14｜用 AI 处理公司的代码和数据，合规风险怎么管？

开场先把风险源列全——一次员工把客户数据贴给 ChatGPT 就是通报级事故，多家大厂已经出过真实案例。

回答思路

第一步：四个风险源报全

1. 数据出域：把含用户信息的测试数据贴给公有大模型，等于数据泄露
2. 代码泄露：核心业务代码贴给 SaaS 服务，知识产权出公司
3. 日志里的敏感信息：报错日志常含手机号 token——随手贴给 AI 就是合规事故
4. 模型厂商的数据留存：免费版拿你的输入做训练

第二步：给分级的管控方案

手段	做法
工具分级	核心代码和敏感数据只用私有化部署或明确不留存的模型服务；通用问题可以用公有服务
数据分级	先脱敏再输入——身份证手机号掩码后才允许贴出去
账号统一	企业版 API 统一管控，而不是人人自己注册个人号用
制度落地	公司级 AI 使用规范，明确红线清单

第三步：讲「不能因噎废食」的平衡

管死了（全部禁用）团队就偷偷用个人账号，风险反而更大。正确姿势：提供安全通道（合规审批过的工具链）+ 清晰红线（什么绝对不能贴）——疏导加禁止的组合。

第四步：讲技术兜底

企业内建 AI 网关（统一出口、审计日志、敏感内容拦截）——把合规从制度要求变成技术强制。网关层的建设本身是测试开发的活，这题顺便展示平台能力。

收尾：给责任认知

测试岗位天天接触生产数据和核心代码，是合规风险的高危岗位——主动懂规则守规则的人，企业才敢把 AI 工具的权限给你。

考察重点

维度	说明
企业动机	数据安全法个保法环境下，企业把这题当合规素养的必检项——答不出红线的人不敢用
过线标准	四个风险源 + 分级管控方案
区分度	讲 AI 网关技术兜底、讲「疏导加禁止」平衡的是有管理视野的
加分项	知道模型厂商数据留存政策的差异（企业版和免费版的区别）
减分项	「没想过这个问题」是本题最差答案——高危岗位无合规意识直接扣死

来源

整理自知识星球帖《面试情报 06｜AI 测试提效 20 题》，返回题库。