面向 5 到 50 人德语区企业的一页式 AI 政策

您的员工早已在使用 AI。唯一的问题是，他们是以一致而安全的方式使用，还是在您看不见的消费级工具里临时凑合。对于一家位于奥地利、德国或瑞士、规模在 5 到 50 人的企业，您并不需要一本 27 页的治理手册。您需要的是一页真正会被人读完的内容，涵盖：获批工具以及如何申请新工具、哪些数据绝不能放进哪些工具、一项基本的培训要求（您对接欧盟《人工智能法案》素养义务的抓手）、对输出的人工复核规则、聊天机器人与 AI 内容的披露，以及一位指定负责人。下文附有一份可直接复制的模板。目标是安全地放行，而不是封禁，因为封禁只会把 AI 使用转移到您完全看不见的私人账户里。

这是一份实用指南，而非法律意见。其中的监管细节以 2026 年年中为准，部分内容仍在变动；在依赖之前请对照官方来源核实，任何关键之处都请交由您自己的法律顾问把关。

为什么小公司确实需要一份

不是出于恐惧，只是现实如此。调查显示，知识工作者中使用 AI 的比例约为四分之三，其中大多数人自带工具，在中小企业里更是如此。这就是影子 AI，只要您不提供一条已知且获批的路径作为替代，它就是默认状态。风险是具体的：有员工把机密代码和客户数据粘贴进消费级聊天机器人，未经核实的 AI 输出也已经到达客户和法庭，并带来实际后果。一页纸不会增加官僚程序。它用一条人们真正能够遵循的路径，取代了那种看不见、随意而为的使用方式。

此外还有一股法律推力。欧盟《人工智能法案》的 AI 素养义务（第 4 条）自 2025 年 2 月 2 日起，对提供者和部署者均已适用，也就是说几乎适用于任何员工在使用 AI 的企业。门槛是有意设得灵活的：按角色调整的、有记录的基础培训，而非认证项目；也没有专门针对第 4 条的罚款，执法将从 2026 年 8 月起通过各国主管机构进行。一项放宽第 4 条的提案（Digital Omnibus）曾在 2026 年流传，但尚未获得通过，因此请把当前义务视为有效。

政策里应包含什么

八个简短的章节，每一个都有它存在的理由。

德语区的数据保护部分

当员工把个人数据或客户数据输入某个工具时，是您的公司决定处理的目的和方式，因此公司就是数据控制者，并承担 GDPR（《通用数据保护条例》）下的义务。使用外部 AI 提供商处理个人数据通常需要一份数据处理协议（即第 28 条下的 AVV），而消费级免费档往往不提供，还可能拿您的输入去训练；商业档则通常会提供，并且默认不会用您的数据训练。瑞士修订后的数据保护法（revDSG）平行适用，且被视为技术中立，因此同样涵盖 AI 处理。一个值得提醒、且在变动中的细节是：提供商的条款变化很快，因此请引用每家提供商当前的 DPA，而不要想当然。关于这些制度如何叠加，我们在GDPR 与《人工智能法案》如何在德语区 SaaS 上叠加一文中作了说明。

可直接复制的一页式模板

粘贴它，填好方括号，删去不适用的部分。它是为 5 到 50 人的企业打造的，而非大型集团。

"一份人们真正会去读、会去遵守的一页式政策，胜过一份躺在文件夹里的 27 页文档。任务不是看起来合规，而是给您的团队一个安全的「可以」，而不是一条看不见的变通做法。"

哪些内容要刻意留白

这里的敌人是做样子。略去那些含糊的愿景式措辞（"负责任地使用 AI" 却没有任何具体内容），它只会制造一种虚假的合规感。略去完整的 ISO 42001 认证或一整套 NIST AI 风险管理体系的搭建；两者都属于大型企业级别，对小团队而言不成比例，不过若日后规模扩大，它们可以作为参考词汇。略去那些没人维护的冗长风险分类和详尽用例目录。也绝不要发布一份没有指定负责人或没有复审日期的政策，因为这两者都注定让它沦为空文。只保留那一页会被人读完的内容。