企業 AI 導入 · 基礎架構與治理
企業導入 AI 之前
要先修好什麼
企業 AI 導入的成敗多半在動工前決定，資料權限沒整理，模型接得越快風險越大。這頁說明基礎架構、工具選型與風險控管的務實方法，承諾寫在板上，就要在機房裡站得住。
台南機房 · 夜間作業
先定界再選型
先回答資料能去哪
公有雲模型、地端模型、混合部署，三種的資料駐留與合規責任完全不同。研發圖檔與個資能不能出境，要先和法務把線畫清楚，而不是等合約簽了才問。我們的做法是把既有的混合雲治理表直接延伸為 AI 資料表，欄位沿用，省一次重工，也讓資安與法務看的是同一張紙。
公有雲模型
適合公開資料與波動測試，留意出境與留存條款。
地端模型
適合圖檔與個資，穩定用量下成本最好算。
混合部署
敏感放地端，一般問答放雲端，分流最務實。
界線不清，模型越強，破口越大。
先盤點哪些系統有個資、圖檔與合約文件，再決定每類資料能進哪一種模型。這個動作通常一週可以做完，卻能擋掉後面八成的爭議。
若公司已有雲端治理的費用標籤與權限表，直接加一欄 AI 用途即可，不必另起爐灶。試點的資料範圍寫進會議紀錄，誰同意、誰負責，一目了然。
看混合雲治理怎麼做延伸
試點前的三張紙
治理規則的三張表
分類表決定什麼是機密，權限表決定誰能看，留存表決定紀錄放多久。CYBERSEC 2026 議程中的 DLP 與 AI 議題正好相扣，防外洩規則要同步更新。沒這三張表，試點先緩，這是我們堅持的順序。
分類表
哪些文件與欄位屬於機密，哪些可以進模型，先寫死。例如報價單的客戶名、圖檔的版次註記、人資的薪資欄，一律列為不可上傳。
先標紅再放行
權限表
誰能調用哪個 AI 工具、能查哪個知識庫，按部門與職級切開。客服看得到問答紀錄，看不到研發圖檔，權限跟著 AD 群組走。
跟著現有帳號走
留存表
提問紀錄與引用文件留多久、何時銷毀、誰能調閱，稽核時一次拿出來。一般建議問答留三個月，調閱留軌跡。
到期即銷毀
同步更新
既有 CASB 與 DLP 政策延伸到 AI 工具，擋掉整包上傳與外部貼上。規則改一處，雲端與 AI 同步生效。
一處修改處處生效
實務提醒：三張表先用一份文件寫完，法務、IT、資安三方簽名，試點才開工。表單留在公司內部，不必華麗，但要找得到、對得上。
務實順序
工具選型與基礎架構
追新模型不如把提示詞庫與審核流程做好。先看授權、再看資料位置、最後看人力，這個順序能省下最多冤枉錢。
授權盤點
先看現有授權有什麼 AI 功能。許多 Microsoft 365 與既有 SaaS 已內建摘要與搜尋，開通與設權限即可試，不必急著另購新平台。
部署位置
再看資料位置適合哪種部署。推論放在哪、向量資料庫放哪、備份怎麼做，三個決定成本。地端 GPU 適合穩定用量，雲端適合波動測試。
維運人力
最後看維運人力撐得起哪種。模型更新、提示詞庫整理、審核人力都要算進去。人力不足就選代管少的方案，寧可小而穩。
部門試點
中大型企業適合先一個部門試點，例如客服或品保文件。範圍小，成效看得見，失敗也收得回來，費用標籤沿用雲端治理那套，每月檢一次使用量。
提示詞庫
把常用問法、引用格式、拒答話術寫成提示詞庫，搭配人工審核流程。模型會換，庫留下來才是資產，新人照著用就不會踩線。
風險控管與稽核
輸出要留痕
誰問什麼、引用哪份文件，都要可追溯。稽核要看的是流程，不是模型分數。人員上傳機密的告警與教育並行，CASB 與 DLP 政策延伸到 AI 工具，攔截與輔導同一套做。
從試點到決定
怎麼驗收，誰來負責，什麼先不做
與資安團隊的分工
需求、架構、政策三權分立
AI 專案由業務單位提需求，IT 定架構，資安定政策。權責寫清楚，避免上線後互推。我們在試點期間每週一次三方對齊，結案交付權責矩陣。
不建議現在做的事
這三種先緩
- 全公司一次上線，支援與審核會同時崩潰。
- 把 ERP 全庫倒進模型，權限與成本都收斂不了。
- 跳過法務直接簽 SaaS AI 合約，出境條款事後難追。
分階段走，長期才走得遠。
常見提問