資料處理方式

送出去的不是原文

稿件在送到語言模型之前，姓名、身分證號、電話、地址會先換成代稱 —— 「陳美玲」變成「A君」、身分證號變成「【身分證A】」。模型看到的是代稱，產出後系統再還原成真名。

這不是靠承辦記得先按遮罩鈕。呼叫模型的介面在型別上就只接受「已遮罩」的文字， 傳入未遮罩的字串會直接失敗，沒有繞過去的路徑。

去識別化失敗的時候，不送出

遮罩服務不可用時，系統改用本機規則引擎組稿 —— 完全在機關的機器上完成，一個字都不外傳。 產出會標記為降級，讓承辦知道這份的品質與平常不同。

語料批次匯入遇到同樣狀況會整批標記失敗並通知管理者，不會退回用正則表示式充數。 正則抓不到「陳美玲女士」這種沒有格式特徵的姓名，用它充數等於讓未遮罩的真名進入知識庫。

遮罩對照表放哪裡、留多久

代稱與真名的對照表存在該機關自己的資料庫，不集中在共用服務上，並於 24 小時內由系統排程刪除。 去識別化服務本身不保存任何對照表 —— 它處理完就把對照交還呼叫端，自己不留。

民眾文件的寄收欄位

民眾對機關書件與存證信函會另外填寫寄件人、收件人、地址、聯絡方式、期限與附件。 這些結構化欄位留在自己的工作區，只用於本機預覽、格式檢核與純文字／Word 匯出， 不會直接放進模型提示；事實敘述仍須先經過去識別化。

民眾文件若沒有可用的真實去識別化服務，系統會改用本機規則引擎，不把原文送往模型， 並在草稿上標示降級狀態。

工作區之間的隔離

每個機關或個人工作區有自己的資料庫檔案與檔案目錄，不是同一張表用欄位區隔。 跨工作區存取在檔案路徑層被擋下，不依賴應用層記得加條件。 服務方的營運後台只看得到租戶名冊與用量統計，看不到任何公文內容。

稽核軌跡

登入、產生、檢核、簽核、匯出、語料上架都會留下軌跡，記在該機關自己的資料庫裡。 需要時可以整包匯出，包含資料字典。

機關要做的風險評估，法源在哪

人工智慧基本法 2026 年 1 月 14 日公布施行（第 20 條自公布之日起施行），第 19 條規定：

政府使用人工智慧執行業務或提供服務，應進行風險評估，規劃風險因應措施。政府應依使用人工智慧之業務性質，訂定使用規範或內控管理機制。

主詞是政府，不是廠商 —— 風險評估與使用規範是貴機關要訂的， 我們能提供的是訂那份東西所需要的事實：資料送到哪裡、遮罩怎麼做、失敗時怎麼處理、 軌跡留在哪，也就是這一頁上面幾節。 機關內部的使用界線另見行政院使用生成式 AI 參考指引十點逐字。

還有什麼要問的

採購或資安審查需要更細的說明文件，來信告訴我們， 會依貴機關的檢核表逐項回覆。