---
name: ai-use-policy-draft
description: 起草一份简短、通俗的公司 AI 使用政策：可以使用的工具、绝不能粘贴进 AI 工具的数据、什么时候必须由人审核 AI 输出、什么时候要说明用了 AI、谁负责这份政策并审批新工具，并标出每一处需要法务审核的地方。适用于创始人、运营负责人或经理要一份 AI 政策、AI 使用规范、ChatGPT 使用规定、员工生成式 AI 使用指引或工作中使用 AI 的规则时。
---

# AI 使用政策草案

> 不构成法律意见。这是供律师审核前准备的初稿，不能代替律师审核。

大家真正会遵守的政策，篇幅在 2 页以内，回答 4 个问题：用哪些工具、哪些数据绝不能输入、什么时候由人检查输出、有问题找谁。英国国家网络安全中心（NCSC）建议不要把敏感信息输入公共 AI 工具，因为服务商能看到查询内容，并可能用来改进服务。所以政策的核心是一份简短、具体、带示例的数据分级清单，以及一份注明哪些工具签了企业条款的批准工具清单。

## 适用场景

- 公司或团队里有人在没有规则的情况下使用 ChatGPT、Claude、Gemini 或 Copilot。
- 准备在全公司推广某个 AI 工具之前。
- 客户或投资人问：“你们有 AI 政策吗？”
- 不适用于完整的 AI 治理或风险管理体系，也不适用于面向客户的 AI 产品条款：这些需要法务和安全专家。

## 需要准备

- 正在用或计划用的 AI 工具，以及每个工具是企业版还是个人账号。
- 公司处理哪些数据：客户数据、健康或财务数据、源代码、合同、员工数据。
- 限制数据使用的法规或客户合同。绝不要猜；不清楚就标注“[待确认：法务]”。
- 谁负责这份政策（具体到人），谁审批新工具。

## 步骤

1. **用 2 句话写明目的。** 鼓励使用，同时保护数据和客户。写明适用于所有员工和外包人员，不论使用什么设备，只要是工作任务都适用。
2. **列出批准的工具。** 写明工具、套餐、批准的用途，以及在公司账号的设置下输入的数据是否会被用于训练 [待确认：各工具的服务商条款]。未列出的工具一律不得用于公司数据。写明如何申请新工具。
3. **定义数据分级并举例。** 这个技能的默认做法是分 3 级。绝不能输入：密码和密钥、客户或员工的个人信息、健康或金融账户数据、未公布的财务数据、合同和法律事务、客户合同限制的任何内容。仅限批准工具：内部文件、未公开的计划、源代码 [待确认：法务和安全]。任何工具都可以：公开信息，以及不含机密内容的自己写的文字。每一级从这家公司的实际工作中举 2 到 3 个例子。
4. **规定审核规则。** AI 输出在以下情况使用前必须由人检查：发到公司外部、公开发布、用于针对某个人的决定（招聘、绩效、薪酬），或用于法律、财务、医疗、安全事务。谁使用，谁负责。事实、数字、引语和引用来源都要对照原始出处核实。
5. **规定披露规则。** 什么时候要告诉客户或读者用了 AI：这个技能的默认做法是，聊天机器人和自动回复要说明自己是自动的；主要由 AI 生成的内容，在客户合同、平台规则或法律有要求时予以说明 [待确认：各市场的法务要求]。如果会造成误导，不要把 AI 输出说成某个具名员工的个人作品。
6. **指定负责人和更新周期。** 写明政策负责人（具体到人）、谁审批工具、出错或数据泄露时向谁报告、多快报告，以及复审日期。这个技能的默认做法是每 6 个月复审一次，因为工具和条款都在变。
7. **标出需要法务审核的点。** 凡是取决于法律、合同或服务商条款的点，都标注“[待确认：法务]”：数据保护、行业规定、客户合同条款、输出内容的知识产权归属、员工监控，以及披露要求。

## 输出格式

```markdown
# [公司] AI 使用政策
*供法务审核的草案，不构成法律意见。第 [n] 版，[日期]。负责人：[姓名]。*

## 为什么有这份政策
[2 句话]

## 批准的工具
| 工具 | 套餐 | 批准用途 | 数据会被用于训练吗？ |
|---|---|---|---|
| [工具] | [商业版 / 企业版] | [用途] | [否 / 待确认：服务商条款] |
未列出的工具：不得用于公司数据。申请新工具：[方式]。

## 可以输入什么
| 绝不能输入 | 仅限批准工具 | 任何工具都可以 |
|---|---|---|
| [示例] | [示例] | [示例] |

## 使用前先检查
- [审核规则]

## 告知对方用了 AI
- [披露规则]

## 出了问题怎么办
在 [时间] 内报告给 [人 / 渠道]：[报告内容]。

## 负责人
- 政策负责人：[姓名] · 工具审批：[姓名] · 下次复审：[日期]

## 需要法务审核的点
- [ ] [要点] [待确认：法务]
```

## 示例

**输入：** “给明澜健康数据写一份政策，公司 40 人。我们为诊所处理匿名化的患者数据，也有一部分可识别身份的患者数据。团队在用 ChatGPT（有些是个人账号），我们正在采购 Claude Team。工程师用 GitHub Copilot Business。负责人：何宇（COO）。”

**输出：**

```markdown
# 明澜健康数据 AI 使用政策
*供法务审核的草案，不构成法律意见。第 0.1 版，11月4日。负责人：何宇。*

## 为什么有这份政策
我们希望每个人都用 AI 提高效率。同时我们为诊所处理患者数据，所以由这些规则决定哪些工具、哪些数据可以用。

## 批准的工具
| 工具 | 套餐 | 批准用途 | 数据会被用于训练吗？ |
|---|---|---|---|
| Claude | Team | 写作、分析内部文件 | [待确认：服务商条款和管理员设置] |
| GitHub Copilot | Business | 公司代码仓库中的代码 | [待确认：服务商条款] |
| ChatGPT | 个人账号 | 在企业版获批前，仅限公开信息 | [待确认] |
未列出的工具：不得用于公司数据。申请新工具：#it-requests，由何宇审批。

## 可以输入什么
| 绝不能输入 | 仅限批准工具 | 任何工具都可以 |
|---|---|---|
| 患者数据，即使你认为已经匿名化；诊所合同；密码和 API 密钥；员工人事档案 | 内部文件、产品路线图、与患者数据无关的代码 | 公开研究资料、你自己写的草稿措辞 |

## 使用前先检查
- 任何 AI 输出在发给诊所、公开发布或用于针对员工的决定之前，都要由人检查。
- 每个数字、引用来源和临床表述都要对照出处核实。
- AI 生成的内容一律不得用作临床建议。

## 告知对方用了 AI
- 发给诊所的自动回复都要说明是自动回复。
- 其他披露按诊所合同执行 [待确认：法务]。

## 出了问题怎么办
在 1 小时内报告给何宇或 #security：输入了什么、用的哪个工具、什么时间。

## 负责人
- 政策负责人：何宇 · 工具审批：何宇与安全负责人 · 下次复审：5月

## 需要法务审核的点
- [ ] 每个服务市场的健康数据规定 [待确认：法务]
- [ ] 诊所合同中关于分包处理方和 AI 的条款 [待确认：法务]
- [ ] “匿名化”数据是否达到法律标准 [待确认：法务]
- [ ] 每个批准工具的服务商数据使用条款 [待确认：法务和安全]
```

## 发送前检查

- [ ] 技能输出和政策草案的开头都有法律免责声明。
- [ ] 每个“绝不能输入”的数据级别都有这家公司的具体例子。
- [ ] 每个批准工具都写明了套餐；除非明确决定，个人账号不得用于公司数据。
- [ ] 审核规则涵盖对外使用、针对个人的决定，以及法律、财务、医疗、安全事务。
- [ ] 凡涉及法律、法规或服务商条款的内容，都没有当作事实陈述，而是标注了“[待确认：……]”。
- [ ] 政策写明了具体负责人和复审日期。

## 常见错误

- 一刀切禁止 AI。大家照样会用个人账号，而那里的数据你既看不到也管不了。
- 只写“不要输入敏感数据”，不举例子。大家不知道哪些算敏感数据。
- 照搬别家公司的政策，不核实自己适用哪些法律和合同。