Voice AI 合規指南：PDPO 六大原則套落語音 AI

一句答你：香港冇 AI 專門法例，但語音 AI 一日都冇豁免——聲音屬於個人資料，PDPO 六大保障資料原則全數適用；由收集嗰一下開始就講明目的、限定用途、管好保安同保留期，做到「告知、限用、可刪」六個字，大部分風險已經避咗。

語音 AI 喺香港企業嘅滲透速度好快：電話客服有 AI 接線、會議有自動逐字稿、對外通訊有合成語音、招聘有聲線篩選工具。但私隱呢一環，好多團隊係出咗事先補——而語音出事，通常唔係小事，因為把聲本身就係身份。

香港嘅監管環境有一個好多人講錯嘅位：冇 AI 專門法例，唔等於 AI 冇規管。《個人資料（私隱）條例》（第 486 章，下稱 PDPO）係技術中立嘅——你用咩科技都好，只要處理到可識別自然人嘅資料，就入佢嘅管轄範圍。語音 AI 處理嘅正是最貼身嗰類：把聲、講嘢內容、講嘢習慣。呢篇文將六大保障資料原則逐項套落語音場景，再俾你一份採購同自查清單，照住行已經係一個像樣嘅起點。

Key Takeaways

• PDPO 技術中立，語音 AI 冇豁免；聲音加內容可以拼出可識別個人嘅資料，就受條例管
• 六大保障資料原則（DPP1 至 DPP6）逐項都有語音場景嘅具體套法，唔係抽象原則
• 收集語音嗰下要講明目的同用途，之後再攞去做新用途（例如訓練模型），原則上要另取同意
• 保留期要有限制：錄音同逐字稿唔應該「順手留底一世」，到期要刪
• 聲音複製（clone）係同意問題最尖銳嘅場景：攞人把聲做合成，一定要白紙黑字授權
• 採購語音工具時，供應商嘅資料處理安排同你嘅應用場景一樣重要，清單八條逐一問

點解語音 AI 係私隱高風險區

聲音唔止係聲音

一段語音入面嘅資料，比好多人想像中多。最明顯嘅係內容：客人喺電話入面報嘅姓名、電話號碼、地址、訂單資料，全部係個人資料。其次係聲紋：把聲本身可以識別到人，如果系統做聲紋分析或者聲音複製，把聲就由「內容載體」升格做「生物特徵」。再加上行為特徵：講嘢嘅語速、口頭禪、情緒狀態，都可以成為分析對象。

三層資料疊埋一齊，語音記錄嘅敏感度其實貼近身份證明文件級數。將成段客戶通話就咁上載去一個不明不白嘅雲端工具，等於將一疊客戶登記表格放上街，分別只係你聽唔見個風險。

香港嘅監管格局

香港對 AI 嘅規管走指引先行嘅路。私隱專員公署（PCPD）近年出咗幾份直接相關嘅文件：《人工智能（AI）：個人資料保障模範框架》、針對僱員使用生成式 AI 嘅指引清單，同埋 2026 年就代理式 AI 嘅個人資料保障指引。呢啲文件雖然唔係法例，但已經係企業採購同內部審批 AI 工具嘅實際審查標準——你同客戶、同監管機構解釋自己點管 AI，就係對住呢套框架講。

海外都有現成教訓：英國曾經有稅務部門嘅聲紋計劃，被當地監管機構裁定違反資料保障法例，要求刪除數以百萬計嘅聲紋檔案。成件事嘅核心問題唔係技術，係收集同使用聲紋嗰陣冇處理好法律依據。呢類案例說明一件事：聲音資料一入庫，責任就已經開始，唔係等到外洩先至有問題。

PDPO 六大保障資料原則逐項套落語音 AI

六大保障資料原則（DPP）係 PDPO 嘅骨架。以下逐項對應語音 AI 場景，每項都俾你可以即刻執行嘅具體要求。建議管理層同負責同事一齊過一次，因為好多位唔係單一崗位可以拍板。

DPP1：收集目的同方式

收集個人資料時，要直接向當事人收集，並告知收集目的同資料類別。套落語音：錄音之前要講。客服熱線開場嘅「通話可能被錄音」，要講埋用途（例：質素檢核、爭議核證），唔係淨係話「會錄」。開發語音產品嗰陣，收集用戶聲音樣本做複製或者訓練，更要白紙黑字寫清楚目的、範圍、期限。告知唔係免責儀式——目的講咗乜，之後用途就要喺嗰個範圍之內，兩者係連埋一齊生效嘅。

DPP2：準確性同保留

資料要準確，保留時間唔超乎達成目的所需。語音場景兩個位：第一，AI 轉寫同合成會出錯，用 AI 產出做重大決定（例如投訴裁決、紀律程序）之前要有人工覆核，唔可以機器講乜就係乜；第二，錄音同逐字稿要有到期日。順手留底一世，係最常見嘅違規形態——資料留得耐，洩漏面積同違規風險一齊漲，而且好多人已經唔記得當初點解要留。實務做法係按用途定保留期：質素檢核用嘅通話錄音，同爭議核證用嘅紀錄，期限唔應該一樣；工具層面，揀啲可以設定歷史記錄保留期嘅服務，令到期刪除變成系統行為而唔係靠人手記得。

DPP3：使用限制

資料唔可以超乎原本目的使用，除非有當事人自願明示同意或者法律要求。呢條係語音 AI 最易中伏嘅位：你收錄音係為咗客戶服務質素，之後攞去訓練語音模型、做情緒分析、做聲紋比對——全部係新用途，原則上要另取同意。「反正都錄咗」唔係法律依據，「內部用唔算新用途」都唔係。判斷標準好簡單：新用途會唔會令當事人覺得「我當初同意嘅唔係咁」？會，就要重新同意。

DPP4：保安

要採取切實可行嘅措施，防止資料未經授權查閱、處理或外洩。語音檔案同文字檔案一樣要有存取控制：邊個可以聽、邊個可以匯出、邊個可以刪，要有紀錄。用第三方語音服務，要審佢嘅資料保安安排——加密、存取管理、事故通報。API 服務嘅認證金鑰本身都係保安一環：金鑰等同鎖匙，要有權限分級、到期同撤銷機制，唔可以一條 key 全公司共用；認證設定點做先穩陣，我哋喺API key 認證教學嗰篇有逐步講解。

DPP5：透明度

要有公開嘅私隱政策，講明你收集咩、點用、點管。語音產品嘅私隱政策要具體講到語音資料：會唔會錄、留幾耐、會唔會交俾第三方、有冇用嚟訓練模型。用範本字眼hea過，出事時一樣唔保障到你，而且同 DPP1 嘅告知義務會互相拆台。政策寫完唔係完，要定期對返實際流程核對——政策話冇用嚟訓練，但工程團隊轉咗頭就攞去試，呢種落差先係最危險嗰種。

DPP6：查閱同改正

當事人有權查閱同改正自己嘅個人資料。語音場景嘅落地：用戶要求時，你要搵得返佢嘅語音記錄同相關衍生資料（包括逐字稿），並且可以處理。呢條原則對資料管理有一個隱含要求：你要知道自己有啲乜、喺邊。冇索引嘅錄音庫，係 DPP6 嘅災難現場——搵唔到唔代表責任消失，只代表你連履行義務嘅能力都冇。

三類場景嘅合規要點

客服錄音接 AI 轉寫

最常見組合：通話錄音 → 自動逐字稿 → 分析。合規重點次序：開場告知（DPP1）→ 轉寫結果覆核機制（DPP2）→ 分析用途唔超出告知範圍（DPP3）→ 逐字稿同錄音同級保護（DPP4）→ 保留期設定（DPP2）。一句總結：逐字稿唔係「副本」，係同錄音同級敏感嘅資料，你唔會將錄音亂擺，就唔好將逐字稿亂擺。

聲音複製同合成語音

攞真人之聲做複製，係同意要求最尖銳嘅場景。無論係企業攞員工把聲做培訓教材、創作者 clone 自己聲線做量產內容，定係機構做紀念用途，都要有書面授權：講明授權對象、用途範圍、使用期限、撤回機制。具體點由樣本做到出聲，可以睇聲音複製教學；授權文本最好講埋「唔可以攞嚟做乜」——冒充、詐騙、損害聲譽嘅內容要明文排除。香港對未經同意披露個人資料有刑事後果：俗稱「起底」罪行嘅條文，最高可以監禁五年同罰款一百萬港元；未經同意披露他人嘅語音內容做傷害性用途，風險唔係紙面嘅。

企業內部語音工具

員工用生成式 AI 工具處理含個人資料嘅音頻（例：會議錄音上雲端轉寫），企業係資料使用者，責任唔會因為「員工自己用」而消失。要有內部指引：邊啲工具可用、邊類資料唔可以上、上之前點做去識別化。PCPD 針對僱員使用生成式 AI 嘅指引清單，就係為呢個場景而設，管理層同前線都應該知點行。

採購同自查清單

揀語音 AI 服務或者自查現有流程，以下八條逐一過：

1. 告知機制：語音收集點有冇清楚告知目的同用途？
2. 用途鎖定：供應商會唔會用你嘅資料訓練自己模型？合約有冇寫？
3. 保留期：錄音、逐字稿、生成音頻各自留幾耐？可唔可以設定？
4. 存取控制：邊個角色可以聽、可以匯出、可以刪？
5. 位置同流轉：資料處理喺邊度進行？會唔會跨境？跨境安排有冇保障？
6. 事故應變：洩漏事故嘅通報時限同責任分擔有冇寫清楚？
7. 當事人權利：收到查閱／刪除要求時，你行唔行得晒流程？
8. AI 產出覆核：由 AI 產出嘅轉寫或者合成內容，有冇人工覆核關口先至用喺重大決定？

呢八條唔需要法律團隊先至問得出，但每一條都可能係日後爭議嘅分水嶺。建議每次採購新工具、或者現有服務大改版嗰陣，重新行一次呢份清單——合規狀態唔係一次過嘅，係要定期覆核嘅。語音內容要出街或者對外溝通，仲要有內容層面嘅把關流程，我哋喺語音內容審核流程嗰篇有完整做法。公共服務同政府場景嘅要求再高半級，可以參考公共服務粵語語音指引。

常見問題 FAQ

語音係咪個人資料？

可以係。一段語音只要可以（直接或間接）識別到當事人——內容有個人資料、或者把聲本身可識別身份——就受 PDPO 管轄。經常出現嘅誤解係「聲唔係資料」，事實上聲紋同樣落喺個人資料定義入面。

香港錄音係咪要對方同意？

香港唔係全面兩方同意管轄：參與對話嘅人錄低自己參與嘅對話，一般唔構成刑事罪行。但唔犯法唔等於冇規管——錄音一旦涉及個人資料，之後嘅儲存、使用、保留全部受 PDPO 管。商業場景嘅穩陣做法，依然係錄音前告知。

用 AI 將錄音轉逐字稿，有咩要注意？

三件事：告知用途要覆蓋轉寫呢一步；逐字稿同錄音同一級保護同保留期；AI 轉寫會有錯，用於爭議處理或者法律程序之前一定要人工覆核。

聲音複製要咩同意先算足夠？

要書面、具體：授權對象係邊、授權咩用途、用到幾時、點樣撤回，最好連負面清單（唔可以做乜）都寫埋。口頭一句「得」或者喺通訊軟件覆個「ok」，喺爭議現場係好脆弱嘅憑證。

供應商話佢哋「符合 GDPR」，係咪即係符合 PDPO？

唔一定。GDPR 同 PDPO 原則上有相通位，但係兩套法例，適用範圍、義務細節都唔同。供應商合規係佢哋嘅事，你作為資料使用者嘅責任唔會轉移——採購時要按 PDPO 六項原則自己過一次，唔可以靠一個歐盟認證符走數。

錄音應該留幾耐？

按用途定，唔超乎所需：質素檢核類通常短；有合約或者法律爭議潛在需要嘅，跟相關時限定。重點係要有政策同到期機制，唔係無限期留底。揀工具嗰陣，可以設定歷史記錄保留期嘅服務係加分項。

出事之後點算好？

第一步止蝕：停用相關流程、封存證據。第二步評估：涉及幾多人、咩資料、有冇外洩。第三步按 PCPD 嘅指引考慮通報同通知當事人。最重要嘅其實係事前：做好 DPP4 嘅保安措施同應變計劃，出事嗰日你會多好多選擇。

合規係語音 AI 嘅底線

語音 AI 嘅效益好實在，但佢處理嘅係人最貼身嘅一樣嘢——把聲。合規唔係阻住你用新技術，係令你可以長用長有。由今日開始，將六大原則套落你嘅每一個語音場景：告知、限用、保安、可刪，每個語音項目開展之前行一次清單，之後定期覆核。

想由一個資料處理安排清晰、粵語原生嘅平台開始？港嘢免費開戶每月有 5,000 字符試用，去 Playground 親手試。