禁用清单挡不住一次上传：数据外流的四道控制缺在哪｜洹拓科技
一、名册里有两类人，被系统当成了现员工的附件
一家制造企业（公开报道为松下及其子公司）的人力信息系统项目里，一名负责该项目的员工违反既定规则，把包含现员工、前员工及员工家属的数据上传到制度清单上写明禁止使用的外部生成式人工智能服务平台。当事企业公告给出的影响口径是合计约 33.4 万人，其中现员工约 7.5 万、前员工约 17.8 万、现员工家属约 5.5 万、前员工家属约 2.6 万。这些数字来自企业公告与公开报道，不是本篇的判断依据；本篇关心它的结构：两类不在职主体的规模都超过在职主体，而多数分级制度没把他们单独立档。
涉及的字段包括现员工与前员工的编号、地址、电话号码、电子邮箱，以及作为紧急联系人的家属姓名、地址、电话与邮箱。同一组字段按四个维度重排之后，风险含义完全不一样。
- 标识类，即编号。它本身不可读，却是和企业内部其他系统对得上的钥匙，能把一份名册拼回一个人的完整档案。
- 联络类，即地址、电话、邮箱。三样都能被单独滥用，也是事后最容易被拿来做精准诈骗的入口。
- 紧急联系人，即家属那四件套。录入时是善意，出了事要能联系上家人；一旦雇佣关系结束，它就把一个从未与企业签过任何协议的人变成了受影响主体。
- 历史任期，即入离职时间、任职部门、薪酬与社保的历史。正是这一维度决定了“离职即删除”在人事系统里通常不成立。
前员工与家属的记录之所以远多于现员工，机制并不神秘：每一次组织调整、福利结算、工伤理赔都会留下一版带完整联络字段的历史。法定与合同义务也把记录按在库里，竞业与保密、年金结算、审计追溯都需要离职者的身份与联系方式。紧急联系人字段更是只被补全、从不被回收，本人换过好几轮号码，家属那条往往还停在最初填的版本上。前员工的联络渠道还在天然失效，邮箱被回收、号码换了人，这既是数据质量问题，也直接决定后面的通知方案能不能落地。
所以分级不能只按在职与离职两档，要按“谁与主体的关系仍然成立、靠什么成立”分档。对前员工，关系仍在，只是载体从劳动合同变成法定保留义务；对家属，关系从来不是合同关系，企业是在替一个不在场的人保管信息。后一档的字段应当默认最小化，把紧急联系人放进另一张表、另一套访问权里，而不是和员工本人的记录一起被整表导出。
二、一句“禁止”要落成四道控制，制度文本不在其中
“不得使用外部生成式 AI”写在制度里，如果任何一道技术控制里都找不到落点，它就只是一句话，不是一道控制。四道控制，各给判据。
第一道在出口。判据是能否按内容类别与上传行为识别，而不是靠一份域名清单。清单永远列不全，新域名、镜像、挂在通用域名后面的直连接口，都比清单更新得快。可用的判据是载荷形态：一批“姓名加电话加邮箱”的结构化字段成组出网，单文件行数与字段密度明显偏离日常办公文档，同一终端向未登记端点反复提交。这里要说清楚的是识别能力的建设方向，不是绕过手法，域名清单只能当辅助信号。
第二道在终端，而终端侧要先承认拦不住。浏览器扩展、剪贴板、截图，再加上员工自己的个人设备，这几条通道的共同点是企业没有阻断权。终端侧的目标就该定成可见性而不是阻断率：能不能记录下“有一次大段文本从剪贴板进了某个浏览器标签页”。把终端侧写成阻断层，验收数字一定好看，事故一定照发。
第三道在账号。一个用个人邮箱注册的 AI 服务账号出现在工作网络里，这件事本身要不要管？要。判据不是这次内容合规与否，而是会话归谁持有：个人账号的对话记录、副本、删除策略都写在服务方面向消费者的条款里，企业既看不到也删不动。企业租户下的受控服务至少还有一件东西可谈，那就是保留期与删除凭证。
第四道在替代通道，最常被漏，也最致命：没有一条被允许的路时，前三道必然被绕过。判据很实在：一名员工想问一句“这份名单里有没有重复项”，能不能在被允许的路径上顺手做完。缺位时的补法是三件套，企业租户内的受控模型服务、一份字段结构同真而内容全假的样例数据集、一个先把编号与邮箱替换掉再提交的脱敏工具。
还有三样东西常被当成控制：制度文本、培训签到、事后追责。它们都不改变“这件事能不能发生”，只改变“发生之后由谁承担”。验收时只问一句：把这条制度删掉，系统里有没有任何一个行为会跟着变？一个都没有，它就不是控制。
三、当事人删了聊天记录，处置结论仍然没成立
事件发生后，导致事故的员工自行删除了生成式 AI 的聊天记录以及工作电脑中的相关数据。这一步在处置报告里很容易被写成“已消除影响”，实际上它是三件需要分别举证的事，举证方各不相同。
第一件，会话记录是否删除。能举证的只有当事人本人，而当事人既是行为方又是删除方，这个角色组合不成立。企业能查的只有另一侧：本地缓存、浏览器存储、下载与导出目录、同步备份里是否还有残留。所以这一项的正确写法是“在企业可审计的本地与出口日志范围内未再发现该数据集”，而不是“已删除”。
第二件，服务商侧副本的保留与到期删除。企业无法自证。服务方表示按合规要求保留的那部分数据会在一个期限后被删除，这是对方的说明，我们拿不到执行记录。它唯一的归宿是被作为一条第三方承诺登记在案：服务方名称、账号主体、承诺保留期、承诺的删除动作、到期复核的责任人与方式。登记的价值不在于它证明了什么，而在于期限到时，有一个具体的人被要求去问一次。
第三件，是否进入训练语料。同样是第三方声明，而且企业连审计手段都没有。公开报道里服务方称相关数据未被纳入训练资料库，企业也称尚未发现这批数据被进一步泄露。这两句都得记成声明而不是结论，写进卷宗时把“声明方”那一列留住，别让它传抄成企业自己的认定。
把三件事摊开，结论很朴素：企业真正能自证的，只有本地与出口日志这一段。把另外两段写成已完成，是处置报告里最贵的一次修辞。
四、通知要用的联系方式，正是这次外泄的字段
四类受影响主体的通知渠道根本不同，而难点在于通知动作本身依赖被泄露的那批数据。
- 现员工有内部渠道，工号、内部通讯录、人力资源门户都能用，可以要求本人到指定入口确认，不依赖外泄字段。
- 前员工只剩外泄名单里那组邮箱与电话，而这组字段可能已失效，也可能已被他人接手；用它去触达，等于把一次外泄变成一次主动投递。
- 现员工家属没有企业内部身份，常规做法是请员工本人转达，这又把在职员工变成了二次传播节点，还得考虑本人是否愿意。
- 前员工家属既无在职身份也无内部渠道，最容易被整体漏掉，通常在通告发出之后才被想起来。
处理办法不是另找一份没泄露的号码，那种东西通常不存在，而是在通告方案里显式写下三条。其一是渠道分层与二次登记入口：提供一个不预填任何字段的确认入口，由本人主动登记新的联系方式，登记这个动作本身就是一次身份确认，无法自助的人保留人工电话与线下窗口。其二是通知对象正确性的证明：入口不要求输入原始电话或邮箱明文来“自证是本人”，改用事件编号加一次性凭证、由本人回答“该记录是否属于自己”这种可回执的形式，回执留档，作为触达率的凭据。其三是公开兜底：在当事企业与相关方的公开页面挂出事件说明与自查指引，服务那些渠道彻底失效的人，同时把“无法用被泄露字段安全触达”这件事本身写进通告，而不是留白。
五、四段责任表：配置权、日志、时长、签字
| 段 | 配置权在谁手上 | 必留日志 | 保留时长的口径 | 谁签字 |
|---|---|---|---|---|
| 事前拦截 | 网络安全团队持有出口与终端策略变更权，任何放宽需数据责任人会签 | 出口识别的命中记录与放行记录、策略版本号与变更单 | 不短于事后定损所需的最长追溯窗，按合规制度约定 | 安全负责人 |
| 事中检出 | 安全运营侧配置检测规则与告警分级 | 大字段成组出网事件、账号归属标注（企业租户还是个人账号） | 与安全事件调查周期一致 | 安全运营负责人 |
| 事后定损 | 数据责任人牵头，法务与人力资源部门供数 | 字段级影响面清单、按四类主体分别计数的名单状态（可触达、已失效、待确认） | 事件卷宗单独归档，随档案制度 | 数据责任人 |
| 对外通告 | 法务与公关共同持有文案，技术侧只提供数据不做表述 | 通告文案版本、触达与回执统计、声明方标注 | 事件关闭后按档案保留期 | 法务负责人 |
这张表的重点不在四段名字，而在三处常被含糊过去的地方。配置权与签字人必须分离，谁都能改的策略等于没人负责的策略。日志要留“放行”而不只留“命中”，一次没拦下的上传，事后要能看到它当时为什么被允许。声明方必须成列，把服务方的说明写成企业自己的结论，是定损阶段的第一个错误。
六、翻回乙方：我们的仓库和工单系统也会被“临时拿去问一句”
我们是做软件开发、模型研发、云服务、工业 AI 与 SaaS 的，同样的动作在自己场里更常见也更隐蔽：把接口文档丢进去问有没有设计缺陷，把报错日志贴进去问原因，把客户名单和报价贴进去让模型整理。这三类和人事名册的区别不在敏感度而在类别，所以矩阵不能只有一行。
在洹拓的项目准入清单里，这件事落成一张“允许的模型服务乘以允许的数据类别”矩阵，单元格用三态：允许、脱敏后允许、不允许。
| 数据类别 | 企业租户受控服务 | 外部消费级 AI 服务 |
|---|---|---|
| 源码与依赖清单 | 允许 | 不允许 |
| 生产配置与密钥材料 | 脱敏后允许 | 不允许 |
| 客户身份类字段 | 脱敏后允许 | 不允许 |
| 运行遥测与日志片段 | 允许 | 脱敏后允许 |
| 商务信息，含客户名单与报价 | 不允许 | 不允许 |
矩阵写完不等于控制成立，评审时靠日志抽查而不是靠承诺函。判据是：按周期抽若干在跑项目的出口流量样本，把矩阵单元格的申报状态和实测分布对上，抽出的偏离项必须落到一条整改工单上闭环；签了字的合规承诺函只能算意愿证据，不进验收表。另一条要登记的，是把“没有可用替代通道”当成项目风险写进风险清单，而不是当成个人纪律问题。
一句“禁止”省下的是写制度的时间，赔进去的是四道控制的成本。交付给客户的东西从来不是“我们禁止了什么”，而是“哪一次上传会被看见、谁去向服务商索要那份删除凭证”。把这两件事写成字段、写成判据、写成签字人，“禁止”才开始起作用。