ChatGPT Sites 上線後誰負責？企業必查的內容、個資與支付邊界

專題編輯：Iris Hsieh · 資料截止 2026.11.08

一、從一個提示詞做出網站，不代表網站責任也能交給模型

過去企業談生成式 AI 製作網站，多半把重點放在前端設計、程式碼產生與省下多少開發時間。現在 ChatGPT Sites 提供建立、預覽、部署和分享網站及輕量應用的流程，真正的管理問題開始移向上線後：誰是網站營運者？誰決定哪些資料能被蒐集？使用者按下表單送出後，個資流向何處？若網站內容侵權、誤導或服務不可用，應由誰負責？

OpenAI 的 ChatGPT Sites Terms 明確把建立、發布及維護網站或 Web 應用納入特定條款。它與其他使用條款、服務協議、使用政策及適用文件共同構成契約，發生特定衝突時，ChatGPT Sites 相關事項適用其專屬規則。這是一份具契約性質的服務條款，不是產品功能清單，也不是對每個地區法律責任的完整解釋。

對企業管理者而言，最重要的分界是：平台提供產生及託管網站的能力，並不等於平台成為你的網站出版者、客服部門、資料保護官或法律顧問。若企業把一個展示用的內部頁面逐步改造成收集名單、提供會員功能或對外收費的正式服務，責任也會跟著功能增加。

二、內容是誰的？所有權與授權使用不是同一回事

條款的內容規定指出，網站內容可以包括文字、圖像、音訊、程式碼，以及使用者或訪客提交的資訊。在 OpenAI 與建立者之間，在適用法律允許範圍內，網站內容屬於建立者的內容，建立者保留其享有的所有權權益。這不代表建立者自動取得第三方素材原本不屬於自己的權利，更不代表生成內容必然受到著作權保護。

另一條規則處理平台為提供與營運服務所需的授權。建立或發布 ChatGPT Site，會依條款授予 OpenAI 及其代為提供服務的託管供應商一定範圍的非專屬、全球、不可撤銷、免權利金使用授權；用途受到提供和營運 ChatGPT Sites，以及使用者選擇的分享與發布設定等條件限制。讀者不應把這段文字簡化成「平台拿走網站所有權」，也不應省略「不可撤銷」等契約用語。

內容所有權、授權使用與第三方權利是三件事。假設企業上傳客戶授權的圖片、外部市場報告或代理商提供的品牌圖，企業即使有權在自己的網站展示，也不一定有權再授予平台所需要的所有使用授權。這時應回頭檢查原始採購合約、照片授權書與素材使用範圍，而不是因為圖片能被上傳成功，就推定可以公開使用。

因此，網站審查表應把每個主要素材拆成來源、權利人、允許用途、允許期間、是否得再授權及授權證據六個欄位。對企業 Logo、名人照片、新聞圖片及客戶資訊，還應再加一欄：「對外展示是否已獲核准」。這個方法同樣適用於 WordPress、Webflow、其他 AI 建站工具，並非 ChatGPT Sites 獨有問題。

三、網站出版者與服務營運者的責任，條款已經說得很清楚

ChatGPT Sites 條款明示，使用者須對自己建立的網站及網站內容負責，包括終端使用者提交或提供的內容、網站功能、登入與身分驗證實作、遵循適用法律、使用者支援，以及對使用者所作承諾。這意味著「我只是讓 AI 幫我做網站」不是足以免除這些義務的理由。雖然實際法律責任仍需看司法管轄區、契約與個案，但管理責任應在發布前就明確指定。

例如一個企業內部查詢網站，若只展示公開課程介紹，主要風險可能是內容準確、侵權與失效連結；若加上詢問表單，便須進一步確認個資告知、儲存、權限與刪除需求；若有登入會員、跨系統查詢與上傳檔案，則應審查驗證與授權邏輯、檔案存取範圍及資安事件處理。若再導入收費功能，交易條款、退款、稅務與金流供應商責任也要逐一釐清。

OpenAI 的說明文件亦提醒，在對外分享前應檢查網站是否含有機密資料、敏感資料或缺乏公開權利的第三方內容，並確認訪客與外部使用者開啟網站時的實際行為。這個提醒看似基本，卻正好說明展示環境與公開環境的核心差異：開發者自己看得到的頁面，不代表其他身分、其他權限的人也會得到正確結果。

企業應建立一個非技術主管也能執行的上線核准制度。網站建立者負責說明功能與資料流；資訊主管負責權限與風險；內容擁有者確認圖片和文字；個資或法務窗口評估必要義務；最後由真正承擔對外服務責任的業務主管批准公開。小公司可以由少數人兼任角色，但不能讓責任從流程中消失。

四、第三方支付與網站商業化：能夠接金流不等於可自行處理交易

正式條款對金融交易有明確限制，也允許符合條件、經第三方支付服務提供者處理的電子商務活動。這是值得仔細區分的一點。企業不能因為 ChatGPT Sites 能建立網頁與表單，就推論可以任意自行實作資金移轉、持有用戶支付資訊或繞過現有支付服務的規範；反過來，也不能斷言所有商品銷售都被禁止。

對已經營運電商的企業而言，重要的是把「前台展示」、「購物及訂單流程」、「第三方支付」、「後端訂單核對」、「客戶服務與退款」拆開。AI 可以協助建立介面與部分程式邏輯，但現有商業法規、消費者契約、隱私保護、支付供應商條款及稅務要求不會因此消失。涉及金流與敏感資料時，更不能只以畫面看起來可用作為驗收。

比較安全的部署策略，是先建立不涉及支付資訊的網站功能，再評估適用的第三方支付方案。導入時必須用支付供應商提供的測試環境驗證成功、失敗、取消、重複付款、訂單錯配和退款流程。對客戶做出收費與交付承諾之前，應確認客服窗口、訂單紀錄與爭議處理方式確實存在。

五、網站分享設定與連線資料：權限錯誤比視覺瑕疵更危險

ChatGPT Sites 的說明文件指出，網站可以先處於私人狀態，經檢視後再調整分享設定。對於可使用連線應用程式的網站，訪客通常使用自己的已連接帳戶及既有權限。這個模型不代表權限永遠不會出錯；開發者仍需測試在不同帳戶、不同角色、無權限、權限撤銷和資料來源不可用時，頁面會呈現什麼。

最常見的治理錯誤，是只用管理員身分測試。管理員能讀到完整資料，網站便看似正常；一般員工可能看到空白，外部客戶可能誤讀了不應屬於自己的資料。真正的授權驗收應包含拒絕路徑：不是只問授權者能不能成功，而要問未授權者能否被正確拒絕，錯誤是否有安全的提示，紀錄是否保留必要但不過度的資訊。

資料流同樣需要拆解。訪客在表單輸入文字，可能進入應用儲存、外部服務、通知系統或其他整合。每一條資料流都應回答蒐集目的、法律依據、保存期限、存取角色、匯出與刪除程序。對台灣經營者，還需要就實際蒐集的個資與適用法令進行獨立評估；本文並非針對特定業者提供法律意見。

尤其必須注意條款第 3.3 節的明確禁止事項：ChatGPT Site 不得建立、接收、維護、傳輸或以其他方式處理 HIPAA 定義的受保護健康資訊；支付卡資料或其他 PCI DSS 管制資訊亦不能交由 OpenAI 處理，只有符合條款、完全由第三方支付提供者收集及處理的支付資料才存在特定例外。這與一般「提高審查強度」不同，屬於不能隨意跨越的契約限制。

若網站會蒐集健康、金融、身分證明或高度敏感的商業資料，應設更高的審查門檻。不能只因平台有託管功能，就假設所有安全、法遵與資料處理責任已被平台承擔。安全設計要落到最小權限、明確資料範圍、輸入驗證、錯誤遮蔽、稽核紀錄及事件處置等具體控制措施。

六、上線前應做的 12 項檢查，不只是看頁面有沒有跑版

可將正式上線檢查分成四組。第一組是內容與權利：所有文字是否經核對、引用是否有出處、圖片和品牌素材是否有公開使用權。第二組是資料與隱私：有哪些個資欄位、誰會看到資料、保存多久、是否有告知與刪除機制。第三組是功能與安全：不同角色能否正確登入、無權限時是否拒絕、表單和外部連線是否會洩露資訊。第四組是營運與承諾：有無真正負責客服的人員、可用的故障回報路徑、必要的服務說明與支付規範。

這 12 項不需每次都做成一份幾十頁的稽核報告。較有效的方法是為每一項留下最小證據：功能測試截圖或測試紀錄、素材授權位置、資料處理說明、核准者姓名與版本。發生問題時，可以回到確切的發布版本，而不是只憑記憶重建當時怎麼設定。

上線決策也要有硬門檻。如果個資流向不明、第三方圖片權利不足、金流方案未驗證或登入權限無法控制，即使網站已經能公開，仍應暫停分享。對只展示公開資訊的簡單頁面，則可以採用較輕量的審查，但至少確認對外資訊、著作權與聯絡方式。

可以把一次上線定義為五個可驗收成果：已核對的內容、完成權限測試的應用、可追溯的版本、明確的營運責任人、可執行的下線與更正方法。這五項的意義，是把「網站完成」從視覺成品提升成真正可以營運的服務。

七、對企業 AI 導入的真正影響：生成能力提高，治理不能只靠人工補救

ChatGPT Sites 之類的建站能力讓部門主管、行銷企劃、專案經理更容易快速製作網站。這是機會，也是典型的影子 IT 風險：當系統建立速度快過資訊部門盤點速度，企業可能出現大量不知道誰建立、誰擁有資料、何時該下線的應用。禁止所有業務自建不一定有效，建立分級制度通常更可行。

分級可從資料敏感度與外部影響兩個維度進行。只使用公開資料、不涉及登入的展示型頁面，採較簡單審核；需要登入、連接內部資料或接受使用者提交內容的網站，須進一步評估；涉及支付、敏感資料或正式客戶承諾的網站，必須經過更完整的資安、法務與營運審查。這個分級不是 OpenAI 官方規定，而是企業可以自行採用的治理設計。

部門間也應建立一個應用登錄簿，記錄網址、所有者、使用目的、資料來源、分享範圍、最後更新日、審查結果以及終止時間。未來若員工離職、外部合作結束、網站不再更新，企業可以知道要關閉哪些公開服務、回收哪些權限，而不是讓它們永久留在網路上。

八、怎麼判斷 ChatGPT Sites 是否適合正式商業網站？

先問它要解決什麼問題。若目標是快速驗證一個工作介面、建立內部知識查詢或低風險資訊頁，快速迭代通常是很大的優勢。若目標是高流量電商、複雜會員權限、嚴格資料落地、完整營運 SLA 或高度監管系統，則必須逐項評估其實際能力、限制、商業條款與整合方式，不能只憑工具名稱決定。

其次比較總成本，而非只看產生網站的速度。總成本包括建立與修改、運行及儲存、外部整合、資料治理、故障處理、測試、人工驗收及未來搬遷。快速產生前端若導致每次版本更新都需重新手工確認資料授權，節省的開發時間未必等於更低的營運成本。

最後確認退出策略。服務條款允許網站擁有者選擇取消發布，平台也保留依條款移除或停用網站的權利。企業不能把公開網站當成不會變動的永久託管契約。若網站承擔正式商業流程，應準備必要資料匯出、客戶通知、連結更新和營運替代方案，以免單一環節停用就使業務中斷。

最值得記住的不是某個工具能不能用三分鐘做出網站，而是當網站開始接收真實使用者、資料與金錢，發布權與經營責任也一同開始。 企業導入 AI 建站，應同時讓授權、資安、法務與營運承擔合理的管理分工。

企業可以直接使用的發布審核表

建立一張五欄表格：檢核事項、負責人、證據連結、目前狀態、准予公開日期。檢核事項至少包含素材權利、網站內容、訪客資料、登入授權、外部系統、金流範圍、資料刪除、客服、故障回復與版本回滾。狀態只使用已通過、待修正與不適用；不適用需寫理由。當重大項目待修正時，保留私人預覽，暫不公開。

給企業主管的進一步驗收：兩個角色、三個故障情境

實際測試不能只使用建站者自己的帳號。至少安排一位已授權的一般使用者，以及一位完全沒有資料權限的外部測試者，分別檢查網站首頁、搜尋、資料顯示、表單與分享連結。若後者能看見不應公開的資訊，即使所有功能在管理員畫面運作正常，也不能批准公開。所有測試應使用不含真實個資的資料，並保留測試版本與日期。

故障情境也應提前演練：外部資料來源連不上時，網站是否安全顯示錯誤；訪客重複提交表單時，是否產生重複通知或紀錄；原本被授權的使用者權限撤銷後，能否立即停止存取。這些測試不要求每家公司建立龐大測試團隊，但要求對真實服務的異常路徑負責。企業最後應把「預覽完成」「權限驗收」「對外發布」「公開後監控」記成不同狀態，避免將畫面可預覽誤認成可以正式上線。

來源與法律界線

1. OpenAI，ChatGPT Sites Terms（本次直接讀取頁面標示 2026 年 11 月 6 日更新）：https://openai.com/en-GB/policies/chatgpt-sites-terms/
2. OpenAI Help Center，Creating and using ChatGPT Sites：https://help.openai.com/en/articles/20001339-creating-and-using-chatgpt-sites
3. OpenAI Help Center，Understanding responsibilities for your ChatGPT Sites：https://help.openai.com/en/articles/20001337-understanding-responsibilities-for-your-chatgpt-sites

本文於 2026 年 11 月 8 日直接核對英文條款頁，頁面標示更新日為 2026 年 11 月 6 日。以下為公開條款的編輯整理，不能代替特定法人與司法管轄區的法律意見。涉及網站資料收集、付款、消費者權益及跨境資料處理，應由適當法務與資安人員依實際業務審核。封面為原創概念插畫，非真實 ChatGPT Sites 操作截圖。

延伸閱讀

延伸閱讀：與本篇相連的企業實務。

內容提供：TARAISG。專題編輯為天地人 AI 虛擬角色；文章由 AI 產製及協助查核。封面為 AI 概念插畫，非新聞現場或產品操作畫面。本文未宣稱經具名人工或專業法律審核。