製造業導入 AI 的合規與資料治理:機敏製程資料、營業秘密與客戶稽核怎麼過

製造業 AI 合規,指的是製造企業在導入 AI 系統時,確保機敏製程資料、營業秘密與客戶交付的機密資訊,在蒐集、訓練、推論與稽核各環節都受控、可追溯、且不外洩的一整套治理機制。它不是法遵部門事後補的一張表,而是決定你的 AI 專案能不能真正上線的前置條件。

我們去年進一家做車用連接器的工廠,他們的品檢 AI 卡在導入前的最後一關整整四個月。模型準確率沒問題,POC 也漂亮。卡住的原因很土:客戶是日系一階大廠,合約裡白紙黑字寫著「供應商不得將本公司圖面與製程參數用於第三方模型訓練」。而他們選的 AI 供應商,預設把上傳影像送回雲端做「模型持續優化」。這一條,直接讓整個案子停擺。

製造業 AI 合規的三個真正戰場

大家談 AI 合規,常常一路飄到個資法、GDPR。但製造現場的痛點其實不在個資,在別的地方。

第一個是機敏製程資料。溫度曲線、進給速率、良率分佈、配方比例,這些是工廠幾十年 know-how 的結晶。一旦餵進外部 LLM 或雲端 AutoML,你要問清楚:資料存在哪個區域?留存多久?會不會進到共用的訓練池?我們看過太多團隊,興沖沖把 SPC 數據貼進公有雲的 chat 介面除錯,等於把良率機密公開廣播。

第二個是營業秘密的法律地位。台灣《營業秘密法》要件之一,是你必須採取「合理保密措施」。這點很關鍵——如果你把製程參數丟給一個沒簽 DPA、沒有存取控制的 AI 服務,一旦外洩,法院可能認定你根本沒盡到保密義務,連告都告不成。AI 導入若沒配套治理,反而會反手削弱你原有的營業秘密保護。

第三個,也是最容易被忽略的,是客戶稽核。汽車業的 IATF 16949、醫材的 ISO 13485、國防與航太供應鏈的資安要求,都會派人來查你的系統。稽核員問的不是「你的模型多準」,而是「這筆資料誰動過、留了多久、誰有權限看、你怎麼證明」。答不出來,稽核就是不通過。

上線前該過的檢查清單

把上面拆成可執行的項目,我們通常會拿這張表跟客戶對一遍:

這張表看起來像法遵作業,但每一列背後都是工程決策。「訓練隔離」意味著你可能不能用最方便的公有 API,得改用可關閉回流的企業版,或乾脆把模型拉到廠內。「稽核軌跡」意味著系統要從第一天就設計 logging,不是等稽核前一週補。這些若在架構階段沒決定,後面幾乎無法回頭。

一個我們踩過的雷:有客戶為了搶時程,先用公有雲 API 做了半年,資料早就流出去了。後來要通過歐洲車廠稽核,才發現這半年的資料流向根本說不清楚,等於得把整段歷史攤開解釋。事前多花兩週把治理架構定好,遠比事後補救便宜。

合規不是 AI 專案的煞車,是讓它能安全加速的底盤。真正的難處在於,它同時是法務問題、也是工程問題——需要有人能同時讀懂客戶合約條款、也能動手改資料流與部署架構。這也是我們在製造業客戶現場最常做的事:工程師直接進場,把治理要求翻成可落地的系統設計,讓 AI 不只 Demo 好看,而是真能扛過客戶稽核、正式上線,並且有人敢用。