目 录
第一章 总则
第一条 为规范公司员工使用WorkBuddy等人工智能智能体（AI Agent）工具的行为，加强企业信息保护，防范数据泄露与合规风险，根据《中华人民共和国保守国家秘密法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《生成式人工智能服务管理暂行办法》以及国务院国资委关于中央企业商业秘密保护、网络安全与合规管理的有关规定，结合公司实际，制定本细则。
第二条 本细则适用于公司总部各部门、各事业部、所属各分子公司、项目部（以下统称"各单位"）的全体员工，以及劳务派遣人员、实习人员、外聘专家、驻场协作人员等实际使用公司信息资源的其他人员（以下统称"员工"）。
第三条 本细则所称相关术语含义如下：
（一）WorkBuddy：指公司统一采购部署的企业级AI智能体协同工作平台，含其客户端、网页端、移动端及基于该平台搭建的各类智能体应用。
（二）AI Agent工具（AI工具）：指基于大语言模型等人工智能技术，具备智能对话、内容生成、代码编写、数据分析、文档处理、联网检索、自动执行任务等能力的软件、平台或插件，包括但不限于各类对话助手、办公助手、编程助手、知识库问答系统及定制化智能体。
（三）企业敏感信息：指不为公众所知悉、能为公司带来经济利益、具有实用性并经公司采取保密措施的技术信息和经营信息，以及其他一旦泄露可能损害公司利益、损害国家利益或者违反法律法规的内部信息，包括商业秘密、工作秘密和内部管理信息。
（四）私有化部署：指AI工具及其模型运行环境部署于公司自有或专属可控的服务器、专有云环境，数据不出公司安全边界。
第四条 AI工具使用管理遵循以下原则：
（一）依法依规、安全可控。严格遵守国家法律法规、行业监管要求和上级单位管理规定。
（二）分类分级、最小必要。按信息密级和敏感程度实行差异化管控，仅向AI工具提供完成工作所必需的最少信息。
（三）谁使用、谁负责。使用人对输入信息的合规性和输出成果的准确性承担直接责任。
（四）全程留痕、可追溯。使用行为纳入统一审计，日志完整保存，责任可查可溯。
第五条 公司鼓励员工在合规前提下积极运用AI工具提质增效。AI工具仅作为辅助手段，不得替代岗位专业判断、法定审查审批程序和逐级签发责任；其生成内容用于正式成果前，必须经人工审核把关。
第六条 全体员工应牢固树立"上网不涉密、涉密不上网"的红线意识。任何AI工具均不得处理国家秘密；未经批准，不得使用AI工具处理企业核心商业秘密和工作秘密。
第二章 组织管理与职责
第七条 公司网络安全与信息化领导小组（保密委员会）统一领导AI工具使用与信息保护工作，审定AI工具准入目录、重大使用事项和违规处理意见。
第八条 信息化管理部门是AI工具的技术归口管理部门，主要职责：负责AI工具的统一选型、部署、运维与版本管理；建立并维护《允许使用AI工具目录》（白名单）；实施身份认证、权限分配、数据防泄漏（DLP）、水印加密等技术管控措施；负责使用日志的采集、留存与审计分析；组织安全评估与应急技术处置。
第九条 保密办公室（保密办）主要职责：负责定密管理和密级标识监督；参与AI工具准入安全审查；组织保密监督检查和泄密事件查处；牵头违规行为的调查与责任认定。
第十条 法务合规部门主要职责：负责AI工具采购合同、数据处理协议的法律审查；负责AI生成内容知识产权合规审查；参与处理因AI工具使用引发的法律纠纷。
第十一条 各单位（部门）负责人是本单位（部门）AI工具使用与信息保护的第一责任人，负责落实日常审批、教育提醒和监督检查。员工本人对本人账号下的全部使用行为负责，上岗前须签署《AI工具使用与保密承诺书》，承诺书作为劳动合同附件或保密协议的组成部分。
第三章 AI工具准入与分类分级管理
第十二条 公司实行AI工具白名单管理制度。信息化管理部门会同保密办、法务合规部门定期评估并发布《允许使用AI工具目录》，明确每款工具的准入级别、适用场景、功能限制与数据边界。目录之外的任何AI工具（含浏览器插件、小程序、个人版应用），一律禁止用于处理工作事务。
第十三条 公司AI工具按数据安全能力分为三级：
（一）A类（私有化／专有云部署，数据不出域）：包括公司统一私有化部署的WorkBuddy企业版及经评估的专属模型服务，可处理内部一般信息，经审批可处理普通商业秘密。
（二）B类（经审批的公有云SaaS工具）：通过公司安全评估并签订数据处理协议的公有云AI服务，仅可处理已公开信息及经脱敏处理的一般业务信息。
（三）C类（未评估、未授权工具）：包括各类个人版AI应用、境外AI服务及来源不明的插件工具，禁止用于任何工作场景。
第十四条 员工因工作需要使用目录外AI工具的，应填写《AI工具使用申请表》，说明用途、拟处理信息类型及数据流向，经所在部门负责人审核、信息化管理部门安全评估、保密办备案后方可使用。安全评估内容包括：服务商资质与信誉、数据存储位置、输入数据是否用于模型训练、是否存在跨境传输风险、协议中数据删除与保密条款等。
第十五条 AI工具账号实行统一身份认证、实名使用。严禁共用、借用、出租账号；严禁将企业账号与个人账号混用；严禁使用个人手机号、个人邮箱注册的工具账号处理公司业务。员工离岗、离职时，信息化管理部门应及时回收其全部AI工具权限，并由所在部门清理其保存的智能体配置、知识库与会话数据。
第十六条 员工不得擅自创建、发布连接公司内网系统、数据库、知识库或业务系统的自定义智能体、插件、工作流和API调用；确因业务需要建设的，按公司信息化项目立项流程审批，并通过安全测试后方可上线。
第四章 日常使用注意事项
第十七条 提示词（Prompt）编写应坚持最小必要原则，不得夹带与当前任务无关的内部信息。引用背景资料时，优先采用脱敏化、概括化表述，以"某项目""某区域""某业主"等替代真实的项目名称、地理坐标、合同金额和当事人名称。
第十八条 AI生成内容可能存在事实错误（"幻觉"）、数据过时、引用虚构、侵犯知识产权等问题。用于正式文件前，使用人必须逐项核对事实、数据与引文；涉及工程技术参数、规范条文、工程量清单、造价数据、法律条文的，须由具备相应专业资格的人员复核确认。
第十九条 由AI辅助生成的技术方案、报告、公文等，在内部流转稿中应按公司规定注明AI辅助生成情况；对外成果的质量责任与法律责任由出具单位和签发人承担，不因使用AI工具而减免。
第二十条 不得利用AI工具生成、改编侵犯他人著作权、专利权、商标权的成果。将AI生成的大段文字、图纸、代码用于投标文件、设计交付物或对外发表前，应进行知识产权合规审查，必要时经法务合规部门审核。
第二十一条 员工应配合系统对使用行为的自动留痕，不得删除、篡改、导出使用日志；通过API接口执行的批量任务，应保留任务清单、输入输出记录备查。发现AI工具输出涉密敏感内容或异常行为的，应立即停止使用并向保密办、信息化管理部门报告。
第五章 禁止使用事项（负面清单）
第二十二条 严禁处理涉密信息。严禁将国家秘密、国防军工涉密信息输入任何AI工具；严禁在连接互联网的任何AI工具中处理标注"秘密""机密""绝密"或者按涉密事项管理的文件、资料、数据及其任何片段。
第二十三条 严禁向B类、C类工具泄露核心经营信息，包括：未公开的投标报价、标底、成本测算数据、投标策略与报价模型；未公开的中标结果与合同价格信息；公司战略规划、年度经营计划、并购重组与投融资方案；未公开的财务报表、经营分析与业绩数据；重大诉讼仲裁案件材料。
第二十四条 严禁向B类、C类工具泄露核心技术信息，包括：未公开的施工图设计文件、设计图纸、BIM模型、勘察报告、地质资料、试验检测数据；专有技术、企业工法、专利交底书及在研科研课题资料；核心算法、软件源代码、系统架构文档；网络安全防护方案、系统口令、密钥、数字证书。
第二十五条 严禁泄露个人信息。严禁上传员工及合作方人员的身份证件号码、银行账户、薪酬明细、健康状况、行踪轨迹等个人信息；确需处理含个人信息数据的，应先脱敏去标识化，并按《个人信息保护法》履行告知、授权等法定程序。
第二十六条 严禁不当使用生成能力。严禁利用AI工具制作、复制、传播法律法规禁止的信息；严禁利用AI工具伪造公文、印章、证件、合同、领导批示与他人声音形象；严禁将AI生成的虚假数据、虚假影像用于工程验收、计量支付、报销审计等场景。
第二十七条 严禁规避监管。严禁通过VPN、代理、镜像站点等方式绕开公司网络管控访问境外AI服务处理工作事务；严禁在个人电脑、个人手机上安装使用未授权AI工具处理公司业务；严禁关闭、绕过或干扰数据防泄漏（DLP）、终端管控、行为审计等安全系统；严禁通过截屏、拍照、口述转录等方式变相向AI工具输入受控信息。
第二十八条 严禁不当授权与自动决策。严禁配置AI Agent自动执行资金支付、合同签署、对外承诺、人事任免、邮件群发等具有法律效力的操作；AI Agent被授予的系统操作权限不得超出使用人本人权限范围；涉及第三方权益的输出内容，未经人工复核不得自动对外发送。
第六章 文件与数据防泄漏管理
第二十九条 公司信息资产实行五级分类管理：国家秘密（按国家定密管理规定执行）、核心商业秘密、普通商业秘密、内部一般信息、可公开信息。各单位应对文件资料逐项定级并在文件首页或元数据中标识密级，密级标识是判断能否使用AI工具处理的直接依据（对照关系见附件一）。
第三十条 信息化管理部门应建立覆盖终端、网络、平台三层的技术防护体系，包括：文档数字水印与透明加密；数据防泄漏（DLP）系统对上传、粘贴、外发行为的识别与阻断；剪贴板监控、截屏管控与终端准入；AI平台侧的文件类型、大小、敏感词与密级标签校验。
第三十一条 向公司以外单位（含业主、设计咨询、分包、供应商等协作方）提供AI辅助形成的文件资料，应按公司对外提供资料审批流程办理；涉及敏感信息的协作，应签订保密协议并明确对方使用AI工具的约束条款。
第三十二条 公司与AI服务商签订的采购合同及数据处理协议中，应明确约定：公司数据不得用于服务商模型训练；数据存储于境内指定区域；服务期满或终止后数据彻底删除；发生安全事件时的通知与赔偿责任。使用人应在平台设置中关闭"对话记录用于改进模型"等默认开启的数据回传选项（由信息化部门在后台统一关闭的除外）。
第三十三条 AI工具使用日志（含登录、提问、上传、导出记录）留存期限不少于一年；保密办会同信息化管理部门定期开展专项审计与随机抽查，重点核查高频上传、批量导出、敏感词触发等异常行为。
第七章 文件上传限制
第三十四条 文件上传实行分级审批：内部一般信息上传至B类工具的，经所在部门负责人审批；普通商业秘密上传至A类工具的，经部门负责人审核、保密办审批；核心商业秘密、工作秘密、国家秘密，任何情况下禁止上传至任何AI工具。口头提问同样适用本章限制，不得以"只问不传文件"为由规避审批。
第三十五条 允许上传的文件，上传前应完成以下处理：删除或替换项目真实名称、业主名称、精确地理位置等标识信息；清除文档属性、修订记录、批注等元数据；隐去与当前任务无关的关键参数、报价数据；大文件按章节拆分，仅上传必需部分。
第三十六条 上传文件格式与大小实行白名单控制：仅允许docx、xlsx、pptx、pdf、txt、png、jpg等通用办公格式；单文件不超过20MB，单次会话累计不超过100MB（平台后台另有从严设定的，从其设定）。压缩包、可执行文件、CAD原始文件（dwg等）、BIM模型文件（rvt、ifc等）、数据库文件原则上禁止上传，确因业务需要的，经信息化管理部门专项审批并在隔离环境中使用。
第三十七条 批量上传文件、将文件目录挂载至AI知识库、向AI工具开放共享盘或业务系统接口的，须经信息化管理部门专项审批并报保密办备案，明确数据范围、使用期限和回收机制，到期及时清理。
第八章 特殊场景特别规定
第三十八条 投标场景：投标报价编制、成本测算阶段的文件资料仅可在A类工具中处理；自投标文件开始编制至开标结果公示期间，禁止使用B类、C类工具处理任何投标文件内容；中标结果公示前，严禁利用AI工具对外生成涉及投标情况的说明、新闻稿。
第三十九条 涉密项目与军工项目：全程禁止使用任何联网AI工具处理项目信息，确需使用AI辅助的，仅可使用部署于公司涉密信息系统内、经保密审查批准的专用工具，并按涉密载体管理规定管理全部输入输出。
第四十条 海外项目：除遵守本细则外，还应遵守项目所在国（地区）数据保护与跨境传输法律法规；涉及境内数据出境的，按国家数据出境安全管理规定履行评估、认证或标准合同程序后方可实施。
第四十一条 公文与对外宣传：AI辅助生成的公文、领导讲话稿、新闻宣传稿，须按公司公文管理和新闻宣传管理规定经人工审核签发后方可印发或发布；任何文件不得以AI工具名义署名发文；不得使用AI生成内容冒充调研报告、检测结论、验收意见。
第九章 监督检查与责任追究
第四十二条 保密办会同信息化管理部门、法务合规部门将AI工具使用情况纳入年度保密检查和网络安全检查，采取技术审计、现场抽查、账号核查等方式开展监督。
第四十三条 违规使用AI工具的，视情节轻重处理：一般违规（如未按规定审批、未及时报告异常）给予提醒谈话、通报批评；较重违规（如违规上传敏感信息未造成实际泄露）给予绩效扣减、取消当年度评优评先资格、调离关键岗位；严重违规（如造成商业秘密泄露、擅自使用C类工具处理涉密敏感信息）依纪依法给予纪律处分直至解除劳动合同；涉嫌犯罪的，移送司法机关。对负有管理责任的单位（部门）负责人，一并追究领导责任。
第四十四条 信息泄露报告与应急处置：员工发现或怀疑因使用AI工具导致信息泄露的，应立即停止相关操作，第一时间报告所在部门负责人和保密办，并在二十四小时内提交书面情况说明。保密办牵头启动应急预案，会同信息化管理部门采取删除平台留存数据、固定证据、评估影响、通知相关方等措施，并按有关规定向上级单位报告。
第四十五条 鼓励员工举报违规使用AI工具的行为，公司对举报人信息严格保密。对主动报告违规情形、及时采取补救措施、有效避免或减轻损失的，可以从轻、减轻处理。
第四十六条 公司将AI工具安全使用纳入新员工入职培训和年度保密教育，每年至少组织一次专题培训与在线考试；考试不合格的，暂停其AI工具使用权限，补考合格后恢复。
第十章 附则
第四十七条 所属各单位可结合实际制定实施细则，报公司保密办备案；项目部应将本细则要求纳入与协作单位、劳务队伍的保密协议。
第四十八条 本细则由公司保密办公室、信息化管理部门负责解释。
第四十九条 本细则与国家法律法规、上级单位规定不一致的，从其规定，并由保密办及时组织修订。
第五十条 本细则自印发之日起施行。
附件一 信息分类分级与AI工具使用权限对照表
本表是判断各类信息能否使用AI工具处理的直接依据。定级以文件密级标识为准；同一文件含不同等级信息的，按最高等级从严管理。
信息等级 | 典型内容 | A类工具（私有化部署） | B类工具（审批SaaS） | C类工具（未授权） |
| 标注"秘密""机密""绝密"及按涉密管理的文件资料 | | | |
| 投标报价与标底、战略规划、未公开财务数据、核心技术资料、并购方案 | | | |
| | | | |
| 不含敏感内容的制度文件、一般性通知、经脱敏的业务素材 | | | |
| | | | |
附件二 常见场景速查表
本表供员工日常快速查阅。表中所列场景未覆盖的，按本细则正文条款执行；把握不准的，先向所在部门负责人或保密办咨询，再使用。
常见场景 | 能否使用 | 具体要求 |
| | |
| | |
| | |
| | 仅限A类工具；开标结果公示前禁用B类工具处理投标文件 |
| | |
| | |
| | |
| | |
| | |
| | |
土木工程AI
发表于 2026-10-9 15:00:54
