应如何使用此模板？
将以下条款复制到你自己的文档中，替换每个方括号内的占位内容，并与相应工作流程的负责人逐条讨论。在核实实际涉及的工具、信息和义务之前，不要将其作为公司政策采用。这些条款刻意避免凭空设定一项允许上传所有业务数据的通用授权。
用员工熟悉的任务，检验他们能否按定稿后的文件操作。例如，他们能否分清：根据公开信息起草邮件可以使用哪个获批账号，以及分享客户报告前应先征求谁的意见？如果答案不明确，就先完善政策，再要求员工确认知悉。
此模板仅提供一般信息，不构成法律建议。各国的数据保护、劳动和行业规定有所不同，请让合格的专业顾问审核您采用的版本。
目的、适用范围和责任归属条款应包含哪些内容？
前三条说明制定政策的原因、政策适用对象，以及遇到不明确的情况时由谁决定。保持简短；它们的作用是帮助理解，而不是产生法律效力。
第 1 条，目的："[公司]使用 AI 工具协助员工起草、总结、研究和分析。本政策说明批准使用哪些工具、可以向工具提供哪些信息、如何核查输出，以及有问题时向谁咨询。本政策是对[信息安全 / 数据保护 / 保密]政策的补充，而非替代。"
第 2 条，适用范围："本政策适用于使用任何设备为[公司]工作的所有员工、承包人员及[自由职业者 / 实习生]，也适用于我们已在使用的软件（如[办公套件、设计工具、CRM]）中内置的 AI 功能。"
第 3 条，职责归属："[姓名、岗位]负责本政策及获批工具登记表。其无法履职时，由[替补人员姓名]代为负责。如有问题，请联系[邮箱或沟通渠道]。任何涉及个人信息的工作流程，均由[姓名、岗位]审批。"
如何填写工具和信息条款？
第 4 条和第 5 条涉及大部分风险，因此需要最具体的规定。第 4 条列明具体账号；第 5 条说明每个账号可以接收哪些类别的信息。
第 4 条，获批工具："仅可使用获批工具登记表中列出的工具，并须使用[公司]账号登录。不得将未列入登记表的个人账号、免费版本及浏览器插件用于[公司]或客户工作。如需申请新工具，请向[负责人]发送邮件，说明工具、套餐、任务及会涉及的信息。"
第 5 条，信息："你可以在获批工具中使用公开信息和[内部信息]。除非登记表已批准将该工具用于相应任务，否则不得输入[客户机密材料 / 定价 / 未发布的财务数据 / 源代码 / 登录凭据]。除非[姓名]已批准具体工作流程，否则不得输入员工、候选人或客户的个人信息。仅删除姓名，并不意味着信息就可以安全分享。"
登记表中的每项批准都需要注明服务及套餐、允许执行的任务、允许使用的信息、审核人和复审日期。还应单独向供应商询问是否使用你的数据训练模型、数据保留期限、管理员访问权限和删除机制，并记录其现行条款的内容及核查日期。声明不用于训练，并不等于不存储。
| 登记表字段 | 虚构公司的示例条目 |
|---|---|
| 服务与套餐 | [助手]企业工作区，仅限公司账号 |
| 允许执行的任务 | 起草和总结内部文件与公开研究资料 |
| 允许使用的信息 | 公开和内部资料；客户资料仅限附件 A 中列出的客户 |
| 审查人 | 该业务领域的团队负责人 |
| 负责人与复审日期 | [负责人姓名]，每六个月或条款变更时审查一次 |
输出审核和人事决策条款应如何规定？
第 6 条规定，使用输出的人有责任核查输出；第 7 条规定，涉及人的决定仍由人作出。这两条都应与现有审批要求保持一致，而不是取代它们。
第 6 条，输出审核："你须对自己使用或发送的任何 AI 辅助工作成果负责。使用前，请对照原始材料或明确标明的来源，核查事实、数字、引语和引用。凡是无法追溯来源的统计数据、结果、背书或引用，都须删除。通常需要由[法务 / 财务 / 经理]审核的工作，仍须交由他们审核。"
第 7 条，涉及人的决定："不得将 AI 工具作为招聘、薪酬、绩效、纪律处分、信贷或客户投诉相关决定的依据。AI 工具可以协助起草或整理材料，但必须由明确指定的人员审查原始信息并作出决定。"
如果你的团队处理大量重复性工作，例如客服回复，请补充一句关于抽查的规定：谁来抽查 AI 辅助撰写的回复、多久抽查一次，以及发现反复出现的错误时如何处理。
想看看这与具体岗位有什么联系吗？
了解规划中的团队试用 ↗披露、报告和审查条款如何执行？
最后三条说明何时应告知他人使用了AI、出问题时该怎么做，以及如何持续更新政策。
第 8 条，披露："如果草稿主要由 AI 生成，请告知审核人。遵守客户合同，以及平台或出版方关于 AI 生成内容的规定。[可选：面向客户的 AI 生成图片或文字须标注[标注文字]。]"
第 9 条，报告："如果受限信息可能已被输入未经批准的工具，或 AI 辅助输出已经或险些引发问题，请于当天告知[负责人]，说明所用工具、账号及分享的内容。适用时，遵循[现有事件处理程序]。及时报告不会被视为违规行为。"
第 10 条，审查："[负责人]至少每[六 / 十二]个月审查一次本政策和登记表，并在工具、套餐、合同或工作流程发生变化时进行审查。版本[编号]，由[姓名]于[日期]批准。"
哪些占位内容需要先作出实际决策才能填写？
每个方括号都代表一项尚未确定的决策，而不是安全的默认选项。因此，应将未知项标记为待审查，而不是填入一条听起来合理的规则。公司必须提供政策负责人、获准使用的服务及套餐、允许执行的任务、受限信息、审阅职责、报告渠道和复审日期。
记录某款工具获准用于特定任务的原因。模型训练设置、数据保留、访问控制和合同许可是彼此独立的问题。同一工具的某种用途可能符合要求，另一种用途却需要额外批准。应在登记表中清楚体现这一区别。
案例演示：一家虚构的 18人记账事务所先填写第 5 条，却发现无法回答，因为其客户业务约定书完全没有提及 AI。负责人没有自行猜测，而是将客户材料标记为待审查、暂不允许使用，同时立即批准使用公开材料和内部材料，并预约与顾问讨论如何更新业务约定书。
审核人员应检查什么？
审阅者应检查，该政策是否与现有的信息安全、隐私、用工和发布流程一致，是否在不知不觉中覆盖了这些流程。一份简短的 AI 文件，不应放宽现有的保密数据或重大决策管理规则。应由谁来审阅，取决于组织、工作流程和司法管辖区。
NIST AI风险管理框架实践指南中的治理部分讨论了角色、职责、培训和第三方风险；本模板是我们针对小团队做出的实用改编。ICO的AI与数据保护指南是处理个人数据问题的英国官方参考资料，其页面目前注明，在《数据（使用与访问）法》出台后，该指南正在修订中，因此请查看在线最新版本。本模板既不是合规证书，也不代表贵公司已落实相关管控措施。
一致性
是否有任何条款与现有的数据、安全或人力资源政策冲突？
合同
客户或供应商合同是否限制 AI 使用，或要求披露 AI 使用情况？
个人数据
负责数据保护的人员是否已看过第 5 条和第 7 条？
可行性
新员工能说清楚该用哪个账号、哪些内容不能提供，以及有问题该问谁吗？
如何向团队介绍这项政策？
用你自己工作中的例子来介绍，而不是布置阅读任务。带大家逐一看一个允许的例子、一个受限的例子和一个不确定的情况。请大家解释其中的区别，并找出遇到问题时应向谁请示。留出时间，让他们询问自己实际使用的工具和账户。仅仅确认知悉，并不能证明一个人会在实际工作中遵守边界。
首次练习结束后，重新审视政策。补充有助于明确判断的实例，并修正与工作流程不符的指引。保留版本号并指定负责人，让员工知道去哪里查找现行规则。
如果你希望进行有结构的练习，Tosheo.ai 正在筹备开发，计划为各岗位提供短课，每节课都以在真实 AI 工具中完成一项实操任务收尾，并按公开的评分标准评分。它不会替你撰写或批准政策。
哪些情况下，不适合从通用模板入手？
如果你将AI集成到对外销售的产品中、处理特殊类别的个人数据、从事受监管的专业业务，或已有合同规定了AI使用条款，就不应从通用模板入手。应与具备相应资质的顾问一起，从这些义务出发，仅将此结构用作议题核对清单。
如果没有人负责，也不应采用。模板只填一次、此后从不复核，最终就会变成一份针对团队早已不用的工具的规则清单。在填写第 4 条之前，先明确负责人。
来源与范围
NIST AI 风险管理框架操作指南：治理，核查日期：16 October 2026 ↗