AGI Kingdom Insights
香港與大灣區跨境人工智能資料。
在資料流動前，合作雙方應核實甚麼資料會被傳送、誰可存取、為何需要、儲存在哪裏，以及哪一項法律或自願便利途徑可能適用。
範圍
「人工智能資料」並非單一法律類別。
香港與大灣區內地城市開展人工智能合作時，實際涉及的資料流往往比項目簡介所寫的更廣。除了訓練及評估數據集，提示詞、用戶意見、系統日誌、模型遙測資料、嵌入向量、技術支援紀錄、帳戶資料、備份及遙距技術存取，都可能構成跨境資料流。
首要問題是：資料是否與一名可識別的在世人士有關。若答案是肯定的，即使項目把它稱為數據集、日誌、提示詞、特徵向量或模型輸入，它仍可能屬於香港《個人資料（私隱）條例》（《私隱條例》）下的個人資料。真正不屬於個人資料定義的資訊，仍可能受合約、保密、網絡安全、行業或內地規定約束。「人工智能資料」這個標籤本身不會回答上述問題。
本指南刻意區分三個層面：香港現行的個人資料保障要求；可自願採用的《大灣區標準合同》便利途徑；以及有助減低營運風險、但本身並非法律陳述的合作方盡職審查。適用途徑取決於實際合作方、資料、流向、地點、用途及系統設計。
香港法律底線
資料跨境，不會免除原本適用的《私隱條例》責任。
個人資料私隱專員公署把《私隱條例》形容為科技中立及以原則為本。保障資料原則規管香港資料使用者如何收集、持有、處理及使用個人資料。項目採用大型模型、代理式人工智能或嶄新技術架構，不會因此取得獨立豁免。
| 範疇 | 香港官方底線 | 人工智能項目應問 |
|---|---|---|
| 收集 | 個人資料須為合法及與資料使用者職能或活動直接相關的目的而收集，並須屬必要、足夠但不超乎適度。 | 每個欄位、提示詞附件及日誌元素是否確實服務既定用途？ |
| 通知 | 直接向資料當事人收集資料時，應提供《私隱條例》要求的資料，包括用途及可能承轉人的類別。 | 一般人能否明白人工智能用途及接收資料的合作方？ |
| 準確性及保留 | 須採取所有切實可行的步驟確保個人資料準確，並且不保留超過達成用途所需的時間。 | 誰負責改正來源錯誤？提示詞、日誌、嵌入向量及備份何時刪除？ |
| 使用 | 若把資料用於與原收集目的無關的新用途，一般須取得資料當事人明示及自願的同意。 | 供應商用資料訓練模型或改善產品，是否不同於提供已約定服務？ |
| 保安 | 須採取所有切實可行的步驟，防止未獲准許或意外的存取、處理、刪除、遺失或使用。 | 海外支援、次處理者、插件或相連代理能否接觸資料？ |
| 資料處理者 | 委託其他機構代為處理資料時，資料使用者須透過合約或其他方法處理適用的保留及保安要求。 | 合約、技術架構及供應商實際設定是否互相一致？ |
| 透明度及權利 | 資料使用者應維持透明的個人資料政策，並設立可行的查閱及改正程序。 | 團隊能否在整個人工智能流程中找回某人的資料並作適當處理？ |
私隱公署亦提供跨境資料轉移的建議合約條文範本，分別供「資料使用者向資料使用者」及「資料使用者向資料處理者」兩種情況參考。條文涵蓋用途限制、資料保安、保留及刪除、再轉移，以及資料當事人的查閱及改正等事項。範本可協助草擬合約，但不能把不合適的技術架構變成合規架構，也不能取代針對個別項目的專業意見。
可選便利途徑
《大灣區標準合同》屬自願、範圍有限，而且有具體營運要求。
數字政策辦公室指出，《粵港澳大灣區（內地、香港）個人信息跨境流動標準合同》（《大灣區標準合同》）採取自願原則。由 2024 年 11 月 1 日起，便利措施擴展至各行業，適用於香港與九個大灣區內地城市之間、符合條件的個人信息跨境流動。九個城市是廣州、深圳、珠海、佛山、惠州、東莞、中山、江門及肇慶。雖然措施名稱包含「粵港澳大灣區」，現行途徑並不包括澳門。
這項措施不是所有資料、所有地點、每一間海外關聯公司或所有人工智能服務的通用批准。由相關主管部門或地區認定或公布為重要數據的個人信息不適用此途徑。香港特區政府亦已明確說明，它不會影響個人資料私隱專員公署的監察及監管角色；香港的個人資料處理及跨境轉移，仍受《私隱條例》規管。
| 特點 | 官方說明 | 營運含義 |
|---|---|---|
| 採用原則 | 香港的便利措施屬自願採用。 | 即使符合資格，仍須評估所有適用的香港、內地及行業要求。 |
| 地理範圍 | 涵蓋香港及上述九個大灣區內地城市；澳門目前不在適用範圍內。 | 須確認合作方的註冊或所在地，並核實每一條存取、儲存及再轉移路徑。 |
| 重要數據 | 由相關主管部門或地區認定或公布為重要數據的個人信息不適用。 | 未按最新官方要求核實資料分類前，不應依賴此途徑。 |
| 指定範本 | 合作雙方須採用指定的標準合同及承諾書範本。 | 不能把指定範本暗中改成一般雲端服務或資料處理協議。 |
| 影響評估 | 數字辦指出，個人信息保護影響評估須在備案日前三個月內完成。 | 評估須反映最新事實；架構有重大改動時，不應沿用舊報告。 |
| 備案 | 香港的個人信息處理者或接收方，須由合同生效日（現行指南指簽署日）起十個工作天內向數字辦備案。 | 應使用最新數字辦指南，並確認各司法管轄區由哪一方提交哪些文件。 |
| 資料流向 | 每份合同只涵蓋一個跨境方向。 | 雙向流動需要兩套合同，並互換個人信息處理者及接收方的角色。 |
| 大灣區以外存取 | 透過此途徑接收的個人信息，不得向大灣區以外提供，包括傳輸、儲存或存取。 | 全球支援、海外管理員、外部模型 API 及多地區備份都可能是關鍵設計問題。 |
「不得在大灣區以外傳輸、儲存或存取」這項限制，應在選擇雲端架構或模型供應商之前處理。服務即使標示在香港託管，仍可能容許大灣區以外的管理員、次處理者、監察服務或自動化系統接觸資料。銷售頁上的地區標籤，不等於完整的資料流程圖。
內地要求、豁免及其他可用機制可能隨情況及時間改變。機構應查閱最新官方文件，並向相關司法管轄區的合資格專業人士諮詢，而不應把香港的自願便利措施視作自動答案。
合作方盡職審查
選擇法律或合約途徑之前，先畫出真實系統。
以下程序屬實務風險控制，不是法律、私隱、網絡安全或行業專業意見的替代品。
一、畫出完整資料流。
記錄每一類資料、來源系統及司法管轄區、傳送方及接收方、處理目的、儲存地點、用戶及管理員的存取地點、次處理者、再轉移接收者、保留期限，以及刪除或交還程序。清單必須包括系統日誌、備份、監察工具、模型評估紀錄、提示詞、嵌入向量、向量資料庫及遙距支援，而不是只列出主要數據集。
二、區分「必要資料」與「方便取得的資料」。
逐項檢視每個欄位或數據集是否確實為既定成果所需。考慮匯總、合成、遮罩或其他去識別化資訊能否達成目的；能否在本地完成處理，只把結果跨境傳送；以及保留期限是否對應真實營運需要。若在實際情況下仍可識別個人，不能單憑「匿名」標籤便假設資料不受個人資料保障要求約束。
三、核實用途及依據。
確認擬議用途是否與收集資料時向資料當事人說明的用途一致。若模型會從資料學習、供應商把資料再用於評估，或服務商以資料改善一項共用產品，這可能與單純為履行已約定服務而處理資料存在重大分別。應把適用通知、同意或其他依據記錄清楚；「改善人工智能」並不是精確的營運指示。
四、審查整條技術鏈。
要求每一名合作方及供應商清楚交代託管及備份地區、遙距存取地點、分包商及模型供應商、提示詞與輸出及日誌的保留安排、會否用作訓練或改善服務、加密及密鑰控制、角色權限及審計日誌、事故通報、從使用中系統與備份刪除資料的方法，以及處理適用查閱及改正要求的程序。合約內容、實際設定及網絡路徑應互相一致。
五、分配責任並設立變更控制。
指定有權批准、暫停或終止資料流的負責人，並訂明由誰處理保安事故、資料當事人查詢、刪除證據及監管機構聯絡。若數據集、用途、模型供應商、雲端地區、接收者、存取地點、保留期限或再轉移安排有變，便應重新評估。批准較大規模資料流之前，可先使用非個人、合成或經嚴格最小化的資料進行短期試點，以較低風險驗證流程。
暫停條件
資料流程圖不完整，應先暫停，而不是把合約寫得更寬。
若以下任何一項仍未釐清，應暫停資料流，並尋求具備相關資格的專業審查：
- 團隊不能確定資料是否包含個人資料、敏感資料、保密資訊或受規管資料；
- 團隊不能確定相關主管部門或地區有否把該等信息認定或公布為重要數據；
- 用途、法律交易對手或接收方只有籠統描述；
- 供應商可能使用跨境提示詞、輸出、日誌或數據集訓練共用模型；
- 託管、備份、遙測、遙距支援、插件或次處理者可能位於已批准地區以外；
- 無法識別其後的資料接收者或管理員；
- 項目不能執行所需的保留、刪除、查閱或改正程序；
- 合作雙方沒有清楚分配資料保安及事故應變責任；
- 擬議用途與向資料當事人原先說明的用途存在重大差異；
- 涉及敏感或高影響用途，但尚未完成適當影響評估及專業審查；或
- 項目擬依賴《大灣區標準合同》，但同時容許資料在大灣區以外傳輸、儲存或被存取。
決策可以很清楚。資料、用途、合作方、途徑及控制均已核實時，項目可以繼續；若一項有界線的核查或低風險試點可解決重大未知數，應暫停擴張並先驗證；若必要權利、保安或地域限制不能符合，應終止擬議資料流；只有受控試點在現實條件下證明價值可重複、管治程序亦能運作，才應集中資源。
常見問題
跨境人工智能資料的五個常見問題。
所有人工智能相關資料都屬於香港法律下的個人資料嗎？
不是。人工智能資料並非單一法律類別。若提示詞、日誌、技術支援紀錄或數據集中的資料與一名可識別的在世人士有關，便可能屬於《私隱條例》下的個人資料。判斷應建基於實際資料及情境，而非項目標籤。
每一個香港與內地的人工智能項目都必須採用《大灣區標準合同》嗎？
不是。數字辦把它界定為自願採用的便利措施，適用於香港與大灣區內地九個城市之間、符合條件的個人信息跨境流動。項目仍須按實際架構評估《私隱條例》、適用的內地要求及行業規則。
大灣區以外的雲端管理員可否存取透過《大灣區標準合同》轉移的個人信息？
數字辦說明，透過《大灣區標準合同》接收的個人信息不得向大灣區以外的組織或個人提供，包括傳輸、儲存或存取。採用此途徑前，應核實管理員、次處理者、備份及技術支援的實際地點。
雙向資料流需要一份還是兩份合同？
數字辦的官方資料指出，每份合同只涵蓋一個跨境方向。雙向流動因此需要兩套合同，並互換個人信息處理者及接收方的角色。
甚麼情況下應暫停跨境人工智能試點？
若資料、用途、接收方、存取地點、次處理者、模型訓練用途、保留及刪除安排、保安責任或適用途徑仍未能清楚核實，便應暫停。涉及敏感或高影響用途時，應尋求具備相關資格的法律、私隱、保安及行業審查。
官方資料來源
本指南採用的香港官方原始資料。
盡職審查框架及暫停條件是 AGI Kingdom Group 的獨立編輯整理。以下官方資料只提供法律及行政背景；任何一項資料都不認證、批准、資助或背書本指南或 AGI Kingdom Group。
- 數字政策辦公室 —《大灣區標準合同》便利措施，包括現行適用範圍、流程、常見問題及文件。
- 數字政策辦公室 —《大灣區標準合同》備案指南，2026 年 3 月。
- 數字政策辦公室 —《大灣區標準合同》實施指引。
- 個人資料私隱專員公署 —《跨境資料轉移指引：大灣區標準合同》，2023 年 12 月。
- 個人資料私隱專員公署 —《個人資料（私隱）條例》概覽。
- 個人資料私隱專員公署 — 跨境資料轉移建議合約條文，2022 年 5 月。
- 個人資料私隱專員公署 —《人工智能：個人資料保障模範框架》，2024 年 6 月。
- 香港特區政府 —《大灣區標準合同》便利措施擴展至所有行業，2024 年 11 月 1 日。
方法與限制
應以最新官方文件及擬議資料流的真實情況作準。
本頁最近於 2026 年 9 月 1 日審閱。行政程序、備案文件、內地要求、行業規則、技術服務及資料架構均可能改變；最新官方文件及相關主管機構的決定具有優先地位。
本文只提供一般資料，不構成法律、監管、私隱、網絡安全、工程、投資或其他專業意見，也不判定任何機構是否符合《大灣區標準合同》或其他轉移機制的資格。AGI Kingdom Group 不會因發布本指南而聲稱獲政府背書、監管批准、擁有相關客戶經驗或具備實施能力。每一個項目採取行動前，均應按照合作方、資料、傳輸方向、技術架構及行業取得適當的合資格專業意見。