很多公司还在讨论“要不要让员工用 AI”的时候，员工其实已经在用了：用它写周报、改邮件、翻译合同、整理会议纪要。问题从来不是“要不要用”，而是怎么用才不出事：客户资料会不会被传到外面？AI 写错了谁负责？发到网上的内容要不要标注？
这篇文章给出一份可以直接改用的员工 AI 使用规范（一页纸版），并解释每一条为什么这样写。它适合几十人到几百人的企业，不需要法务团队也能落地。文末附常见问题。
说明：本文是管理实践建议，不构成法律意见。涉及具体合规问题，请以最新法规原文和专业律师意见为准。
为什么是一页纸，而不是一本手册
制度写得越长，越没人看。员工真正需要知道的只有四件事：什么能放进去、用哪些工具、结果谁负责、拿不准问谁。把这四件事写清楚，打印出来贴在工位旁边，比一份三十页的《人工智能管理办法》管用得多。
一页纸规范还有一个好处：它容易更新。AI 工具几个月就换一代，规范也应该每季度看一次，而不是写完就锁进文件柜。
第一件事：哪些资料能放进 AI
这是整份规范里最重要的一条。建议把公司资料分成三类，用员工一看就懂的例子来说明，而不是只写“敏感信息”四个字：
| 类别 | 举例 | 规则 |
|---|---|---|
| 可以直接用 | 已公开的产品介绍、官网文案、公开的行业资料、不含具体信息的写作和翻译 | 可以使用公司批准的任意工具 |
| 脱敏后再用 | 内部流程文档、会议纪要、一般业务邮件、不含客户名称的数据分析 | 删去客户名称、金额、人名、联系方式后再使用；或只使用公司内部部署的工具 |
| 禁止放入外部工具 | 客户资料与报价单、合同原文、图纸与配方、财务数据、员工档案与薪资、身份证和手机号等个人信息 | 只能使用公司内部部署、并经批准的工具处理 |
“举例”这一列决定了规范能不能执行。员工不会去判断什么叫“商业秘密”，但他知道“报价单”是什么。
第二件事：用哪些工具
与其列一长串禁用名单，不如给一份白名单：公司批准使用的工具有哪些，分别适合做什么。白名单之外的工具，想用先问。
- 用公司账号，不用个人账号。这样离职时能收回，出了问题也能追溯。
- 看清服务条款里的数据使用说明。重点看输入的内容会不会被用于训练模型、保存多久、能否关闭。由 IT 或负责人统一确认，而不是让每个员工自己看。
- 国内业务优先选用已完成备案的大模型服务。需要处理敏感资料的场景，可以考虑在公司内部部署开源模型，资料不出公司网络。
第三件事：AI 写的东西，谁负责
答案只有一个：使用的人负责。AI 是助手，不是责任人。这一条要写得非常直白，因为大模型会一本正经地写错数字、编造出处、引用不存在的条款。
- 对外发出的内容（邮件、报价、合同、宣传材料），发出前必须由本人核对事实、数字和承诺。
- 涉及金额、法律条款、技术参数的内容，必须回到原始资料核对，不能只看 AI 的总结。
- 在公开平台发布 AI 生成的图片、视频、文章时，按平台要求主动声明并使用标识功能。
相关法规：知道这几份就够了
中小企业不需要通读所有法规，但规范里的几条底线，背后都有依据：
- 《生成式人工智能服务管理暂行办法》（2023 年 8 月 15 日起施行）。它主要规范向境内公众提供生成式 AI 服务的提供者；企业内部研发、应用、未向公众提供服务的，不适用该办法。但第四条对“提供和使用”双方都提出了要求，包括尊重知识产权和商业道德、保守商业秘密、不侵害他人的隐私权和个人信息权益。
- 《人工智能生成合成内容标识办法》（2025 年 9 月 1 日起施行）。其中第十条要求，用户通过网络信息内容传播服务发布生成合成内容的，应当主动声明并使用平台提供的标识功能进行标识；任何组织和个人不得恶意删除、篡改、伪造、隐匿标识。
- 《个人信息保护法》。把客户或员工的个人信息交给第三方工具处理，本身就是一种个人信息处理行为，这也是“个人信息禁止放入外部工具”这一条的主要原因。
原文可在中国政府网查阅：《生成式人工智能服务管理暂行办法》、《人工智能生成合成内容标识办法》。
一页纸模板：可以直接改用
把方括号里的内容换成你们自己的，就是一份可以发出去的规范：
[公司名称] 员工 AI 使用规范（第 1 版，[日期]）
我们鼓励大家用 AI 提高效率。为了保护客户、公司和你自己，请遵守以下几条：
1. 可以用的工具：[工具 A]（写作、翻译、总结）、[工具 B]（内部资料问答）。其他工具使用前请先问 [负责人]。请使用公司账号。
2. 不能放进外部 AI 工具的资料：客户资料和报价单、合同原文、图纸和配方、财务数据、员工档案和薪资、身份证号和手机号等个人信息。需要用 AI 处理这些资料时，请使用 [内部工具]。
3. 脱敏后可以用的资料：内部流程、会议纪要、一般业务邮件。使用前删去客户名称、金额、人名和联系方式。
4. 结果由你负责：AI 会出错。对外发出的内容，发出前请核对事实、数字和承诺；涉及金额、条款、参数的，请回到原始资料核对。
5. 公开发布要标注：在公开平台发布 AI 生成的图片、视频和文章，请按平台要求声明并标识。
6. 拿不准就问：不确定能不能用、怎么用，请联系 [负责人 / 渠道]。问一句，永远比事后补救便宜。
本规范每季度更新一次。
怎样让规范真的被执行
- 配一次短培训。不讲原理，只讲例子：这份资料能不能放？这句话要不要核对？二十分钟，比发一封邮件有效得多。
- 先给好工具，再立规矩。如果员工没有好用又安全的工具，禁令只会把使用推向“地下”。规范和工具最好一起发。
- 指定一个负责人。员工有问题知道找谁，工具更新时有人跟进。
- 收集真实问题，季度更新。员工问得最多的问题，就是下一版规范要补充的内容。
如果你们还没有内部可用的 AI 工具，可以先看看企业知识库问答这类方案：资料留在公司内部，员工提问时答案附带出处。也可以先做一个 3 分钟的 AI 成熟度自测，看看你们现在走到了哪一步。
常见问题
小公司也需要写 AI 使用规范吗？
需要，而且越早越好。规模越小，一次客户资料泄露的代价相对越大。一页纸的规范只需要半天就能写完，比事后补救便宜得多。
直接禁止员工使用 AI，是不是最安全？
通常不是。禁止往往只会让员工改用个人账号和手机，反而更难管理。更稳妥的做法是提供安全、好用的工具，再用规范划清边界。
员工用个人账号的 AI 工具处理工作，有什么风险？
主要有三点：公司无法掌握哪些资料被输入过；员工离职后对话记录仍留在个人账号里；个人版工具的数据使用条款可能与企业版不同。所以规范里建议统一使用公司账号。
规范写好之后，还需要培训吗？
需要。规范告诉员工“不能做什么”，培训教会员工“怎么用好”。两者配合，员工才会既敢用、又用得对。我们提供面向不同岗位的员工 AI 培训，可以把这份规范一起讲透。