公司的 AI 使用规定通常怎么写？员工须知模板

公司的 AI 使用规定通常围绕四个问题展开：谁能用、用在哪些场景、哪些数据不能碰、出了问题谁负责。这四个答案写清楚了，制度就能落地；写不清，规定就会变成贴在墙上的摆设。这篇按真实企业的常见写法拆解条款结构，并给出一份员工须知的模板骨架，供起草时对照使用。

规定通常覆盖哪些条款

一份完整的制度文件，常见条款按顺序排布：目的与适用范围，说明规范谁、管什么工具；工具清单，列出公司认可或已采购的 AI 服务，未列明的新工具需走审批；使用场景，明确鼓励与限制的边界；数据处理规则，划定什么信息禁止输入外部服务；标注要求，对外发布的 AI 生成内容需按平台规则履行 AI 生成内容标识义务；违规处理，对应提醒、通报、追责的梯度。条款数量不必多，关键是每条都能执行、能检查。

允许与禁止的边界划分

边界划分的原则是按数据敏感度划线，而不是按工种一刀切。通常允许的场景：整理会议纪要、润色对外文案初稿、辅助编写常规代码、生成培训材料框架。通常禁止的场景：把客户名单、合同文本、未公开财务数据、员工个人信息输入公共 AI 服务；让 AI 直接生成后不经审核就签署的合同条款；用 AI 批量伪造业务记录。中间地带建议设「需审批」档：例如市场部想把投放数据交给 AI 做分析，先脱敏、再报部门负责人确认。三档结构比两档好用，员工遇到新情况知道该往哪走。

数据与客户信息的处理要求

数据条款是整套规定里最硬的部分，常见写法包括：分级标准，区分公开、内部、机密三级，机密级禁止输入任何外部 AI 服务；脱敏要求，内部级数据确需使用时，先替换姓名、证件号、账号等直接标识；工具约束，涉及代码的团队优先使用企业版或私有化部署方案，避免代码片段进入公共模型；留存说明，写明对话记录是否被服务商用于训练，以所选服务的官方协议为准。这一节建议附一张速查表，员工不必通读全文就能判断手里的数据属于哪一级。

员工须知模板的骨架

给制度起草者一份可直接改编的骨架：一、为什么有这份规定（一两句即可）；二、适用对象与工具范围；三、可以用 AI 做的事（列举五到八项）；四、禁止行为（列举后附违规后果）；五、数据分级速查表；六、AI 参与内容的标注要求；七、新工具申请流程与联系人；八、违规处理的梯度与申诉渠道。模板的价值在于结构而非措辞，各公司按行业监管要求增删即可，例如金融、医疗行业的机构还需叠加本行业的客户信息保护规则。

制度落地与更新节奏

写完只是开始，落地有三步。先培训：用真实案例讲清红线，比让员工通读文件有效得多；再试点：选一两个部门跑一个月，收集「规定里没覆盖到」的实际场景，补进条款；后纳入流程：把 AI 使用确认嵌进入职培训、外发审核等既有环节，避免制度悬空。更新节奏建议按季度：AI 工具的能力与服务条款变化很快，每季度把工具清单、数据条款核对一遍，过期的及时替换。规定活得久靠的是持续修订，而不是一次写到位。

延伸阅读：员工用 AI 泄密怎么防、代码能直接贴给 AI 吗、员工对话能用来训练吗。

制度落地的五个动作

• 用真实案例培训，别只发文件
• 选一两个部门试点一个月
• 把使用确认嵌进入职与外发审核
• 每季度核对工具清单与数据条款
• 新工具先走审批再进清单

最容易省掉的是试点这一步，没跑过一个月，条款里缺什么根本看不出来。

关于企业 AI 制度的三个追问

• 用 AI 写的东西出了错谁负责？：通行原则是「谁署名谁负责」。AI 只是工具，员工对经手产出的准确性负最终责任，审核义务不因使用了 AI 而免除，制度里应把这句话写成明文。
• 员工用私人账号办公算违规吗？：多数公司的规定将其列为禁止项，因为私人账号脱离企业管理，对话数据去向无从核查。正确路径是申请公司认可的工具，而不是图方便用私人通道。
• 公司还没出规定，员工现在能用 AI 吗？：制度空白期的稳妥做法是只做不涉密、可公开的低风险任务，并把使用情况留痕，等规定出台后按新规校正，避免留下隐患。