什麼是影子 AI 治理？行銷團隊的一頁式政策該寫什麼？

影子 AI 是在工作中使用 AI 工具，但組織並不知情或未經核准。影子 AI 治理則是一套把這種使用攤在檯面上的規則與檢查。對行銷團隊而言，一頁式政策就足以起步：核准工具、資料等級、人工審查、記錄，以及事件通報管道。

重點摘要

• 影子 AI 是人們想加快工作速度的正常行為；只靠禁令的政策，往往只會讓它轉入地下。
• 主要風險包括資料外洩、未經查證的說法、版權與品牌聲調偏離，以及未記錄的承諾。
• 好的政策一頁就能寫完，並回答五個問題：用哪些工具、處理哪些資料、由誰審查、記錄什麼，以及出事時該怎麼做。
• 政策要搭配一份真正夠好用的核准工具清單。
• 每季審視這一頁；工具與規則變化很快。

什麼是影子 AI？

指員工在工作中使用，卻沒有經過資訊部門、法務或行銷主管審查的任何 AI 工具、外掛、瀏覽器擴充功能或代理。文案撰稿人把客戶簡報貼進免費聊天機器人是典型例子。自由工作者使用合約沒有提到的圖像生成工具，也是。

原因通常不是惡意。人們會採用對自己有幫助的工具。同樣的壓力也造成了 AI 工具氾濫，這不只是風險問題，也是成本問題。

為什麼影子 AI 對行銷很重要？

行銷部門處理客戶資料、未公開的計畫、客戶機密資料與對外宣稱。每一項都可能因為未經核准的 AI 而出問題。

• 資料外洩。將機密或個人資料輸入條款允許其保存或用於訓練的工具。
• 不實說法。模型會捏造統計數字、引言與價格。請參閱行銷中的 AI 幻覺。
• 權利與揭露。生成素材的所有權不明，以及在規則要求時未做揭露。
• 品牌偏離。許多人用不同方式下提示詞，產出的內容聽起來不像任何人。
• 隱藏的承諾。代理在沒有紀錄的情況下回覆客戶或發佈內容。我們的文章影子帳本談到了這一點。

有沒有公認的框架可以參考？

有。美國國家標準與技術研究院（NIST）於 2023 年 1 月 26 日發布了 AI 風險管理框架，作為自願性參考資源。NIST 也在 2024 年 7 月 26 日發布了生成式 AI 附錄（NIST-AI-600-1），協助組織識別生成式 AI 特有的風險。該框架是為打造或部署 AI 的組織而寫，所以行銷團隊應借用其理念，也就是治理、盤點、衡量與管理，而不是整套採用。NIST 的頁面註明該框架正在修訂中，請查看目前的版本。

你的法務、資安或資料保護負責人，可能也需要套用當地規定。本文不構成法律意見。

一頁式政策該寫什麼？

使用以下六個段落。每段只寫幾行。

1. 目的與範圍。適用對象：為你的品牌工作的員工、自由工作者與代理商。
2. 核准工具。一份列名清單，附上負責人與申請新工具的管道。不在清單上的任何工具，都必須先經核准。
3. 資料等級。說明哪些資料可以放進哪些工具。
   • 公開（已發佈內容）：可用於核准的工具。
   • 內部（計畫、草稿）：僅限具備商業條款的核准工具。
   • 機密（客戶資料、未公開的上市計畫、合約）：僅限已核准處理此類資料的工具。
   • 個人資料（客戶姓名、電子郵件、受眾名單）：除非隱私部門已簽核，否則不得放進 AI 工具。
4. 人工審查。在任何內容發佈前，由指定人員檢查事實、數字、引言、宣稱、品牌聲調與法律用語。請使用我們的 AI 內容品質檢查清單。
5. 記錄。對已發佈的 AI 輔助作品，記錄所用工具、日期、用途與審查者。能自行採取行動的代理，需要稽核軌跡與核准關卡。
6. 事件處理。如果敏感資料被貼進未經核准的工具，或不實說法已上線：在規定時間內通知指定聯絡人、不要刪除證據，並且及早通報不會被究責。

如何讓現有的影子使用浮上檯面？

1. 先詢問。進行簡短、不究責的調查：你用哪些 AI 工具，做什麼用途？
2. 將答案分類為核准、替換與停止。
3. 為每項常見任務提供好用的核准選項，否則清單會被忽略。
4. 簡短訓練。用一小時說明政策與如何檢查 AI 產出。請參閱如何訓練初階行銷人員使用 AI。
5. 每季審視並更新工具清單。

FAQ

來源

• NIST，AI Risk Management Framework。
• SOMIN 文章：影子帳本與行銷中的 AI 幻覺。