私隱專員公署完成審查60間機構　無發現使用AI時違規情況

私隱專員公署於今年1月展開新一輪循規審查，以了解人工智能在香港的最新應用情況，以及其對個人資料私隱所帶來的影響，從而進一步推動人工智能治理及安全發展，今日(19日)發表審查結果，無發現有違反《私隱條例》相關規定的情況。

是次審查涵蓋60間機構，新增會計、餐飲、創新及科技、物流及物業管理行業，以更全面了解不同界別在使用人工智能系統時，在收集、使用及處理個人資料方面是否符合《私隱條例》的相關規定。是次審查亦檢視機構就私隱專員公署發布的《模範框架》，以及《指引清單》所提出的建議及最佳行事常規的落實情況，並評估其整體人工智能管治表現。

人工智能最新應用情況

根據審查結果，在60間受審查的機構中，57間機構在日常營運中使用人工智能，較去年上升15個百分點，反映人工智能的應用日趨普及；當中45間機構使用人工智能已超過一年，顯示人工智能正逐步成為業務營運的重要組成部分；及在該57間機構當中，29間機構使用3個或以上的人工智能系統，主要應用於行政支援、客戶服務、研發、市場營銷，以及合規或風險管理等領域。

收集、使用及處理個人資料的情況

在該57間機構當中，24間機構會透過人工智能系統收集及／或使用個人資料；所有透過人工智能系統收集及／或使用個人資料的機構，均在收集個人資料之時或之前向資料當事人提供「收集個人資料聲明」。其中7間機構的「收集個人資料聲明」更列明使用人工智能工具處理個人資料；所有透過人工智能系統收集及／或使用個人資料的機構，有7間機構會保留在人工智能系統中所收集的個人資料，而這些機構均已訂明個人資料的保留期限，並在達致原有收集目的後刪除個人資料；其餘機構則不會保留相關資料。

所有透過人工智能系統收集及／或使用個人資料的機構，均已採取相應的保安措施，以確保所持有的個人資料在使用人工智能系統期間受到保障，其中有5間機構更設有人工智能相關的安全警報及進行紅隊演練；及在該24間機構中，有15間機構在透過人工智能系統收集、使用及處理個人資料時曾參考私隱專員公署就人工智能發布的指引或意見，另有7間機構計劃參考相關指引。

人工智能系統的實施與管理

在該24間機構中，23間機構在實施人工智能系統前會進行測試，以確保其可靠性、穩健性及公平性；19間機構在採用人工智能系統前有進行私隱影響評估；在該24間機構中，19間機構採取「人在環中」的人為監督方式，在決策過程中保留控制權，以防止或緩減人工智能系統出錯或作出不當決定；所有曾參考私隱專員公署出版的《模範框架》的機構，均採取「人在環中」的人為監督方式。

在該24間機構中，22間機構已制定資料外洩事故應變計劃應對突發事故，其中9間機構的應變計劃更涵蓋專門針對人工智能相關的資料外洩事故；及其中15間機構有定期進行內部審核及／或獨立評估。另有6間機構計劃定期進行內部審核及／或獨立評估，以確保人工智能的使用符合機構的人工智能策略及／或政策。

人工智能策略與管治

在該24間機構中，19間機構已設立人工智能管治架構，例如成立人工智能管治委員會及／或指派專人負責監督人工智能系統的使用；所有透過人工智能系統收集及／或使用個人資料的機構均容許僱員在工作期間使用生成式人工智能，其中17間機構已制定生成式人工智能政策或指引，以協助僱員正確使用生成式人工智能，另外5間機構則計劃制定相關內部政策或指引；另外，其中20間機構有為僱員提供人工智能相關培訓，當中18間機構的培訓更涵蓋與人工智能相關的私隱風險內容。