--- title: "人工智慧應用於人力資源管理之個人資料保護困境：法規框架與實務兩難之分析" slug: 20260823 url: https://hrlearning.com.tw/posts/20260823 published_at: 2026-08-23 modified_at: 2026-08-23 author: "人資小週末" category: "人資小百科" access: public_access --- # 人工智慧應用於人力資源管理之個人資料保護困境：法規框架與實務兩難之分析 By **人資小週末** | 2026-08-23 一、前言：HR遇上AI，一場必然的拉鋸想像一個場景：HR拿到一份履歷篩選AI工具的試用邀請，系統承諾能在三分鐘內從五百份履歷中找出最適合的十位候選人。聽起來很誘人但要讓這個系統運作，必須先把候選人的履歷、姓名、聯絡方式、工作經歷全部上傳到雲端平台。這個時候，HR心裡會浮現一個問題：「這樣做，合法嗎？」這個問題，正是本文要探討的核心。人工智慧（AI）技術的快速發展，已深刻改變人力資源管理（HRM）的實務樣貌。從履歷篩選、面試評估、薪資比較到員工離職預測與績效分析，AI工具正快速滲透HR工作的每個環節。然而，HR這個職能天生就是「個資集中地」員工的薪資、健康狀況、家庭背景、績效評核，全都在HR的檔案夾裡。這使得HR在導入AI時，面臨一個根本性的矛盾：AI需要資料才能運作，但HR手上的資料恰恰是最敏感、最受法規保護的那一種。本文從法規框架、HR實務場景及組織治理三個角度，分析此一困境的本質，並提出具體建議。二、為什麼HR的個資特別敏感並非所有個資都一樣敏感。在討論AI與HR的矛盾之前，有必要先理解HR資料在性質上的特殊性。第一，資料類型涉及高度敏感內容。HR所處理的資料，不只是姓名和電話，還包含薪資水準、健康狀況、婚姻狀態、家庭背景，甚至宗教信仰與犯罪紀錄。依我國《個人資料保護法》第6條規定，這類「特種個人資料」原則上禁止蒐集處理，僅在特定法定情形下方得例外為之。歐盟《一般資料保護規則》（GDPR）第9條亦有相同的嚴格限制。第二，員工在提供個資時缺乏真正的選擇權。當公司要求員工填寫入職表單，或要求應徵者上傳履歷，員工與雇主之間存在明顯的權力不對稱。員工很難真正「自由地」拒絕提供資料。歐盟資料保護委員會（EDPB）於2020年發布的指引明確指出，雇主與員工間的「同意」作為資料處理合法基礎，必須特別審慎評估其是否真正出於自願。第三，HR資料的生命週期極長。員工個資從招募階段開始累積，歷經任用、在職、離職，還有法定的保存年限，往往橫跨數年乃至數十年。這使資料安全管理的難度遠高於一般商業資料。三、HR實務中的AI應用場景與風險（一）招募篩選：效率與歧視的雙刃劍AI履歷篩選系統是目前HR領域最普遍的AI應用之一。這類系統透過機器學習分析應徵者的學經歷、語言表達模式，乃至面試影片中的表情與聲調，以預測其工作表現。然而，此一應用存在兩項核心風險。其一，應徵者的影像與聲紋屬於生物特徵識別資料，依個資法第6條屬特種個人資料，處理時須有明確法律依據。其二，AI演算法可能因訓練資料本身存在歷史偏誤，對特定性別、種族或年齡群體產生系統性歧視，此不僅是倫理問題，更可能違反我國《性別工作平等法》及《就業服務法》第5條禁止就業歧視之規定。（二）薪資管理與績效評核：資料上傳去哪了AI工具在薪資市場比較（Benchmarking）與績效預測上的應用，要求HR將員工薪資結構、考績紀錄上傳至第三方雲端AI平台進行分析。這個動作在實務上引發兩個核心問題：第一，員工薪資資料上傳至境外AI平台，是否構成個資法所規範的「國際傳輸」？台灣個資法雖制定於AI普及之前，但其核心原則完全適用於AI系統對個人資料的處理，跨境傳輸須評估受款國的法規保護是否相當。第二，員工的合理隱私期待問題即使資料是在職場情境下蒐集，當事人並未當然同意其資料被用於AI模型訓練或被傳送至境外伺服器。依我國個資法第20條規定，個人資料之利用應於蒐集之特定目的必要範圍內為之。若員工資料被用於原始蒐集目的以外的AI模型訓練，即可能構成目的外利用，須另行取得當事人同意或具備其他合法依據。（三）員工監控與離職預測：被看見的代價部分企業已開始透過AI分析員工的電子郵件頻率、會議參與度、系統登入行為及生產力數據，以預測員工的離職風險。這類應用雖具有人才留任管理的實務價值，卻帶來嚴重的倫理疑慮。當員工知悉其日常工作行為持續受到AI系統的監控與分析，其心理安全感（Kahn, 1990）將受到根本性的衝擊。換句話說，企業以AI留人卻可能因此讓員工更想離開。四、法規怎麼說：現有規範的保護範圍（一）台灣：個資法＋人工智慧基本法我國《個人資料保護法》確立了個資蒐集、處理與利用的基本原則，包含目的特定原則、比例原則及安全維護義務。個資法第5條確立的「比例原則」是評估AI系統合規性的核心：個人資料的蒐集、處理或利用，應與蒐集的目的具有正當合理的關聯，且應以對當事人利益最小侵害的方式為之。值得關注的是，台灣《人工智慧基本法》第14條明定，各目的事業主管機關應在AI研發及應用過程中，避免不必要之個人資料蒐集、處理或利用，並應促進個人資料保護納入預設及設計相關措施或機制。此一「隱私設計（Privacy by Design）」原則的法制化，為HR導入AI工具提供了明確的合規方向。（二）歐盟：GDPR＋EU AI ActGDPR第22條明定資料主體享有「不受完全自動化決策約束之權利」，並要求提供人工審查機制。EU AI Act於2024年8月1日正式生效，將就業相關AI系統列為「高風險」類別，要求具備透明度、可解釋性及人工監督機制，並規定雇主必須在部署高風險AI系統前告知員工及候選人。值得注意的是，根據EU AI Act附件三，高風險AI系統明確包含招募與甄選、績效評核、工作分配、升遷及終止僱用等HR核心應用場景。對台灣企業而言，EU AI Act具有域外效力，適用於任何AI系統輸出在歐盟境內被使用的情形，不論提供者或使用者位於何處。此意味著台灣跨國企業在處理涉及歐盟員工之HR資料時，須同時符合GDPR與EU AI Act的雙重要求。五、給HR的四個實務建議面對AI導入HR所引發的個資困境，本文提出以下具體建議。建議一：建立HR資料分級管理機制。 依資料敏感程度將HR資料區分為一般資料、敏感資料與特種資料三個層級，並訂定相應的AI利用限制。最小化原則的落實，是合規的第一道防線。建議二：在選工具前先做法律盡職調查。 評估AI工具時，不只看功能與價格，更須確認：資料是否傳至境外伺服器？服務商是否符合個資法委託處理規範？是否提供資料刪除與退出機制？核心自保策略為事前取得使用同意、落實去識別化處理，並針對跨境傳輸評估GDPR等境外法規。建議三：強化員工的知情權。 建立清晰的員工資料使用告知機制，確保員工充分理解其資料被AI系統處理的方式、目的及影響，並建立具實質意義的異議管道。透明度不只是法規要求，更是維護員工信任的基礎。建議四：成立跨部門AI治理小組。 建議由HR、法務、資訊安全及員工代表共同組成治理框架，定期審查HR AI系統的合規性、演算法公平性及個資保護成效。AI治理不是IT部門一個人的事，HR必須主動參與。六、結論AI為HR帶來的效能提升潛力毋庸置疑，但HR資料的高度敏感性，使這條路走起來比其他領域更需要謹慎。本文的核心論點是：這個困境的解方不是「不用AI」，而是「用得合規、用得透明、用得有人的溫度」。HR資料的主體是人。在追求管理效能的同時，如何確保每一位員工的個資被妥善保護，將是未來十年人力資源管理專業最核心的治理命題之一。參考文獻European Data Protection Board (EDPB). (2020). Guidelines 05/2020 on Consent under Regulation 2016/679. EDPB.European Parliament. (2024). Regulation (EU) 2024/1689 on Artificial Intelligence (EU AI Act). Official Journal of the European Union. 正式生效日：2024年8月1日。European Union. (2016). General Data Protection Regulation (GDPR), Regulation (EU) 2016/679. Official Journal of the European Union.Kahn, W. A. (1990). Psychological conditions of personal engagement and disengagement at work. Academy of Management Journal, 33(4), 692–724.Ulrich, D. (1997). Human Resource Champions: The Next Agenda for Adding Value and Delivering Results. Harvard Business School Press.個人資料保護法（中華民國101年修正版）。全國法規資料庫。https://law.moj.gov.tw人工智慧基本法（中華民國114年通過）。全國法規資料庫。https://law.moj.gov.tw性別工作平等法（中華民國111年修正版）。全國法規資料庫。https://law.moj.gov.tw就業服務法（中華民國111年修正版）。全國法規資料庫。https://law.moj.gov.twHunton & Williams LLP. (2024). The impact of the EU AI Act on human resources activities. https://www.hunton.comLargitData. (2026). 企業AI導入的法規合規指南：台灣個資法、GDPR與金融監理完整解析. https://www.largitdata.com和鼎律師事務所. (2026). AI與個資法：模型訓練、資料蒐集、跨境傳輸. https://www.headinglawyer.com撰文者：游欣樺指導老師：何凱彰