企业AI规范应写清楚允许使用哪些数据和工具，而不是只要求员工谨慎。招聘、人员评价和客户资料处理涉及具体权益，不能让模型输出直接成为最终业务决定。

给数据设置使用范围

把公开资料、内部资料与敏感资料分开，列明可用服务、上传限制、保留方式和责任人。业务确实需要个人信息时按实际目的控制字段；选择服务前核对处理位置、访问和保留设置，不能用私有化三个字代替核验。

招聘辅助只处理明确任务

可以辅助整理岗位描述或核对候选人提交的信息，但不推断未提供的健康、家庭或其他敏感特征。筛选条件需由招聘负责人确认，保留人工复核与更正路径，不以模型评分代替正式决定。

审核与培训围绕真实错误

演练错误引用、泄露客户信息、未经授权上传附件和错误承诺等场景。员工应知道哪里提交异常、谁决定是否撤回结果，以及如何清理不应上传的数据。不同岗位采用不同权限。

定期检查实际使用情况

登记工具、账号和主要流程，离职或项目结束时撤销授权。规范更新后检查旧自动化是否仍在运行。涉及合规判断时根据当前法律和具体数据处理情形寻求专业核验，不把通用指南当作合规证明。

规范应覆盖实际使用动作

说明哪些资料可输入外部模型、哪些输出必须审核，以及错误和泄露怎样报告。

招聘与客户决策保留人员判断，权限和保密规则落实到系统，不能只让员工签一份知悉说明。

例如员工准备上传合同全文，应先确认是否允许及可去除字段，不能只凭“内部使用”推断安全。