當「合規」比「抄捷徑」麻煩十倍的時候｜專家論點【黃婉中】

作者：黃婉中（雲端架構師）

新聞報導 2026 年 6 月，合庫投信因應「公股投信四合一」整併計畫，總經理要求人資主管製作員工薪資與獎金報表。時間壓力之下，這位主管來不及在期限內交付，於是把列為機密的員工薪資與獎金檔案，直接上傳到雲端，讓AI 幫忙運算，好讓自己能在家繼續處理。

這個動作很快就出事了。檔案上傳雲端系統的當下，觸發了合庫的內部資安防護機制，事件因此曝光。母公司合庫金控介入查核之後，甚至還意外牽連出另一起管理問題，一路查到投資長平時上班網頁瀏覽紀錄。本來單純的薪資報表交付，演變成整間公司的內控風波。

如果你也是個在企業工作的上班族，對於這個情境應該不會太陌生。

新聞沒有討論到公司的內控機制，因此我們不清楚企業是否預想過這種使用情境，有沒有提供相應的措施。譬如有沒有相關的批准流程？以及公司內部是否有 AI 工具因應這類需求？ 

人資主管當下面臨的挑戰可能是「沒時間」跟「找不到合規的替代方案」。上傳到雲端、用 AI 處理，可能是當下效率最高、風險看起來最低的選項。但主管可能沒意識到，一份機密檔案被丟進公開的 AI 工具之後，資料會被怎麼儲存、怎麼使用。

如果合規的路比抄捷徑麻煩十倍，員工在時間壓力下自然會選容易的那條路。

這次會曝光，是因為大量傳輸觸動系統的警示門檻。資安系統多半靠設定的門檻抓異常，量大、頻繁、來自不熟悉的位置，都是常見的觸發條件。如果主管分成好幾次，一次只傳一小部分，會不會就躲過去了？

如果把這件事簡化成「員工資安意識差」，確實很省事。但換成任何一個在時間壓力下工作的人，面對期限跟缺乏替代方案，都可能做出類似判斷。從公司治理的角度看來，我們可以思考如何把「合規」設計得更容易做到。

另外，如果光靠「傳輸量夠不夠大」這個門檻不夠可靠，還有沒有別的方法，可以在檔案離開公司之前，或離開之後，仍然攔得住？我們下篇文章繼續討論。