做员工培训时最容易卡在「这算不算违规」上：同事把表格丢进外部模型问两句、把客户名单存到私人网盘、离职前把资料拷到 U 盘，到底哪些要拦、哪些可以放。这篇不讲大道理，给一套能直接搬进培训的判断题口径、判定顺序和自查清单，顺带说清哪些判断在什么情况下不适用。
做员工培训最怕讲完一堆原则，员工回到工位还是不知道「这个动作到底算不算违规」。同事把一张表格丢进外部模型问两句、把客户名单顺手存到私人网盘、离职前拷一份资料到 U 盘，这三种事在培训现场举手投票常常一半人答错。问题不在员工不重视，而在判断题缺一套统一口径。
这篇不讲大道理，给一套能直接搬进培训课件的判定框架：先看哪几个变量、高频行为逐条怎么判、拿不准时按什么顺序走流程，最后给一份能发到群里的自查清单。所有判断都配了「什么情况下不适用」，避免把口径当铁律。
先给判断标准：一道判断题该看哪几件事
判断一个行为合不合规，不要先问「这算不算严重」，而要先把四个变量拆出来：数据是谁的、有没有授权、数据去了哪里、留多久。四项里任意一项说不清，就不能判合规，只能判「待确认」。培训时可以把这四个变量做成一问一答的填空卡，让员工先填再判。
- 数据是谁的
- 是公司自有数据、客户委托数据，还是员工个人数据；权属不同，处置权限完全不同
- 有没有授权
- 授权要落到具体的人、具体用途、具体期限，口头说「应该没事」不算授权
- 去了哪里
- 数据流向公司内网、公司认可的云服务，还是流向个人设备、个人账号、外部平台
- 留多久
- 用完即删、按项目周期保留、长期归档，保留越久风险越大，需要有对应理由
还要区分三种动作：内部流转、对外提供、公开发布。这三档要求依次升高，判断标准不能互相套用。把内部流转的口径拿来判对外提供，往往放得太松；反过来又容易把正常协作卡死。
| 动作类型 | 典型场景 | 判断要点 |
|---|---|---|
| 内部流转 | 部门间共享表格、内部系统导出 | 看权限是否匹配岗位，导出后有无留存和销毁安排 |
| 对外提供 | 发给外部模型、供应商、合作方 | 看有没有审批、有没有脱敏、接收方是否在认可范围内 |
| 公开发布 | 对外宣传、发布会、公开仓库 | 看是否含个人信息、商业秘密，是否经过对外口径审核 |
高频行为逐条对照：这些做法怎么判
培训现场最需要的是具体例子。下面这些行为在多数公司里反复出现，把它们做成判断题比讲条款有效得多。每条都给出「通常可接受」和「通常踩线」的分界，员工对照自己的日常动作就能判断。
- 把不含个人信息的公开资料贴进外部模型做摘要或翻译，通常可接受；一旦夹带客户姓名、手机号、合同金额、内部系统截图，性质就变成对外提供数据，需要走审批。
- 把工作资料同步到私人网盘、私人邮箱或家用电脑，无论内容敏不敏感都不建议，因为它把数据带出了公司可控范围，后续删除和追溯都做不到。
- 截图发到工作群讨论问题、投屏演示时通知弹窗露出其他项目信息，属于典型无意泄露场景，培训里要专门提示先关弹窗再共享屏幕，敏感截图要打码。
- 复用他人账号、共享 API Key、把权限临时借给同事代查，看起来只是省事，实际让所有操作记录失去归属，出问题时无法定位到人。
- 用个人手机拍白板、拍屏幕留存要点，如果没有同步到公司认可的位置且原图随手删掉，等同于把数据留在了不可控设备上。
不适用的情况也要说清楚：有的岗位确实需要带数据外出拜访客户，有的研发场景需要把脱敏样本交给外部做联调。这类情况不是一律禁止，而是要提前走审批、限定用途和期限，回来后按要求销毁或归档。
拿不准时的三步走：别靠猜，靠流程
培训的目标不是让员工背下所有条款，而是让他们知道拿不准时该做什么。下面三步可以做成工位贴纸，遇到判断不了的动作先走一遍，比在群里问「这个能发吗」效率高得多。
- 先停下动作不确定就先别发、别传、别存。确认这份数据属于哪一类、有没有同类对外提供的先例和审批记录，先例不是授权，但能帮你找到该问谁。
- 问对的人找数据 Owner 或合规接口人。把问题写成一句话：什么数据、给谁、干什么用、留多久。信息越具体，对方越能直接给结论，而不是回你「看情况」。
- 留下痕迹把申请、答复、最终处理方式记在同一处，比如工单或邮件串。事后审计、纠纷举证、口径复盘都靠它，也能避免同一个人反复来问同一个问题。
紧急场景要单独开口子：线上故障排障、影响面很大的事故处理，可以按预案先处理再补审批。但补手续的时限、补到哪一级、由谁确认，必须写进制度，否则「紧急」会变成绕流程的万能理由。
搬进培训的清单：让员工带走能做的事
一次培训能不能留下东西，看员工散场时带走了什么。建议不要发几十页 PDF，而是发一页行为清单加两张自查卡，配上发现误操作后的上报路径，这样第二天就能用上。
| 档位 | 行为举例 | 配套动作 |
|---|---|---|
| 可以做 | 处理公开信息、使用公司认可的系统和账号 | 按常规操作，不需要额外审批 |
| 需要审批 | 对外提供含业务数据、导入外部工具、临时开权限 | 先提工单或邮件申请，写明用途和期限 |
| 一律禁止 | 私人网盘存工作资料、共享账号密码、未脱敏数据发外部平台 | 发现即上报，按公司事件流程处理 |
- 两分钟自查：这份数据能不能说清来源和用途；接收方是不是公司认可的范围；这次操作有没有留痕，三问里有一个答不上就先停。
- 上报路径要写清第一联系人和时限，误发邮件、误传文件之后先通知谁、多久内报，别让员工自己扛着不说。
- 定期抽检：拿真实工单和脱敏后的历史事件做小测，比一次性考试更能看出习惯有没有改过来。
- 把培训口径和站内资料库对齐：涉及外部工具和平台的数据流向，到 /tools 看工具目录里标注的适用场景，避免口径打架。
最后提醒一句：判断标准会随业务和监管变化，培训材料不要写死结论。涉及具体价格、跑分、名次和版本信息的内容，让员工去站内对应页面核对当时的数字，别把截图当依据。
下一步把这份清单和站内的中转站可信度检测、工具目录配合使用，能直接看出数据流向哪些外部服务、哪些需要重点管控。→常见问题
同事把内部文档贴进外部 AI 工具做润色，算违规吗？
要看文档内容和工具归属。纯公开资料、无标识的内部通用文案，风险较低；一旦包含客户信息、未公开的经营数据或个人信息，就属于对外提供，需要走审批。判断要点是「数据去了公司可控范围之外的哪里」，而不是润色这件事本身。具体口径可以到站内安全与合规分区对照。
员工用个人手机处理工作文件，怎么判定合规？
关键看有没有落到公司统一管理的环境里。个人设备上的文件容易被同步到私人云盘、被其他 App 读取，且离职后无法收回，多数企业的制度会要求走审批或直接用公司设备。培训里与其一律禁止，不如明确哪些场景允许、要做什么补偿措施，比如禁用自动同步、处理完即删。
判断题做对了，实际还是照旧违规，培训怎么补？
说明考的是知识不是行为。可以把抽检对象从答卷换成真实操作记录，比如对外提供的审批单、文件外发日志，把结果反馈到具体人而不是全员通报。同时降低合规动作的成本，比如简化审批入口，让守规矩比绕开更省事。
