你家公司的 AI 政策，員工真的照著用嗎？
我問的不是「公司有沒有政策」，而是「員工實際在用什麼」。這兩個答案的差距，很可能讓你今晚睡不著。
PagerDuty 今年公布的國際調查訪問了 1,250 位辦公室專業人士：三分之二（66%）坦承用過「明知不被公司允許」的 AI 工具；更刺眼的是，81% 的人認為高階主管根本在用另一套規則。英國另一項研究甚至發現，高階主管使用影子 AI 的比例（62%）是一般員工（31%）的兩倍。
員工偷跑、主管雙標、政策掛在牆上。這不是某家公司的問題，是 2026 年企業 AI 的集體現況。連 AI 領頭羊都在「治理」與「速度」之間擺盪：OpenAI 一週內兩位高階主管離職，Anthropic 把程式代理的自動執行改為預設開啟。巨頭都還沒想清楚，中小企業該怎麼自處？
影子 AI 不是員工不聽話，是政策跟不上生產力
先說一個反直覺的結論：員工偷偷用 AI，問題通常不在員工，在你的政策。
調查裡有一個數字值得多看兩眼：89% 的人「先在私人生活學會用 AI，才帶進公司」。AI 的採用路徑是倒過來的——員工先在家裡用 ChatGPT 處理生活瑣事，用順手了，才開始想「這個能不能幫我搞定那份報表」。而你的政策，寫在採用的對立面：禁止、審核、申請流程。
於是員工做了任何聰明人都會做的事：繞過去。不是因為叛逆，是因為他真心相信這工具能幫公司把事做好。
這跟十年前「影子 IT」的劇本一模一樣。當時員工自備筆電、自己裝軟體，IT 部門頭痛欲裂。後來怎麼解的？不是靠更嚴的禁令，而是靠公司提供「比個人筆電更好用的設備、更順的流程」。大門比後門好用，人才會走大門。
AI 也是這樣。員工從後門進來，不是愛爬牆，是你的大門鎖著又繞路。
禁止式政策注定是裝飾品
如果你覺得「只要政策寫得夠嚴，就沒人敢偷跑」，這組數據會潑你一盆冷水：
- •高階主管使用影子 AI 的比例（62%）是一般員工（31%）的兩倍——連決策者都在繞道；
- •81% 的員工認為「領導層跟我們用不同一套規則」——雙重標準一出，政策信用直接歸零；
- •Okta 調查顯示，超過半數員工說公司政策「不清楚、找不到、或根本不存在」。
禁止式政策不是治理，是裝飾品。它唯一的功能，是讓風險從看得見的地方，搬到看不見的地方——而且搬運工，就是你的主管們。
領導漂移：老闆是第一號影子使用者
哈佛商業評論（HBR）用一個詞診斷這個現象：領導漂移（Leadership Drift）。
意思是：高階主管對 AI 的公開承諾，跟他的日常決策脫節了。台上喊「我們要全面 AI 轉型」，台下繼續用二十年前的流程開會；跟員工說「大家要擁抱 AI」，自己一個月沒打開過任何 AI 工具；策略簡報做得漂亮，真正困難的決定——預算怎麼編、流程誰改、失敗誰負責——一個都沒做。HBR 說得更直白：領導者用「令人安心的敘事」，取代「困難的戰略決策」。
員工不笨。他們看著老闆開會照舊，很快就得出結論：公司只是說說。接下來呢？員工自己偷偷用 AI。影子 AI，就是員工對領導漂移的回答。
我在第一線輔導常見這個組合：老闆急著導入、中階觀望、基層偷跑，三方各做各的，唯一的共同點，是沒人願意把話說開。
與其禁止，不如先盤點：AI 治理紅綠燈
那怎麼辦？我的建議是：第一份 AI 治理文件，不要寫政策，先做盤點。
盤點不是抓人，是回答三個問題：員工在暗處用什麼工具？拿來做什麼？有沒有把公司資料丟進去？最後這題最要緊——調查中 88% 的人曾把工作資訊丟進公共 AI 工具，34% 輸入了客戶資料，31% 輸入了財務或機密文件。連這些都不知道，談什麼治理？
盤點完，用「AI 治理紅綠燈」把使用行為分成三區：
| 燈號 | 定義 | 例子 | 管理動作 |
|---|---|---|---|
| 🟢 綠燈 | 公司明確允許 | 指定工具＋指定用途（企業版 Copilot 做會議摘要） | 寫成「允許清單」，公開全員 |
| 🟡 黃燈 | 員工在用、公司還沒定論 | 免費翻譯工具、自訂 GPT、個人帳號 | 定期盤點、試用評估，決定升綠燈或降紅燈 |
| 🔴 紅燈 | 明確禁止 | 客戶資料、機密文件丟進公共模型 | 寫成「紅線」，配技術防護 |
紅綠燈的關鍵，是把「禁止」的範圍縮到最小，把「允許」的範圍說清楚。政策不要寫「不准用 AI」這種廢話，要寫「這五個工具可以用、這三種資料永遠不能進公共模型」。員工要的不是緊箍咒，是清楚的邊界。
給技術讀者的對照
如果你家有 IT 或技術夥伴，紅綠燈對應的技術機制大致是這樣：
| 企業視角 | 技術分類 | 代表技術機制 |
|---|---|---|
| 影子 AI 盤點（黃燈） | 影子 IT 偵測與 SaaS 發現 | CASB／SSO 登入審計、DLP 日誌、瀏覽器擴充偵測 |
| 允許清單（綠燈） | 身分與應用目錄 | 企業 SSO／IdP 整合、零信任應用白名單 |
| 紅線（紅燈） | 資料外洩防護 | DLP 政策、端點防護（EDR）、外發內容掃描 |
技術只是輔助，真正的戰場在老闆的行為。紅綠燈能不能亮，取決於你有沒有先把領導漂移修好。
三週落地清單
第一週：盤點。用匿名問卷或一場部門座談，問員工「你實際用哪些 AI 工具、拿來做什麼」。保證你會嚇一跳，但先別處罰任何人。
第二週：寫清單。把盤點結果裡最安全、最有價值的工具與用途寫成綠燈允許清單，公告全公司；同時把「哪些資料不能進公共模型」寫成紅線。
第三週：老闆示範。你自己挑一個日常流程改用 AI，在會議上當場秀給員工看。員工相信的不是政策，是老闆的行為。
影子 AI 的面積，永遠與政策跟現實的落差成正比。你消滅不了影子，但你可以讓燈光照進暗處。
如果想知道怎麼把「紅綠燈」落地到你的公司，歡迎來找小賀聊聊。我們可以免費幫你做一次影子 AI 盤點，看看你家的大門，到底哪裡不好用。🚦