網上投稿
通過本文，你將至少了解使用GenAI產品的法律風險以及構建完善的內部管理制度的必要性。
使用篇
企業在采購GenAI產品后，在使用過程中仍存在商業秘密、個人信息以及知識產權相關合規風險。為降低前述風險，企業應采取相應的防護措施，包括構建完善的內部管理制度，確保安全、合規地使用GenAI產品。
1 使用GenAI產品是否會導致商業秘密侵權與泄露？
企業使用GenAI產品的過程中，既存在侵犯他人商業秘密的風險，亦存在自身商業秘密泄露的風險。一方面，由于企業通過互聯網渠道收集的內容來源多樣，例如因企業享有特定訪問權限，其收集的內容可能包含未經公眾知悉、具有商業價值并受到權利人保密措施保護的技術信息、經營信息等商業秘密。如果企業未能有效識別其中的保密信息，并在未經授權的情況下將相關內容用于GenAI產品的優化和內容生成，可能構成對商業秘密權利人的侵權，從而需承擔相應的法律責任。另一方面，當企業將自有內容用于GenAI產品的優化和內容生成時，若其中部分內容未公開，并具有實際或潛在的商業價值，同時企業已通過保密協議、訪問控制、保密培訓等合理措施積極保護其不被公開，則該內容可構成商業秘密。例如，企業的專有技術、獨特工藝、運營策略或其他未公開的創意和信息等均可能屬于商業秘密。若企業未能有效識別這些保密信息，則相關商業秘密可能面臨泄露風險，最終損害企業的商業利益。
TIPS：企業在優化和使用GenAI產品時，應對用于優化和使用GenAI產品的內容（包括訓練數據、提示詞等）先進行必要的審查，判斷是否涉及外部第三方商業秘密、企業自身商業秘密。如確實涉及，企業應采取適當的保密措施（如數據脫敏、訪問控制、私有化部署、加密存儲、加密傳輸等）確保相關商業秘密的安全，同時也應在內部建立明確的管理規范，要求員工嚴格遵守對商業秘密的保密義務。
2 使用GenAI產品是否需要履行個人信息保護義務？
若企業構成個人信息處理者，則需要履行法定的個人信息保護義務。根據《中華人民共和國個人信息保護法》（“《個人信息保護法》”）第73條，個人信息處理者是指自主決定處理個人信息目的和方式的組織或個人。如我們在《AI開拓者指南：AIGC應用協議——怎么寫怎么看》一文中所述，GenAI產品提供者向企業提供GenAI產品時，通常存在三種模式，分別是提供API接口、云部署以及本地化部署。在提供API接口的模式下，在企業使用GenAI產品的過程中，數據的流向為企業輸入并接受GenAI產品生成的輸出，數據的存儲、計算、處理方式均由GenAI產品提供者決定，而企業無法控制GenAI產品的內部處理機制，也不決定數據的最終存儲或用途。因此，在提供API接口的模式下，企業僅作為數據輸入方，不直接決定數據的處理流程，通常不被視為個人信息處理者。而在云部署和本地部署的模式下，企業將GenAI產品部署在云資源或本地，所有數據均在企業可以控制的云資源或IT設施上進行處理和存儲，企業決定數據的存儲、處理等模式，包括是否對數據進行再利用、優化訓練等，GenAI產品的提供者反而僅僅提供模型或工具，而不直接接觸或處理數據。因此，在云部署和本地化部署的模式下，如員工等享有企業所采購的GenAI產品的使用權限的用戶（“授權用戶”）涉及向GenAI產品輸入個人信息，企業將成為個人信息處理者。
TIPS：企業應結合GenAI產品提供者向企業提供GenAI產品的模式，判斷自身是否屬于個人信息處理者。如企業構成個人信息處理者，根據《個人信息保護法》的相關規定，企業在處理個人信息時需要履行一系列法定義務，以確保個人信息得到有效保護，包括：
? 在收集個人信息時，需清楚告知用戶信息的用途、方式以及保存期限，并在必要時征得明確同意；
? 企業應當采取安全技術和管理手段，防止個人信息泄露、篡改或丟失，特別是當信息涉及敏感內容時，更需要加強保護措施；
? 如果企業將個人信息交由第三方處理或與其他機構共享，必須確保信息的使用符合規定，不會被濫用或非法傳播；
? 企業還需要為個人提供便利的渠道，讓個人可以查詢、更正或刪除自己的信息；
? 企業應當建立完善的內部管理制度，定期檢查個人信息保護情況；
? 對于涉及特殊群體的個人信息，企業還需要提供額外的保護，以確保這些信息不會被隨意使用或泄露。
3 若將用戶個人信息用于GenAI產品優化，企業還需要履行哪些個人信息保護義務？
在《個人信息保護法》的框架下，企業在處理個人信息時，原則上應當以個人的同意作為合法性基礎。《個人信息保護法》第13條明確規定，處理個人信息應當基于個人同意，除非符合特定的法定情形，例如履行法定義務、公共利益需求或應對突發公共事件等。《個人信息保護法》第14條進一步強調，個人的同意必須是“自愿、明確、知情”的意思表示，不得以“默認勾選、強制同意或捆綁授權的方式”獲取。
TIPS：在實踐中，企業不能默認收集或使用個人信息，而是必須在明確告知的前提下，獲取個人的主動授權。若企業將授權用戶的個人信息用于以精調、LoRA等方式對于GenAI產品進行優化，必須事先獲得個人的明示同意。企業不能將“授權用戶數據用于GenAI產品優化”作為默認選項，而應當在授權用戶主動授權后，才可以進行相關處理。
4 如何避免數據泄露？
企業在使用GenAI產品時，可能面臨多種數據泄露風險。GenAI產品的數據安全事件是數據泄露的重要來源之一。如果AI產品本身存在安全漏洞，攻擊者可能利用這些漏洞訪問存儲數據，導致企業輸入的信息被竊取或泄露。2023年，Open AI發現ChatGPT存在一處漏洞，導致部分用戶能夠看到其他用戶的聊天記錄標題。 [1] 盡管該問題迅速被修復，但是仍然暴露了一個問題：一旦GenAI產品出現數據安全問題，將造成不可控制的數據泄露風險。除了GenAI產品本身發生數據安全事件可能帶來的數據泄露風險，企業在使用這些產品時，也可能因為缺乏必要的安全控制措施，導致自身的敏感信息意外泄露。在許多企業環境中，員工可能將內部的商業機密、未公開的研發成果或客戶信息輸入到GenAI產品中。然而，許多GenAI產品的運行機制決定了用戶輸入的數據將被記錄，甚至可能被用于訓練后續版本的模型。如果企業沒有建立明確的使用規范，員工的不當輸入行為可能會導致企業的核心數據被GenAI產品存儲，在未來被GenAI產品向其他用戶輸出，進而造成數據泄露。
TIPS：面對數據泄露的風險，企業需要采取系統性措施來加強數據保護，以降低因GenAI產品安全漏洞或員工使用不當而導致的數據泄露問題，包括：
? 企業應建立嚴格的數據分級管理制度，明確哪些數據可以用于GenAI產品，哪些數據必須嚴格限制輸入GenAI產品；
? 企業需落實網絡安全等級保護制度，對信息系統進行分級防護，確保網絡環境的安全性和穩定性；
? 企業應制定完善的數據安全事件應急預案，以確保在突發安全事件時夠迅速響應，降低損失和影響；
? 企業或相關組織應當明確數據安全管理的職責分工，確保各項安全措施真正落地執行；
? 企業還可能需要履行其他適用數據保護的義務，例如定期開展重要數據風險評估，識別并消除潛在安全隱患，以進一步提升數據安全管理水平。
5 如何避免GenAI產品生成內容（“AIGC”）侵權？
AIGC侵權的風險來源包括企業未經授權使用他人享有合法權益的內容和GenAI產品提供者未經授權使用他人享有合法權益的內容。在企業使用GenAI產品的過程中，其很有可能會向GenAI產品輸入受他人享有著作權、商標權、肖像權、聲音權等合法權益的內容。以著作權為例，在企業使用訓練數據對于GenAI產品進行優化訓練的過程中，如果企業無法確保對訓練數據享有充分的著作權或著作權授權，在優化訓練后的GenAI產品生成的AIGC與該等訓練數據存在實質性相似的情形下，企業很可能侵犯訓練數據所包含作品的著作權人的著作權。除了企業使用階段的風險以外，GenAI產品提供者如果在未經授權的情況下，將他人享有合法權益的內容作為訓練數據用于GenAI產品所依托的模型的訓練，就可能在模型訓練階段侵犯權利人的合法權益。更重要的是，這種侵權風險不僅存在于模型訓練階段。如果模型在訓練中學習了他人享有合法權益的內容，AIGC可能與該等內容存在實質性相似，甚至直接復現部分內容，這將導致企業在后續使用這些AIGC進行商業化應用時面臨侵權風險。
TIPS：企業應確保自身享有向GenAI產品輸入的內容的全部權利或者獲得該等內容所涉權利人充分的許可。在取得許可的過程中，企業應當結合使用GenAI產品的場景和目的、使用AIGC的場景和目的，在許可目的、許可行為、許可權利、許可性質、許可期限等方面進行全面的考量。企業還可以通過要求GenAI產品提供者披露GenAI產品訓練數據的基本信息、提供權利人的許可證明等方式，核查GenAI產品提供者是否已取得相應許可，進而降低相應風險；同時，可以在采購協議中約定，如由于GenAI產品提供者未經授權將他人享有合法權益的內容用于模型訓練導致企業生成的AIGC侵權，GenAI產品提供者應通過損害賠償、支付違約金等方式向企業承擔違約責任，以彌補企業可能遭受的損失。
6 AIGC的權利歸屬于企業嗎？
目前，企業可能對于AIGC享有的權利主要為著作權；而根據我國著作權法，在AIGC是否構成作品仍懸而未決的前提下，企業是否對于AIGC享有著作權也尚無定論。在2023年的“AIGC可版權性第一案中”，北京互聯網法院在強調AI畫圖工具生成的圖片體現的是原告而非AI的智力貢獻的基礎之上，認為原告是AICG所生成圖片的作者，從而享有生成圖片的著作權。這一判決為認定GenAI產品使用者享有AIGC的著作權創設了先例。盡管如此，我們無法基于此判例直接推導出在企業采購GenAI產品的情形下，企業就享有GenAI產品生成的AIGC的著作權的結論，這是因為AIGC的著作權歸屬還受企業和GenAI產品提供者之間協議約定的影響。目前，多數GenAI產品協議賦予用戶AIGC的著作權，但GenAI產品提供者通常保留免費、永久、可分許可的使用權。有些GenAI產品則直接規定AIGC版權歸屬開發者，或采用CC01.0協議放棄所有權利。因此，即便企業被認定為AIGC的作者，若企業與GenAI產品提供者在采購協議中約定AIGC歸屬于GenAI產品提供者，可能被視為企業向GenAI產品提供者轉讓著作權，影響企業后續對于AIGC進行商業使用。
TIPS：為保障企業后續對于AIGC進行商業使用的權利，避免潛在的權屬糾紛，企業應在和GenAI產品提供者之間的采購協議中明確約定企業使用GenAI產品產生的AIGC的全部權利（包括著作權）在法律法規允許的范圍內最大程度上歸屬于企業所有，GenAI產品提供者未經企業許可不得擅自使用該等AIGC。同時，企業也可以考慮在對外使用的AIGC中嵌入權利主張，例如標注“未經企業許可不得擅自使用”。
7 企業使用AIGC時，是否需要履行AIGC標識義務？
目前，盡管我國現行有效的法律法規尚未對GenAI產品使用者提出強制性標識要求，如果企業在境外使用AIGC，可能仍然需要履行AIGC標識義務。以歐盟為例，根據歐盟《人工智能法案》第50條的規定，如果企業面在面向歐盟公眾開展網絡營銷活動中使用GenAI產品生成的圖像、音頻或者視頻內容，企業將構成《人工智能法案》項下的AI系統部署者，需要遵守AI系統部署者的合規要求，包括履行透明度義務，向公眾披露該等內容是人為生成或者操縱的。此外，隨著我國對于AI的監管體系日益完善，未來我國可能會出臺規定要求GenAI產品使用者通過網絡平臺發布AIGC時主動聲明并使用網絡平臺提供的標識功能進行標識。
TIPS：建議企業持續關注我國在內的所涉國家和地區的立法動向，在相關規定強制要求的情況下在AIGC上明確標注為由AI生成。
8 若企業使用境外GenAI產品，需要額外關注哪些問題？
企業在使用境外GenAI產品時，需要尤其關注跨境場景所涉及的數據安全、個人信息保護以及資質要求等問題。在數據安全方面，根據《數據出境安全評估辦法》，涉及重要數據或大規模個人信息的數據出境，需進行數據出境安全評估，并采取適當的數據保護措施，例如數據去敏、匿名化處理、加密存儲及訪問權限控制等，以防止數據泄露或未經授權的使用。如果企業的數據涉及國家安全、關鍵信息基礎設施、金融、醫療等重點行業，數據出境的要求可能更加嚴格，需要額外的備案或審批流程。在個人信息保護方面，根據《個人信息保護法》第38條、第39條，在企業使用境外GenAI產品的過程中，如境外GenAI產品提供者涉及收集、存儲、處理中國用戶的個人信息，企業需確保已取得個人信息主體的明確同意，或基于其他合法性基礎進行跨境數據傳輸。企業可能還需要通過個人信息保護認證、與境外數據接收方簽署標準合同，或滿足其他必要的合規要求，以確保個人信息在跨境流轉過程中符合對個人信息保護的標準。在資質要求方面，根據我們與監管部門的溝通，境外GenAI產品通常無法完成算法備案及生成式人工智能服務備案等我國法律法規要求GenAI產品提供者取得的合法資質，這就意味著如果境外GenAI產品向境內公眾提供生成式人工智能服務，存在較高違規風險。
TIPS：如企業在使用境外GenAI產品中涉及與境外機構進行數據交互，則需要遵循我國或境外司法轄區對于數據（包括個人信息）跨境傳輸的合規要求。此外，如企業擬采購境外GenAI產品，需確保僅限于企業內部使用，采取限制訪問權限等方式避免一般用戶獲得企業所采購的境外GenAI產品的使用權限。
[1] https://www.nytimes.com/interactive/2023/12/22/technology/openai-chatgpt-privacy-exploit.html
滬公網安備 31010402007129號
