先分清楚三種資料外流風險
模型訓練、服務留存與使用者越權是不同問題
企業常問「資料會不會被 AI 學走」，但風險不只在模型訓練。供應商是否將資料用於訓練、提示與回答保存多久、誰能調閱服務紀錄，都需要依實際方案與契約確認。即使服務承諾不訓練，也不代表完全不留存或沒有第三方處理者。
另一條風險來自企業自己：將全公司資料放進同一個知識庫，卻讓所有員工使用同一組檢索權限。這時模型可能正常回答，資料仍已越權。應先畫出輸入、檢索、工具、日誌與輸出的完整資料流，再決定哪些資料可以離開企業邊界。
資料遮蔽應在送出前進行
降低不必要暴露，也保留任務所需資訊
先將資料分成公開、內部、機密與高敏感等級，針對姓名、聯絡方式、帳號與合約條件建立處理規則。摘要任務通常不需要真實電話或完整證件號碼，可用代碼替換；需要回填原值時，對照表應獨立保管，並限制還原權限。
不能只靠關鍵字遮蔽。掃描文件、附件、表格註解與自由文字可能藏有敏感內容，應以代表性樣本測試漏遮與誤遮。可逆代碼化仍有重新識別的可能，不宜直接稱為匿名化。
RAG 檢索必須繼承原始權限
先限制可取回的內容，再交給模型回答
以人資與業務共用的知識助理為例，業務可查產品手冊，不應取得薪資文件。檢索服務應根據可信任身分、部門與資料授權過濾結果，權限條件不能由使用者提示自行指定。檔案撤權後，索引、快取與歷史對話也需有一致處理政策。
不同客戶或租戶的資料可依風險採分離索引或具強制授權的共享架構，但必須測試交叉查詢。答案附上來源能改善可追溯性，卻不能修補來源本身的越權。
Agent 操作系統要有獨立關卡
把閱讀與執行的權限分開
查詢庫存與取消訂單的風險不同。工具帳號應採最小權限，交易寫入需檢查參數、資料歸屬與允許的操作範圍。付款、刪除、大量匯出或對外寄送等高影響操作，可要求人工確認並顯示即將影響的對象與內容。
模型提出的操作只是一項請求，真正授權應由確定性的後端規則執行。對第三方文件與網頁中的指令採不信任原則，並記錄工具呼叫與核准結果，避免把模型回答當成安全判斷。
上線前如何驗收？
用跨部門與跨租戶情境驗證
測試至少包括不同部門查同一問題、已離職帳號、撤回文件、含敏感資訊的附件，以及試圖誘導匯出的外部內容。檢查答案、引用、下載連結與日誌是否一起遵守權限，並保留拒絕存取的證據。
導入可先從低敏感、唯讀的知識查詢開始，再依驗證結果擴充工具操作。KARWEE 可在需求評估中協助梳理資料流、系統介接與驗收範圍；實際防護與服務承諾應在專案中明確約定。
常見問題
用企業版 AI 就一定不外洩嗎？
不一定。仍需確認方案條款、資料留存、帳號權限與企業端介接設定。
地端 AI 就不需要治理嗎？
仍然需要。內部越權、錯誤匯出、備份外洩與提示注入不會因部署地點自動消失。