什么是 AI 可接受使用政策？
AI 可接受使用政策，常简称为 AI AUP，规定了为公司使用 AI 工具时应遵守的具体行为要求。它的范围比完整的 AI 政策更窄。它不解释由谁批准供应商，也不说明如何审核登记表；它告诉员工，在打开工具的那一刻，哪些事可以做，哪些事不能做。
许多公司已有涵盖电子邮件、设备和互联网的 IT 可接受使用政策。AI 可接受使用政策可以是该文档中的一个新章节，也可以是链接到该文档的独立页面。重要的是用具体任务和示例来说明，而不是泛泛而谈。“负责任地使用 AI”无法帮助任何人做判断；“不得将客户合同粘贴到任何 AI 工具中”则可以。
本页仅提供一般信息，不构成法律建议。请让合格的专业顾问审核您采用的版本，尤其是在您处理个人数据或受客户保密条款约束的情况下。
如何决定允许哪些 AI 用途？
根据信息内容和出错后果，将用途分为三级：允许、经批准后允许、禁止。用途的风险不在于使用了 AI，而在于输入了什么，以及输出用来做什么。同一个工具，用来改写公开的博客文章可能没问题，用来概括纪律处分档案则可能不可接受。
根据真实任务清单划分层级。请每位团队负责人列出员工已经在用或希望用 AI 完成的五项工作。将每项工作归入相应层级，这样从第一天起，每个层级就都有具体示例。
| 档次 | 典型示例 | 员工要做什么 |
|---|---|---|
| 允许 | 改写自己的草稿、总结公开文章、构思标题备选方案、解释电子表格公式 | 使用获批账号并核查输出 |
| 经批准后允许 | 总结客户材料、根据工单历史起草客户回复、分析内部销售数据 | 仅在该工作流程已列入登记册时使用，否则先询问负责人 |
| 不允许 | 输入密码或密钥；在未经批准的流程中输入员工或候选人的个人数据；用 AI 做出招聘或薪酬决定；生成真人图像 | 不要这样做；如果认为需要例外，请先询问 |
合理的可接受使用条款应该怎么写？
好的条款会明确工具、任务和信息，并说明应改用什么做法。以下条款示例针对一家虚构的 40 人软件公司“北门应用”。该公司拥有聊天助手的企业工作区，并使用代码托管平台和办公套件中的 AI 功能。
每条规定都简短易记，也足够具体，便于执行。注意，没有一条只说“要小心”；每条都明确指出了具体行为。
财务
"仅可通过登记清单中列出的 Northgate 公司账号使用 AI。不得使用个人账号、免费版本或未经批准的浏览器插件处理任何 Northgate 工作，包括简单提问。"
代码
"可以在 Northgate 代码仓库中使用获批的编程助手。不得将客户数据、包含个人数据的生产环境日志，或 API 密钥等机密信息粘贴到任何 AI 工具中。生成的代码在合并前，必须像其他代码一样接受审查。"
客户
"客服人员可以使用获批的助手起草回复。先删除账号和付款信息。每条回复都必须由人工阅读并编辑后才能发送。"
主张
"除非已打开并核查原始来源，否则不得发布 AI 工具生成的统计数据、基准数据或客户成果。"
人事决策
"不得使用 AI 对候选人或员工进行排名、筛选或评估。可以用它润色你自己撰写的招聘广告。"
报告
"如果输入了不该输入的内容，请在当天告知运营负责人。及时报告会被视为正确的做法。"
AI 可接受使用政策应限制输入哪些信息？
按信息类别设置限制，而不是逐一列出所有文档类型，并为每类信息指定允许使用的账号。常见类别包括公开信息、内部信息、机密或客户信息、个人信息，以及密码和密钥等秘密信息。秘密信息的规则最容易写：任何工具中都不得输入。
英国国家网络安全中心的大语言模型指南指出了一项基本事实：提供模型的机构能够看到查询内容，并建议不要在向公共模型提交的查询中包含敏感信息。企业工作空间可能适用不同的合同条款，因此应记录所用套餐的具体规定。例如，Microsoft 的文档说明，组织使用的 Copilot Chat 受其数据保护附录约束，提示词和回复不会用于训练基础模型，同时也指出，各订阅套餐的管控措施有所不同。随后，你的可接受使用政策就可以明确哪些类别的信息允许在该工作空间中使用，哪些类别在任何地方都不允许使用。
对于处理个人数据的英国企业，ICO 关于 AI 和数据保护的指南是官方参考资料。其页面目前说明，由于《数据（使用与访问）法》的出台，该指南正在修订，因此在依据其中某一具体内容行事前，应先查看当前发布的版本。
想看看这与具体岗位有什么联系吗？
了解规划中的团队试用 ↗员工在使用 AI 输出前应检查什么？
员工应核查所有将对外提供的事实陈述、数字、引文和引用来源，并删除任何无法追溯来源的内容。NIST《生成式 AI 概况》将虚构描述为以自信的口吻生成错误或虚假内容；回答流畅并不代表有证据支持。可接受使用政策应明确：使用输出内容的人须对其负责。
一个完整示例：Northgate 的一名营销人员请 AI 助手用一个简短段落说明小团队为什么采用项目管理工具。初稿中有一句称，大多数小企业在去年更换了工具，并附上了来源名称。这名营销人员在所列来源中找不到这一数据。根据可接受使用政策中有关事实主张的条款，这句话被删除，段落也被改写为描述 Northgate 客户在其客服工单中给出的理由，不再使用数字。
不好的版本：“根据近期一项行业调查，大多数小团队去年都更换了项目管理工具。”审核后的版本：“联系我们的团队通常会提到两个更换原因：交接遗漏，以及工具太多。”第二种说法没那么吸引眼球，但完全有据可依。
应该要求员工签署 AI 合理使用政策吗？
要求签字或确认收悉是合理的，但这只能说明对方收到了政策。不妨再花十分钟，讲解三个来自实际工作的案例，每个层级一个，让每个人判断案例属于哪个层级并说明理由。这样才能证明大家会应用规则；一旦出了问题，这比签字更有价值。
欧盟委员会关于 EU AI Act 第 4 条的 AI 素养问答指出，无需证书，保留培训或其他措施的内部记录即可。如果欧盟规定适用于你们，简要记录谁在何时完成了操作讲解，是一个合理的做法。关于该法案是否适用于你们的企业以及如何适用，应咨询专业意见。
如何在不监控员工的情况下落实 AI 合理使用政策？
大多数小公司通过获批账户、合理的默认设置和鼓励报告错误的文化来落实 AI 可接受使用政策（AUP），而不是监控每一条提示词。为员工提供获批的企业账户，让最方便的做法就是合规的做法。开启订阅方案提供的管理员设置。让员工能够放心报告问题；对于反复无视规则的情况，则按常规绩效管理方式进行沟通。
如果你确实会查看企业套餐中提供的使用日志，请在政策中说明，并核查适用的劳动和隐私规定。隐性监控往往会破坏这项政策所依赖的主动报告问题的文化。
Tosheo.ai 的设计规划也遵循同样的原则：管理者可以查看技能进展和完成情况，但绝不会看到学员的原始聊天记录。
哪些情况下，仅靠可接受使用政策还不够？
可接受使用政策规范员工行为；它不负责判定哪些供应商安全、某个工作流程是否需要开展数据保护影响评估，也不决定如何将 AI 融入你销售的产品。如果公司开发 AI 功能、自动作出涉及个人的决策，或从事受监管的专业业务，还需要建立治理机制并安排专业审核。
它也不等于培训。“核查每一项说法”这样的规则很容易获得认同，但在有截止期限的情况下很难做好。人们需要通过贴近实际的任务练习来养成这种习惯，这正是岗位练习的作用。
来源与范围
NCSC，ChatGPT 与大语言模型：有哪些风险？，14 March 2023 ↗
Microsoft Learn，Microsoft Copilot 和 Copilot Chat 中的企业数据保护，核查于 16 October 2026 ↗
ICO，《AI 与数据保护指南》（审核中），查阅于 16 October 2026 ↗