专访│各行业采用AI 钟丽玲：用AI作医疗诊断属资料外泄高风险场景应全程监察

更新时间：08:00 2025-06-04 HKT
发布时间：08:00 2025-06-04 HKT

【A1/医疗诊断/高风险/私隐】个人资料私隐专员公署分别于去年及今年进行循规审查，发现越来越多本地机构在业务过程中使用人工智能(AI)，而涵盖行业更越来越多，幸未有发现有违反《个人资料（私隐）条例》（《私隐条例》）的情况，且有9成受审查机构表示，正使用或准备使用公署制订的模范框架；不过，私隐署留意到有部分行业使用AI的场景，如进行医疗诊断时，可能会出现较高的风险，荷兰早前便有一宗案例，有诊所职员将病人的医疗资料输入了AI聊天机器人，可能严重侵犯相关人士的个人资料私隐。私隐署建议，各行业使用AI协助时，如有机会出现高风险场景，必须「人在环中」，即须全程监察，不要过份依赖AI。

私隐署两年审查88个机构　未有发现违反《私隐条例》

个人资料私隐专员钟丽玲接受《星岛》专访时表示，私隐署分别于去年及今年对本地机构就使用AI对个人资料私隐的影响进行循规审查，去年共对28间机构进行审查，涵盖不同行业，包括电讯、金融及保险、美容、零售、运输、教育及政府部门。今年则涉及60间机构，并涵盖更多行业，包括电讯、银行及金融、保险、美容、零售、运输、教育、医疗、公用事业、社会服务及政府部门。

她表示，两次审查涵盖的机构的数目及类别均告上升，其中去年有7成受审查机构表示有使用AI，今年则有8成表示使用，显示使用AI的趋势越来越普遍，审查亦发现，今年有超过一半的机构使用3个或以上的AI系统，有部分机构使用AI超过1年；而它们应用的范围亦较多，如客户服务，特别是聊天机械人、数据分析，市场营销、行政支援及研究等，均有使用。

92%有资料外泄应变计划　不会「揸大胆车」

她表示，很高兴看见大部分机构意识到使用AI有一定风险，包括私隐风险，它们全部都有采取一些保安措施，包括数据安全的措施，有96%的机构于使用AI前会进行测试，确保系统安全性及稳健性；有92%机构表示有采取资料外泄的应变计划，显示态度审慎，不会「揸大胆车」。

私隐署去年公布《AI个人资料保障的模范框架》（《模范框架》），结果今年有63%被审查机构表示有参考及使用，而余下约30%亦表示下一步会参考这个框架，钟表示，即有超过9成机构知道有这个指引，「大部分已经采用，或者打算去采用，亦系一个好好嘅现象。」

钟又表示，留意到有部分行业使用AI的场景会出现较高风险，她举例指，世界各地以至本港，有越来越多医疗机构或人员使用AI为病人进行诊断，「系医疗范畴使用AI，风险始终都系高」，为对病人亦造成很大影响，荷兰早前曾有一宗案例，就是将一名病人的病历利用AI处理，违反员工和公司的签订的协议，而医疗数据属于高度敏感的个人资料，若无合理理由，将相关敏感数据分享予科技公司，很有可能严重侵犯相关人士的个人资料私隐。

如要使用AI索取较多的个人资料　应全程监督　即「人在环中」

她表示，私隐署发出的指引已列明，如要使用AI索取较多的个人资料，应全程监督，即「人在环中」，在决策过程保留控制权，不要过份依赖AI。

至于本港使用AI进行医疗诊断的情况，钟表示，据她的理解，本港公私营医疗机构或医生亦开始使用，相信未来使用空间会更大；而输入个人资料的深度，钟表示，相信医疗诊断会输入较多个人资料，如病征等，所以难以避免。另外，医疗机构常用AI的情况，就是进行大数据研究，如有否出现罕见病例，故必须确保输入的资料是有需要，若无需要，就不要输入。

员工私下使用AI 一旦出现资料外泄雇主亦有终极责任

有工会进行调查发现，有员工私下使用AI工作，但任职的公司并不知情。私隐专员钟丽玲表示，不论公司是否知情，一旦有员工因使用AI导致个人资料外泄，雇主亦有终极责任。她又指，虽然各行业使用AI日趋普遍，但无论用甚么科技手段去处理或收集个人资料，《私隐条例》都适用，绝对没有法律真空，只要涉及个人资料，《私隐条例》同样可以规管。

至于私隐署早前发出的《雇员使用生成式AI的指引清单》（《指引》）与数字办公室就使用AI的指引有何分别，钟表示，两者有很多共通的地方，只是彼此的着眼点不同，私隐署较着重保障个人资料私隐；数字办主要着重技术方面，另外，它们亦有就不同场景提供实用的指引，进行风险评估及建议采取安全措施，所以两个机构的指引都是相辅相成的。