仅供您阅览？未必：职场中的隐形人工智能

人工智能驱动的录音转录工具已迅速成为现代商务会议中的标配。只要经过妥善审核和部署，这些工具便能带来效率提升和便捷性优势。然而，尽管许多公司仍在制定授权人工智能工具的管理框架，一种新兴风险却悄然浮现：员工在未经公司或与会者同意的情况下，擅自使用未经授权的转录工具。

这种做法常被称为“影子AI”，它带来了新的合规、隐私和法律风险。对于希望负责任地采用AI的企业而言，仅决定授权哪些工具已远远不够；它们还必须管理员工在未经批准的系统外使用工具所带来的风险。

在国家网络安全联盟最近进行的一项调查中，43%的人工智能用户承认，他们在雇主不知情的情况下，曾向人工智能工具分享敏感的公司信息。¹ 这些数据表明，影子AI的使用并非纸上谈兵，而是真实存在的现象。这种使用往往发生在公司系统和平台之外，因此法律和合规团队难以察觉。

了解风险格局

一旦员工开始使用公司未经审核或授权的转录工具，问题便会迅速浮现。主要风险领域包括州法律规定的录音同意要求、特权与保密义务、治理控制措施以及记录保留规范。如果无法通过明确的政策和监督加以解决，所有这些都可能导致严重的后续后果。

在实行“双方同意”或“全体同意”原则的司法管辖区，在会议录音或记录之前，必须征得所有参与者的同意。² 员工在未经同意的情况下启用转录功能，可能会在不知情的情况下违反州法律。部分州规定了刑事处罚；其他州则允许提起民事诉讼。在规定民事责任的司法管辖区，且公司政策未明确禁止未经授权的转录行为时，如果员工是在履行职责范围内行事，雇主可能面临替代责任。在承认企业刑事责任的司法管辖区，例如当员工秘密录制并转录与另一家公司高管的会议时，雇主可能面临法律风险。

未经授权的工具还可能危及保密性和特权。当企业直接与供应商签订合同时，可以就数据安全和保留条款、删除权、保密保护以及对信息处理方式的控制权进行协商。而面向消费者的或免费的转录工具通常不提供这些保障措施。 会议内容可能被上传至庞大且无边界限制的语言模型中，这些模型会利用用户数据进行学习或无限期存储信息，从而可能导致律师-客户特权的放弃、商业秘密保护的丧失以及数据隐私义务的违反。一旦数据进入此类系统，企业便无法控制其传播、访问或后续使用。

从治理角度来看，未经授权的录音转录会剥夺组织在战略层面决定会议何时及如何录音的权利。录音决策应由组织层面作出，而非由个别员工决定，因为这些决策将决定哪些内容将成为公司记录的一部分。如果没有这种监督，公司就无法真正了解员工在录什么，以及生成的录音转录文本是如何管理的。 当员工自行录制会议时，公司将失去审查记录准确性、确保上下文完整性，以及将其与正式会议纪要或会议记录进行核对的机会。

在诉讼和监管事务中，这些风险会进一步加剧。存储在官方保留和证据开示渠道之外的数据可能导致证据提交存在缺口或引发证据毁损的担忧；若向政府机构提交此类数据且未按规定妥善保存，还可能面临民事证据开示制裁，甚至可能被指控妨碍司法公正。³ 大多数消费类平台缺乏明确的保留期限或删除控制机制，这使得企业难以确保未经授权的记录符合既定的数据管理政策。调查人员或对方律师还可能绕过企业法律监督，直接向员工索取笔录，从而产生相互矛盾的陈述，这可能损害律师-客户特权并引发可信度质疑。

简而言之，影子AI破坏了良好治理的一项核心原则——企业必须对记录的内容、存储方式以及保留时长保持控制权。重新确立这种控制权，对于保护特权、保密性和合规性至关重要。⁴

掌控 Shadow AI

有效管理“影子AI”首先要回答一个关键问题：是否应允许员工使用转录工具？如果允许，又应在何种情况下使用？这一决策应纳入公司更广泛的人工智能治理框架，并由法务、合规和IT安全部门牵头制定。

如果公司认定，在妥善管理的情况下，转录工具能够创造价值，法律顾问应将人工智能的使用情况公之于众。首先应查明员工目前依赖哪些工具以及原因。在许多情况下，员工使用“影子AI”是为了提高效率，而非规避政策，这一洞察应有助于制定切实可行的应对措施。应直接与业务团队沟通，了解现有工具或支持服务的不足之处，并调整已获批准的解决方案以满足这些需求。

在充分了解整体情况后，应选择安全可靠的企业级转录工具，这些工具需满足保密性、特权管理及记录保存的要求，并符合公司的运营需求和监管环境。授权供应商应提供明确的数据所有权条款、界定的保留和删除权限，以及安全的运行环境，以防止公司信息被用于训练人工智能模型。

公司政策应明确规定何时允许录音以及由谁批准。录音的决定权应归属于指定人员，而非个别员工；员工还必须明白，每次录音均属于公司文件，须遵守相关同意义务及文件保存要求。

员工参与度和培训至关重要。法律和合规团队应确保员工了解：

• 未经授权进行录音或转录所带来的法律和声誉风险；
• 州政府关于许可的许可要求以及违规行为可能面临的处罚；
• 未经批准的工具如何导致特权和机密性丢失；以及
• 在允许录音的情况下，应由谁批准，以及如何管理由此产生的数据。

同样重要的是，要为员工提供真正满足其需求、经过批准的实用工具。当授权解决方案既高效又透明时，影子AI的使用自然会减少。

如果公司决定不允许录音，必须通过培训传达并强化这一立场。员工应了解其中的原因：未经授权的录音可能触犯法律、损害保密性并导致特权失效。技术管控措施可通过识别或阻止违禁应用程序来协助执行规定，但管理层持续的沟通和公开的支持通常对维持合规性更为有效。

展望未来，企业应假设存在某些“影子”AI活动。有效的治理依赖于透明度和问责制——识别未经授权的工具、限制其使用，并确保来自经批准渠道的数据得到妥善管理。将AI监管纳入现有的合规和信息治理计划，有助于企业在技术和商业实践不断演进的过程中保持掌控。