檢查結果：AI 已成為日常營運的一部分
私隱專員公署（PCPD）於 2026 年 5 月 19 日公布最新一輪 AI 合規檢查結果。公署於 2026 年 1 月展開這輪檢查，涵蓋 60 間機構，行業包括銀行及金融、教育、保險、醫療、零售、電訊及運輸等；今輪亦首次擴大至會計、飲食、創新科技、物流及物業管理。公署同時檢視這些機構有否落實《人工智能：個人資料保障模範框架》及《僱員使用生成式 AI 指引清單》的建議。
結果顯示，57 間機構（95%）在日常營運中使用 AI，較 2025 年的檢查上升 15 個百分點；其中 45 間（約 79%）已使用 AI 超過一年，29 間（約 51%）同時使用三個或以上 AI 系統。主要用途包括行政支援、客戶服務、研發、市場推廣，以及合規及風險管理。公署並表示，檢查期間未發現任何違反《個人資料（私隱）條例》的情況。
要留意的是，這批樣本有其特點：60 間機構中有 30 間（50%）僱員超過 500 人，另有 8 間（約 13%）僱員介乎 100 至 500 人。因此，這些數字反映的是受查機構的情況，不宜直接當作全港中小企的平均水平。
數字背後：做得好的地方與仍有的缺口
57 間使用 AI 的機構中，有 24 間（約 42%）透過 AI 系統收集及／或使用個人資料。這 24 間機構在基本功上表現不俗：全部在收集資料時或之前提供「收集個人資料聲明」，全部實施適當的保安措施及進行風險評估；23 間（約 96%）在 AI 系統上線前先作測試，19 間（約 79%）作私隱影響評估，並採用「人在環中」（human-in-the-loop）的人類監督方式；20 間（約 83%）為員工提供 AI 相關培訓。
但同一批數字亦揭示幾個缺口，以下均以這 24 間機構為基數：
只有 7 間（約 29%）在收集個人資料聲明中說明會使用 AI 工具處理個人資料。
只有 5 間（約 21%）設有 AI 相關的保安警示並進行紅隊演練。
22 間（約 92%）制訂了資料外洩應變計劃，但只有 9 間（約 41%）特別涵蓋 AI 相關事故。
12 間（50%）已制訂 AI 相關政策，較 2025 年減少約 13 個百分點；另有 10 間（約 42%）計劃制訂。
13 間（約 54%）曾在董事會層面討論 AI 系統的使用，較 2025 年減少約 25 個百分點。
AIPPA 的觀察是：AI 的使用速度，正快於政策文件、事故準備及管理層關注的更新速度。當 AI 由個別試驗變成日常工具，這些「管理層面」的缺口會比技術本身更容易成為風險來源。
代理式 AI：公署特別提醒要「最低權限」
公署今次的建議特別提到代理式 AI（agentic AI），即能夠按目標自行採取多個步驟、操作軟件或存取資料的 AI。公署指出，機構使用代理式 AI 收集、使用及處理個人資料時，應審慎考慮所涉資料的性質及敏感程度，只授予完成有關任務所需的最低存取權限。
公署亦建議機構從官方渠道下載最新版本的代理式 AI，在安裝及使用外掛程式（Plugins）或技能（Skills）時格外謹慎，採取足夠的系統及資料保安措施，並持續評估當中的風險。對企業而言，這意味著「試用一個新 AI 工具」不應只是員工自行安裝，而要像引入新軟件一樣，先問清楚它能讀取哪些檔案、郵件或帳戶，以及出錯時如何停止及追查。
企業可立即落實的六項行動
公署在檢查後向所有開發或使用 AI 的機構提出多項建議。以下結合公署建議與 AIPPA 的實務角度，整理成企業可逐步落實的清單：
建立策略、架構和培訓。制訂整體 AI 策略，設立內部 AI 管治架構（例如委員會或指定負責人），為相關員工提供足夠培訓，並預備 AI 事故應變計劃。
為員工使用 AI 訂立政策。涵蓋生成式 AI 及 AI 代理，列明容許用途、個人資料保障、資料保安及違規後果，並定期檢討更新。
按風險做評估和監督。進行包括私隱影響評估在內的全面風險評估；風險愈高的系統，人類監督的程度應愈高。
定期審計。對 AI 系統進行內部審計，有需要時作獨立評估，確認系統安全及使用方式持續符合機構的政策。
更新對外披露。檢視收集個人資料聲明及私隱政策，說明 AI 在處理個人資料中扮演的角色，這亦是上述數字中較少機構做到的一環。
與持份者溝通。保持有效溝通以提高 AI 使用的透明度，並按客戶、員工等的意見適時調整系統。
AIPPA 的結論
這輪檢查傳達兩個訊息：第一，AI 已經是香港多個行業的日常工具；第二，監管機構關注的重點正由「有沒有用 AI」轉向「有沒有管好 AI」。對企業而言，現階段最務實的做法，是先盤點自己用了哪些 AI、處理哪些個人資料，再補上政策、事故應變和對外披露。本文是根據公署公開資料所作的整理分析，不構成法律意見；受監管行業應向相關監管機構及專業顧問確認具體要求。