以香港为出海中枢的AI治理合规框架——PCPD模型框架运行两年后的规则演进、监管逻辑与企业应对

引言

香港正在成为不少内地企业安排境外服务器、国际数据中心、区域运营总部和AI业务试点的重要节点。与欧盟以统一AI专门法进行风险分级监管、内地以数据合规、算法备案、生成式AI与深度合成规则并行监管不同，香港目前尚未形成统一的AI专门法，而是以《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，Cap.486，以下简称“PDPO”）为法律底座，由香港个人资料私隐专员公署（Office of the Privacy Commissioner for Personal Data, Hong Kong，以下简称“PCPD”或“私隐专员公署”）通过模型框架、合规检查、员工使用清单、AI Agent风险提示和Deepfake工具包逐步形成AI治理规则体系。¹

由PCPD于2024年发布的《人工智能：个人资料保护模范框架》（Artificial Intelligence: Model Personal Data Protection Framework，以下简称“2024模型框架”）已经运行近两年的时间。本文以该框架运行后的香港治理现状为中心，分析PCPD的监管职能、2024模型框架的法律性质、软法规则的硬化路径，以及中国企业在香港部署AI系统时的合规重点。本文认为，香港AI治理的核心并非“无监管”或“低监管”，而是以个人资料保护、机构问责、风险评估、人工监督和持续审计为核心的中间型治理模式。²

01.问题提出：香港AI治理已经进入框架运行后的总结阶段

对以香港为出海中枢的企业而言，AI治理问题通常不是在企业注册之初即显现，而是在服务器选址、数据中心部署、国际客户运营、跨境团队协作和第三方AI工具采购过程中逐步暴露。企业往往先将香港理解为境外运营平台，再将AI系统视为提升客户服务、销售管理、研发协同或内部效率的技术工具。但一旦AI系统处理客户资料、员工资料、用户画像、交易行为、通信记录或企业知识库，香港个人资料保护规则即会介入。