人工智慧應用於人力資源管理之個人資料保護困境：法規框架與實務兩難之分析
一、前言：HR遇上AI，一場必然的拉鋸
想像一個場景：HR拿到一份履歷篩選AI工具的試用邀請，系統承諾能在三分鐘內從五百份履歷中找出最適合的十位候選人。聽起來很誘人但要讓這個系統運作，必須先把候選人的履歷、姓名、聯絡方式、工作經歷全部上傳到雲端平台。
這個時候，HR心裡會浮現一個問題：「這樣做，合法嗎？」
這個問題，正是本文要探討的核心。
人工智慧（AI）技術的快速發展，已深刻改變人力資源管理（HRM）的實務樣貌。從履歷篩選、面試評估、薪資比較到員工離職預測與績效分析，AI工具正快速滲透HR工作的每個環節。然而，HR這個職能天生就是「個資集中地」員工的薪資、健康狀況、家庭背景、績效評核，全都在HR的檔案夾裡。
這使得HR在導入AI時，面臨一個根本性的矛盾：AI需要資料才能運作，但HR手上的資料恰恰是最敏感、最受法規保護的那一種。
本文從法規框架、HR實務場景及組織治理三個角度，分析此一困境的本質，並提出具體建議。
二、為什麼HR的個資特別敏感
並非所有個資都一樣敏感。在討論AI與HR的矛盾之前，有必要先理解HR資料在性質上的特殊性。
第一，資料類型涉及高度敏感內容。
HR所處理的資料，不只是姓名和電話，還包含薪資水準、健康狀況、婚姻狀態、家庭背景，甚至宗教信仰與犯罪紀錄。依我國《個人資料保護法》第6條規定，這類「特種個人資料」原則上禁止蒐集處理，僅在特定法定情形下方得例外為之。歐盟《一般資料保護規則》（GDPR）第9條亦有相同的嚴格限制。
第二，員工在提供個資時缺乏真正的選擇權。
當公司要求員工填寫入職表單，或要求應徵者上傳履歷，員工與雇主之間存在明顯的權力不對稱。員工很難真正「自由地」拒絕提供資料。歐盟資料保護委員會（EDPB）於2020年發布的指引明確指出，雇主與員工間的「同意」作為資料處理合法基礎，必須特別審慎評估其是否真正出於自願。
第三，HR資料的生命週期極長。
員工個資從招募階段開始累積，歷經任用、在職、離職，還有法定的保存年限，往往橫跨數年乃至數十年。這使資料安全管理的難度遠高於一般商業資料。
三、HR實務中的AI應用場景與風險
（一）招募篩選：效率與歧視的雙刃劍
AI履歷篩選系統是目前HR領域最普遍的AI應用之一。這類系統透過機器學習分析應徵者的學經歷、語言表達模式，乃至面試影片中的表情與聲調，以預測其工作表現。
然而，此一應用存在兩項核心風險。其一，應徵者的影像與聲紋屬於生物特徵識別資料，依個資法第6條屬特種個人資料，處理時須有明確法律依據。其二，AI演算法可能因訓練資料本身存在歷史偏誤，對特定性別、種族或年齡群體產生系統性歧視，此不僅是倫理問題，更可能違反我國《性別工作平等法》及《就業服務法》第5條禁止就業歧視之規定。
（二）薪資管理與績效評核：資料上傳去哪了
AI工具在薪資市場比較（Benchmarking）與績效預測上的應用，要求HR將員工薪資結構、考績紀錄上傳至第三方雲端AI平台進行分析。
這個動作在實務上引發兩個核心問題：第一，員工薪資資料上傳至境外AI平台，是否構成個資法所規範的「國際傳輸」？台灣個資法雖制定於AI普及之前，但其核心原則完全適用於AI系統對個人資料的處理，跨境傳輸須評估受款國的法規保護是否相當。第二，員工的合理隱私期待問題即使資料是在職場情境下蒐集，當事人並未當然同意其資料被用於AI模型訓練或被傳送至境外伺服器。
依我國個資法第20條規定，個人資料之利用應於蒐集之特定目的必要範圍內為之。若員工資料被用於原始蒐集目的以外的AI模型訓練，即可能構成目的外利用，須另行取得當事人同意或具備其他合法依據。
（三）員工監控與離職預測：被看見的代價
部分企業已開始透過AI分析員工的電子郵件頻率、會議參與度、系統登入行為及生產力數據，以預測員工的離職風險。這類應用雖具有人才留任管理的實務價值，卻帶來嚴重的倫理疑慮。
當員工知悉其日常工作行為持續受到AI系統的監控與分析，其心理安全感（Kahn, 1990）將受到根本性的衝擊。換句話說，企業以AI留人卻可能因此讓員工更想離開。
四、法規怎麼說：現有規範的保護範圍
（一）台灣：個資法＋人工智慧基本法
我國《個人資料保護法》確立了個資蒐集、處理與利用的基本原則，包含目的特定原則、比例原則及安全維護義務。個資法第5條確立的「比例原則」是評估AI系統合規性的核心：個人資料的蒐集、處理或利用，應與蒐集的目的具有正當合理的關聯，且應以對當事人利益最小侵害的方式為之。
值得關注的是，台灣《人工智慧基本法》第14條明定，各目的事業主管機關應在AI研發及應用過程中，避免不必要之個人資料蒐集、處理或利用，並應促進個人資料保護納入預設及設計相關措施或機制。此一「隱私設計（Privacy by Design）」原則的法制化，為HR導入AI工具提供了明確的合規方向。
（二）歐盟：GDPR＋EU AI Act
GDPR第22條明定資料主體享有「不受完全自動化決策約束之權利」，並要求提供人工審查機制。
EU AI Act於2024年8月1日正式生效，將就業相關AI系統列為「高風險」類別，要求具備透明度、可解釋性及人工監督機制，並規定雇主必須在部署高風險AI系統前告知員工及候選人。值得注意的是，根據EU AI Act附件三，高風險AI系統明確包含招募與甄選、績效評核、工作分配、升遷及終止僱用等HR核心應用場景。
對台灣企業而言，EU AI Act具有域外效力，適用於任何AI系統輸出在歐盟境內被使用的情形，不論提供者或使用者位於何處。此意味著台灣跨國企業在處理涉及歐盟員工之HR資料時，須同時符合GDPR與EU AI Act的雙重要求。
五、給HR的四個實務建議
面對AI導入HR所引發的個資困境，本文提出以下具體建議。
建議一：建立HR資料分級管理機制。 依資料敏感程度將HR資料區分為一般資料、敏感資料與特種資料三個層級，並訂定相應的AI利用限制。最小化原則的落實，是合規的第一道防線。
建議二：在選工具前先做法律盡職調查。 評估AI工具時，不只看功能與價格，更須確認：資料是否傳至境外伺服器？服務商是否符合個資法委託處理規範？是否提供資料刪除與退出機制？核心自保策略為事前取得使用同意、落實去識別化處理，並針對跨境傳輸評估GDPR等境外法規。
建議三：強化員工的知情權。 建立清晰的員工資料使用告知機制，確保員工充分理解其資料被AI系統處理的方式、目的及影響，並建立具實質意義的異議管道。透明度不只是法規要求，更是維護員工信任的基礎。
建議四：成立跨部門AI治理小組。 建議由HR、法務、資訊安全及員工代表共同組成治理框架，定期審查HR AI系統的合規性、演算法公平性及個資保護成效。AI治理不是IT部門一個人的事，HR必須主動參與。
六、結論
AI為HR帶來的效能提升潛力毋庸置疑，但HR資料的高度敏感性，使這條路走起來比其他領域更需要謹慎。本文的核心論點是：這個困境的解方不是「不用AI」，而是「用得合規、用得透明、用得有人的溫度」。
HR資料的主體是人。在追求管理效能的同時，如何確保每一位員工的個資被妥善保護，將是未來十年人力資源管理專業最核心的治理命題之一。
參考文獻
European Data Protection Board (EDPB). (2020). Guidelines 05/2020 on Consent under Regulation 2016/679. EDPB.
European Parliament. (2024). Regulation (EU) 2024/1689 on Artificial Intelligence (EU AI Act). Official Journal of the European Union. 正式生效日：2024年8月1日。
European Union. (2016). General Data Protection Regulation (GDPR), Regulation (EU) 2016/679. Official Journal of the European Union.
Kahn, W. A. (1990). Psychological conditions of personal engagement and disengagement at work. Academy of Management Journal, 33(4), 692–724.
Ulrich, D. (1997). Human Resource Champions: The Next Agenda for Adding Value and Delivering Results. Harvard Business School Press.
個人資料保護法（中華民國101年修正版）。全國法規資料庫。https://law.moj.gov.tw
人工智慧基本法（中華民國114年通過）。全國法規資料庫。https://law.moj.gov.tw
性別工作平等法（中華民國111年修正版）。全國法規資料庫。https://law.moj.gov.tw
就業服務法（中華民國111年修正版）。全國法規資料庫。https://law.moj.gov.tw
Hunton & Williams LLP. (2024). The impact of the EU AI Act on human resources activities. https://www.hunton.com
LargitData. (2026). 企業AI導入的法規合規指南：台灣個資法、GDPR與金融監理完整解析. https://www.largitdata.com
和鼎律師事務所. (2026). AI與個資法：模型訓練、資料蒐集、跨境傳輸. https://www.headinglawyer.com
撰文者：游欣樺
指導老師：何凱彰