AI 資料外洩：員工上傳一份表格就通報 3182 人

2026 年 10 月 22 日，美國馬里蘭州的 Johns Hopkins Bayview Medical Center 開始寄出一批通知信。收信的是 3,182 位病人，信裡要說明的事情很短：一位院內同仁在做內部盤點時，把一份含有病人資料的試算表，上傳到一個院方沒有核准的 AI 工具。

沒有駭客、沒有勒索軟體、沒有人把資料拿去賣。整起事件從頭到尾，就是一次複製貼上。

Photo by Winston Chen on Unsplash

一份試算表，3,182 個人

依院方對外說明與多家美國媒體報導，上傳發生在 2026 年 9 月 21 日，當天就被發現。那份試算表涵蓋 2026 年 5 月到 9 月之間在該院接受治療的病人，欄位包括姓名、入院與治療日期、病歷號與帳號、就診科別、用藥紀錄與主治醫師姓名。院方表示其中不含社會安全碼，也不含金融帳戶資料。

發現之後的處理流程，值得逐步看一次：院方要求該名同仁刪除工具裡的提示詞、對話串與那份文件，接著再向該工具的營運商提出刪除請求。同時啟動內部調查，收緊受保護健康資訊的處理規定，限制未核准的應用程式與 AI 工具，並重新對員工做核准工具的教育訓練。通知信自 10 月 22 日起寄出，附帶 12 個月的信用監控服務。

這段處理看起來該做的都做了。但如果把它拆開來讀，會發現其中有一個環節是企業無法自己掌握的：向營運商「提出刪除請求」。請求不是執行，也不是驗證。資料離開自家系統的那一刻，企業剩下的工具就只有對方的政策與善意。

不是哪個員工特別粗心

把這件事當成個人疏失，大概是最省事也最沒用的解釋。

PagerDuty 在 2026 年 6 月發布的一份調查，訪問了 1,250 位任職於年營收 5 億美元以上企業、且本身不在 IT 或技術部門的上班族，樣本分布在美國（500 人）、英國、澳洲與日本（各 250 人）。結果有幾個數字很難忽略：

• 66% 的人在自認公司政策並不允許的情況下，仍然在工作中使用了 AI 工具。
• 88% 曾把與工作相關的資訊輸入公開的 AI 工具。
• 其中 34% 輸入過客戶資料，31% 輸入過財務資訊或公司機密文件與策略，43% 貼過電子郵件或往來訊息，40% 貼過會議記錄或摘要。
• 同一份調查裡，86% 的人表示公司「有」AI 政策。

最後一項和前面幾項擺在一起，就是整件事的核心：政策存在，但沒有擋住任何東西。因為員工面對的通常不是「要不要違規」，而是「這份報告今天下班前要交出去」。當核准的工具用起來比較慢、要申請、或根本還沒決定要用哪一套時，瀏覽器裡那個免費的輸入框就會贏。

Photo by Marc Wieland on Unsplash

瑞典封鎖的不是模型，是沒有合約的那條路

幾乎在同一週，瑞典政府辦公室（Regeringskansliet，涵蓋首相府與各部會）宣布自 10 月 26 日起，在員工電腦上封鎖 ChatGPT 與 Claude 的瀏覽器版本。唯一保留的 AI 助理是 Microsoft Copilot，理由是它通過了內部資安審查，而且設定被調整過。部分人員仍可透過內部平台 Intric 使用 OpenAI 與 Anthropic 的模型。

政府辦公室數位化主管 Mikael Wettercrantz 在內部公告中說，他們看到了幾起開放 AI 服務的「有問題的使用方式」，涉及輸入資訊的敏感程度，以及 AI 產出後續如何被處理；在沒有正式合約的情況下使用 AI 服務，會影響資訊安全。

這句話把界線畫得很清楚：被擋掉的不是模型能力，是「沒有契約關係」這個狀態。Copilot 底下跑的可能是同一批模型，差別在於有沒有一份企業合約、有沒有資料不被用於訓練的條款、設定權在誰手上、出事時找誰。

這也不是瑞典一個單位的決定。依當地報導，瑞典稅務局與國家照護委員會已有類似封鎖，執行署正在準備自己的決定；運輸署的一份內部稽核更發現，大約有 10 種 AI 服務正在被廣泛且帶有風險地使用。往外看，歐洲議會早在 2026 年 2 月就停用了工作裝置上的 AI 功能，理由同樣是無法確保資料安全。

資料送出去以後，刪除只是一個請求

把這兩件事放在一起看，可以整理出三個對一般企業同樣成立的推論。

第一，風險不在模型品質，在資料路徑。一份病歷表格貼進付費企業版，和貼進個人免費帳號，模型可能一模一樣，但資料的落點、保存期限、是否進入訓練、誰能存取，完全是兩件事。採購一套 AI 工具時，真正要看的往往不是跑分，而是合約裡關於資料處理的那幾頁。

第二，一次就夠。Bayview 的案例裡，事件被當天發現、立刻處理，仍然產生了 3,182 封通知信、12 個月的信用監控費用、主管機關通報作業，以及後續可能的集體訴訟調查。資安事件的成本不隨次數線性累積，它更像一道門檻——跨過去一次，後面整套程序就全部啟動。

第三，政策寫了不等於擋住了。86% 的企業有 AI 政策，66% 的員工照用不誤。政策是一份文件，封鎖與替代方案才是一個機制。

Photo by Sasun Bughdaryan on Unsplash

企業現在可以先做的幾件事

完全禁止通常行不通——瑞典自己也沒有全禁，而是留下一條被審查過的路。比較務實的方向大致是這樣：

• 先盤點，而不是先訂規則。運輸署那份稽核的價值，在於它先查出實際上有十種服務在被使用。多數組織連這一步都還沒做，就直接進入制定政策的階段，結果是規則蓋在一張看不見的地圖上。
• 給一條好走的路。封鎖之所以能成立，前提是同時提供了替代品。只擋不給，使用行為會轉移到手機、私人筆電與個人帳號，從可見變成不可見，風險反而更高。
• 把「哪些資料不能貼」寫成具體清單。「不得外洩機密資訊」這種句子對第一線沒有作用。病歷、身分證號、客戶名單、未公開報價、人事考核——列出名字，比寫原則有效。
• 檢查合約那幾頁。資料是否用於訓練、保存多久、儲存在哪個區域、能否要求刪除並取得確認、子處理者有哪些。免費方案與企業方案在這幾項上的差距，通常遠大於功能差距。
• 設定事故處理流程。Bayview 當天就發現並處理，這件事本身是正面的。多數組織的問題不是出事，而是出事後兩週才知道。

一點觀察

過去兩年，多數企業討論 AI 的角度是「能不能用」「值不值得投資」。這個月的幾則新聞把問題往前推了一格：工具早就進來了，而且是從員工那一端自己進來的。

有意思的是，瑞典的做法某種程度上承認了這個現實。它沒有要求員工不要用 AI，而是承認員工一定會用，所以把精力花在界定「哪一條路是被審查過的」。這和十幾年前企業處理雲端硬碟、即時通訊軟體的過程幾乎一樣——先是禁止，然後發現禁不了，最後變成採購一套企業版、關掉個人版。

差別在於，檔案同步工具外洩的是檔案，AI 工具外洩的是「輸入框裡的那段話」，而那段話往往比檔案更貼近決策核心：還沒公布的報價、正在談的併購、某位員工的考績評語。它不會出現在任何一份 DLP 規則裡，因為它是員工自己打進去的。

Bayview 的 3,182 封信最終會寄完，瑞典的封鎖也會在星期一生效。真正的問題留給其他每一家還沒發生事情的公司：如果今天有人把一份客戶清單貼進某個聊天框，貴公司會在當天知道，還是在三個月後收到一封信才知道？