客户数据私隐与 AI。
香港法律要求 AI 治理吗？
暂时没有专门 AI 立法，但 PDPO 适用于任何处理个人资料的业务，包括 AI 客服。PCPD 2024 年框架与 2025 年清单提供实用指引，香港企业应该跟。想知治理差距点拖冧整个 AI 项目，可以看 为什么大部分 AI 项目失败。
资料来源：
- OECD「Generative AI and the SME Workforce」（2025）
- McKinsey State of AI（2025、2026）
- PCPD「AI 个人资料保障框架」（2024）
- 数码政策办公室生成式 AI 指引（2026）
- 欧盟 AI 法案、Comm100 2026 Live Chat 基准