BBestAI CAMMANUFACTURING INTELLIGENCE 客戶登入 ↗

ON-PREMISE AI & DATA SECURITY

客戶圖面不能上雲：地端 AI 部署與 NDA 資安檢核清單

BestAI CAM Manufacturing Intelligence · 2026-06-04 發布 · 閱讀時間約 11 分鐘 · 適用對象：CNC 代工廠負責人、二代接班人、採購／品保與資安窗口

客戶圖面不能上雲：地端 AI 部署與 NDA 資安檢核清單——文章封面圖
重點摘要（TL;DR） 當客戶圖面涉及 NDA、不能上雲，導入 AI 的正解是地端 AI（on-premise AI）：把模型安裝在廠內專屬伺服器完全離線運算，圖面、產品規格與客戶名稱都不出廠。這篇文章說明圖面上雲的外洩風險、地端部署如何運作，並給出一份可實作的製造業資訊安全檢核清單——網段隔離、不連外網、存取控制、稽核紀錄——分別對照 IEC 62443 與 ISO 27001 的概念，讓「圖面不出廠」從口頭承諾變成可被客戶稽核的事實；一般案件可用受控雲端，NDA 案件則採地端。

01什麼是地端 AI？為什麼客戶圖面不能上雲

地端 AI（on-premise AI）是指把 AI 模型安裝在工廠自有的專屬伺服器上、於廠內完全離線運算的部署方式，圖面、產品規格與客戶名稱都不離開廠區。它與「把圖面上傳到外部雲端服務」最根本的差別，不在演算法好壞，而在資料的物理位置與可稽核性。

對 CNC 代工廠來說，客戶圖面是最敏感的資產。承接半導體設備、國防航太、醫材或競品零件的訂單時，客戶幾乎都會要求簽署保密協議（NDA），明文限制圖面、規格與專案資訊的處理範圍。一旦把這類圖面丟進聯網的公共 AI 服務，資料就離開你能直接控制的邊界——這正是「客戶圖面不能上雲」在製造業資訊安全上的核心顧慮。智慧製造的參考架構也提醒，資料從機台、產線到分析層之間的每一次流動，都應被視為需要被治理與保護的環節，而不是預設安全[1]。

02圖面上雲的三個外洩破口

把 NDA 圖面上傳雲端 AI，風險不只是「被駭」這麼單純。實務上有三個常被低估的破口：

  1. 資料離開廠區即失去控制：圖檔一旦上傳，就落在服務商的伺服器上，可能被暫存、記錄於日誌，甚至依條款用於模型再訓練。對簽了 NDA 的圖面而言，「資料離開廠區」本身就已經構成合約風險，不必真的發生外洩。
  2. 供應鏈稽核過不了關：大型客戶的採購與品保會要求供應商說明資料如何處理、存放於何處。若答案是「上傳到某個聯網 AI」，往往無法通過對方的資安稽核，直接影響接單資格。
  3. 權責與軌跡難以釐清：雲端流程中，誰在什麼時間存取了哪張圖面，工廠端通常拿不到完整紀錄。缺乏可追溯的稽核軌跡，一旦客戶質疑就難以自證清白。
誠實邊界：本文不引用任何未經證實的外洩事故統計。上述風險是從 NDA 合約義務與供應鏈稽核要求推導的結構性風險，重點在於「資料離開可控範圍」這件事本身，而非任何特定事件。

03地端部署怎麼運作：廠內專屬伺服器與離線運算

地端部署的做法是把整套 AI 流程搬進廠內：模型安裝於廠內專屬伺服器，讀圖、3D 建模、G-code 生成與尺寸交叉比對全程在本地完成，運算過程不需要連外網。圖面檔案、尺寸規格與客戶名稱從頭到尾都在工廠內部流動，不上傳任何外部服務。

這樣的架構讓 AI 的產能優勢與資安要求得以並存：工程師仍然享有自動建模、自動產碼與模擬驗證的效率，但機密資訊在物理上就被限制在廠內。要讓這件事「可被稽核、可被證明」，關鍵是把地端伺服器當成一項需要被治理的資產，對照工控與資訊安全框架建立管控——這也是下一節檢核清單的基礎。

產品事實邊界：本方案目前的做法是把圖面留在客戶指定的環境，AI 解讀透過加密通道呼叫企業級模型服務，依商業條款不留存、不用於訓練；完全離線的地端部署（AI 於廠內專屬伺服器獨立運算、圖面／規格／客戶名稱不出廠）為發展路線，依現場需求逐案評估。導入全程維持 human-in-the-loop，公差、基準、特殊工法與上機前皆由專業人員確認。

04NDA 資安檢核清單：四道防線

要讓「圖面不出廠」成為可稽核的管理事實，而不只是業務口頭承諾，建議把地端 AI 伺服器套用下列四道防線。這份清單刻意做成定性、可逐項確認的形式，方便對照客戶 NDA 條款與資安稽核表逐條回應。前兩項偏向工控網路安全概念，可對照 IEC 62443 工業通訊網路與系統安全系列[2]；後兩項偏向資訊安全管理概念，可對照 ISO/IEC 27001 資訊安全管理系統[3]。

檢核項目做法要點對照框架概念
網段隔離AI 伺服器獨立於辦公網段與生產網段，以區域／導管（zones and conduits）思維劃分邊界，跨區流量受控管。IEC 62443（區域與導管、縱深防禦）[2]
不連外網地端伺服器不對外連網，圖面資料不落地雲端；必要更新以受控、離線方式進行，避免建立通往外部的常態通道。IEC 62443（邊界防護、最小連通）
存取控制以最小權限原則管理誰能開啟、複製、匯出圖面；帳號與角色分離，人員異動即回收權限。ISO/IEC 27001（存取控制）[3]
稽核紀錄記錄圖面存取與操作軌跡（誰、何時、對哪張圖做了什麼），保留可追溯日誌以備客戶稽核。ISO/IEC 27001（紀錄與監視）

這四道防線的價值在於「可證明」。當客戶採購或品保問到「你們怎麼確保我的圖面不外流」，工廠能拿出網段拓撲、離線佐證、權限清單與稽核日誌逐項說明，而不是只回一句「我們很小心」。對承接高機密供應鏈訂單的工廠來說，這往往是能不能接到單的分水嶺。

05一般案件用雲端、NDA 案件用地端：分流策略

地端部署並非要求每一張圖面都離線處理——那會犧牲彈性算力與導入速度。務實的做法是依機密等級分流：

要讓分流可執行，前提是先建立圖面機密分級標準：哪些客戶、哪些產品類別、哪些合約條款屬於「必須地端」，明訂於 SOP 並落到收件流程的第一步，讓現場人員一收到圖面就知道該走哪條路。這種「先分級、再對應部署模式」的治理思維，正呼應智慧製造架構中對資料流分層治理的觀點[1]——資訊安全不是單一開關，而是隨資料敏感度分層設計的管理制度。

延伸閱讀：若你正在評估導入的整體成本與效益，可參考中小加工廠導入 AI 划算嗎？成本、ROI 與受控試點評估清單；想先理解 AI 在加工現場能做與不能做的界線，可讀生成式 AI 進工廠：CNC 加工的 7 個實際應用場景與界線；想看從圖面到 G-code 的完整技術流程，則有CNC 自動編程完整指南。

06常見問題 FAQ

什麼是地端 AI？和把圖面上傳雲端 AI 差在哪？

地端 AI 是把模型安裝在工廠專屬伺服器、於廠內完全離線運算，圖面、規格與客戶名稱都不出廠。雲端 AI 則把圖面上傳到外部伺服器，資料一離開廠內就脫離你的直接控制，可能被暫存、記錄或用於再訓練，對 NDA 圖面即構成風險。差別的核心是資料的物理位置與可稽核性。

一般案件也一定要用地端部署嗎？

不一定。可依機密等級分流：一般、非機密案件可用受控雲端取得彈性算力；涉及 NDA 或客戶要求資料不出廠的案件才採地端。重點是先建立圖面機密分級標準，寫入 SOP，而非一刀切。

地端 AI 如何對照 IEC 62443 或 ISO 27001 建立可稽核的資安？

把地端 AI 伺服器視為需保護的資產：以 IEC 62443 的區域與導管概念做網段隔離、讓伺服器不連外網；以 ISO 27001 的資訊安全管理概念建立存取控制與稽核紀錄。這些措施把「圖面不出廠」從口頭承諾變成可被客戶稽核的事實。

圖面用 AI 建模，客戶名稱與產品規格會外洩嗎？

在完全離線的地端部署下不會。讀圖、建模、產碼與尺寸交叉比對全程在廠內專屬伺服器完成，圖面、規格與客戶名稱皆不上傳外部。搭配網段隔離、不連外網、存取控制與稽核紀錄，機密資訊在物理與制度上都留在廠內。

訂閱技術專欄電子報

新文章與影片導讀上線時通知你——不塞爆信箱，一鍵取消訂閱。

NDA-READY DEPLOYMENT

讓「圖面不出廠」成為你能證明的事

從圖面機密分級、網段隔離到稽核紀錄，我們協助定義符合你客戶 NDA 要求的地端導入方式。

聯絡導入顧問 教育訓練課程

← 回 BestAI CAM 產品介紹

07參考文獻

  1. Lee, J., Bagheri, B., & Kao, H.-A. (2015). A Cyber-Physical Systems architecture for Industry 4.0-based manufacturing systems. Manufacturing Letters, 3, 18–23.
  2. IEC 62443 series. Industrial communication networks — Network and system security. International Electrotechnical Commission.
  3. ISO/IEC 27001. Information security management systems — Requirements. International Organization for Standardization / International Electrotechnical Commission.