企业使用AI合规指引：从权利确认到风险防范

(一) 著作权认定与使用证据保存

如果企业利用人工智能服务生成图片、视频等内容并希望制止他人未经许可利用该内容，需要确保享有相关生成内容的著作权。关于人工智能生成的内容是否受到著作权保护，目前在理论上还存在极大的争议。就司法实践来看，我国法院并非一概否认通过人工智能服务生成的内容可以享有著作权的保护。早在2020年，广东省深圳市南山区人民法院就认可人工智能生成的文章可以享有著作权的保护。^[注1]2023年，北京互联网法院又认可人工智能生成的图片也可以享有著作权。^[注2]此后，常熟市人民法院和武汉东湖新技术开发区人民法院也都相继认定人工智能生成的图片可以享有著作权保护。

人工智能生成的内容是否可以享有著作权保护，关键在于“独创性”的认定。在上述案例中，法院认定人工智能生成内容具有“独创性”的主要理由是原告反复输入提示词，设置相关参数，不断对人工智能生成的图片进行修改，从而获得了最终作品。因此，为了便于在主张著作权时进行举证，企业需要注意在使用人工智能生成内容时，应当以视频等方式记录整个生成过程并保存所使用的模型名称、提示词、各种参数以及各个阶段所生成的作品，以体现出对人工智能生成的内容进行了多次的修改。此外，企业在使用人工智能服务时还应当注意用户协议中关于生成内容知识产权的权属约定。虽然大部分生成式人工智能服务的用户协议都规定用户使用人工智能所生成内容的知识产权归用户所有，但是企业还是应当先确认后再使用人工智能服务，避免出现权属纠纷。

(二) 使用生成式人工智能服务时的著作权侵权防范

企业在使用人工智能生成的内容时，还应当注意通过人工智能生成的内容有可能侵犯他人的著作权。以“奥特曼”案为例，用户可以通过人工智能服务生成与原告享有著作权的作品相似的“奥特曼”图片并发布在平台上。法院认为涉案某AI平台提供涉案作品的在线浏览、下载、分享等服务，使公众能够在其个人选定的时间和地点以浏览、应用等方式获得涉案作品，且无证据证明该涉案内容经过合法授权，侵害了原告对涉案作品享有的信息网络传播权，而被告作为生成式人工智能服务提供者，应当知道网络用户利用其网络服务侵害涉案作品信息网络传播权而未采取必要措施，其未尽到合理注意义务，主观上存在过错，应当认定构成帮助侵权。^[注3]

由此，在生成式人工智能服务提供者被认定为帮助侵权的情况下，企业在使用生成式人工智能服务时就有侵犯他人著作权的风险。虽然目前暂时还没有发现权利人直接起诉生成侵权图片用户的案例，但是不排除未来可能发生这一情况。因此企业在使用人工智能进行创作时，应当避免将他人明显享有著作权的形象、文字等作为提示词。在人工智能生成内容确定后，企业还需要专门审核人工智能生成的内容是否含有侵犯他人权利的内容。此外，企业还应当注意生成式人工智能服务的用户协议中的责任约定，避免除承担侵权责任外，还需要承担因生成侵权内容给服务商造成的损失。

企业除了可能使用自己通过人工智能生成的内容外，还有可能使用其他人通过人工智能生成的内容。如果他人通过人工智能生成的内容是侵权的，企业的使用行为同样也会构成著作权侵权。这就要求企业在使用图片或视频等内容时更加审慎地审查该内容的权属以及是否含有侵权内容。对于人工智能生成的内容，如果企业无法知晓其生成过程进而无法判断其是否侵权，建议企业不应随意使用。

(一) 使用人工智能服务时的商业秘密泄露风险

由于使用人工智能服务时需要输入相关的提示词至第三方服务器，员工如果将企业的保密信息或者其他敏感信息作为提示词输入人工智能服务时就会有商业秘密泄露的风险。根据Cyberhaven提供的数据，员工复制进ChatGPT中的数据有11%属于机密数据。^[注4]此前也有新闻报道称三星员工因不当使用ChatGPT，在短短的20天内便造成了三起机密资料外泄事件，泄露了三星公司的半导体设备测量资料、产品良品率等机密内容。^[注5]

企业员工不当使用人工智能，会导致企业商业秘密泄露的后果。尤其是在企业对外负有保密义务的情况下，企业使用人工智能需要更加谨慎。如果因使用人工智能而泄密，还会引发企业的赔偿责任。此外，如果因为使用人工智能技术导致泄露了相关技术，除了会影响企业基于商业秘密而享有的竞争优势，另外也还会影响企业之后专利权等的申请。因此企业在使用人工智能服务时需要注意对商业秘密等敏感信息的保护。

(二) 防范建议

首先，在条件允许的情况下，建议企业考虑采用能够以私有化、本地化的方式部署的人工智能，不将涉密信息提供至第三方服务器。目前，一些开源的人工智能允许企业将人工智能模型进行本地部署，企业对员工使用人工智能时使用的数据享有完全的控制权。只要企业做好相应的保密措施，即可最大程度地降低商业秘密的泄露风险。

其次，企业应当对拟允许员工使用的人工智能服务进行调查。企业可以通过考察人工智能服务是否会将用户输入的数据用于模型训练、是否对用户输入的数据采取适当的保密措施以及是否发生过数据泄露事件等方面评估某项人工智能服务的安全性。必要时，企业可以考虑购买专业账号以获得更专业的数据安全保障。此外，企业还可以考虑与人工智能服务提供者订立专门的使用协议，约定人工智能服务提供者不得将本企业员工输入的内容用于模型训练并要求其采取适当的技术措施保护数据安全等。这样，一旦出现因人工智能服务提供者的原因导致泄密问题，企业可以追究其相应的违约责任，保护自己的利益。

最后，企业应当制定相应的制度并加强对员工使用人工智能时保密意识的培训工作。企业可以在保密制度中对员工使用人工智能进行相应限制，例如限制特定岗位人员使用人工智能或限制将保密信息作为提示词输入。企业也可以要求员工在使用人工智能时需要进行相应的审查。除了制定相应的保密制度，企业还应当定期为员工进行使用人工智能时保密意识的培训并做好相应的记录。这些措施不仅可以降低员工在使用人工智能时泄露商业秘密的风险，还可以在保护商业秘密时作为已经采取了合理保密措施的证明。

(一) 向第三方提供个人信息的合规要求

在使用非本地部署的人工智能服务时，企业如果将含有个人信息的内容作为提示词输入，可能涉及向其他个人信息处理者提供个人信息的行为。按照《个人信息保护法》第23条的规定，应当向个人信息主体告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人信息主体的单独同意。如果企业在收集个人信息时未将这些内容告知个人信息主体并征得其同意，就会构成违法使用个人信息的行为，产生违法向他人提供个人信息的风险。因此，企业应当对其使用人工智能的情况进行评估，如果涉及个人信息使用的，应当按照要求告知并征得个人信息主体的单独同意。

(二) 自动化决策的合规要求

自动化决策是算法技术的一种，是人工智能的一项重要应用。通过分析大量的个人信息，自动化决策系统可以根据每个人的不同行为习惯、兴趣爱好或者经济、健康、信用状况等针对不同的用户建立不同的画像做出不同的决策结果。自动化决策可以为客户提供个性化的决策，提高决策的准确性和针对性。然而，自动化决策算法的不透明性又产生了人们对自动化决策结果公正性的质疑，引起热议的“大数据杀熟”就是一例。针对这一问题，《个人信息保护法》第24条专门针对自动化决策中个人信息的使用进行了规定。企业在利用个人信息进行自动化决策的过程中需要注意以下事项：

首先，企业如果利用个人信息进行自动化决策，应当保证决策结果的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇，即不得进行所谓的“大数据杀熟”或“算法歧视”行为。

其次，企业如果通过自动化决策的方式向个人进行信息推送和商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。这要求企业在进行信息推送和商业营销时，应当允许用户拒绝利用自动化决策进行的个性化的推送并删除该用户的画像。

最后，企业在通过自动化决策方式作出对个人权益有重大影响的决定时，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。这意味着涉及到对个人权益有重大影响的问题时，个人有权要求对自动化决策做出的结果进行人工干预，企业需要安排相应的人员对人工智能做出的决定进行复核。

(三) 个人信息跨境传输的合规要求

如果企业使用的是境外的人工智能服务提供者提供的服务，在输入包含个人信息的提示词时还涉及到将个人信息传输至境外的问题。《个人信息保护法》要求向境外提供个人信息的，需要满足通过数据出境安全评估、个人信息保护认证或与境外接收方订立个人信息出境标准合同的条件。

虽然《促进和规范数据跨境流动规定》放宽了对数据出境的要求。不含敏感个人信息的情况下，非关键信息基础设施运营者的企业自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息，才需要与境外接收方订立个人信息出境标准合同或通过个人信息保护认证。但是，如果企业输入的提示词中含有敏感个人信息，就需要与境外接收方订立个人信息出境标准合同或通过个人信息保护认证，而且提供敏感个人信息的数量达到了1万人，企业就需要申报数据出境安全评估。

可见，虽然《促进和规范数据跨境流动规定》为个人信息出境规定了一个比较宽松的标准，但是如果企业在其他场景下已经通过其他方式向境外提供了个人信息或将敏感个人信息作为提示词的，就需要考虑使用人工智能服务给企业带来的影响。因此建议企业尽量使用国内人工智能服务提供者提供的人工智能服务并注意尽量避免将敏感个人信息作为提示词输入。

另外需要注意的是，利用个人信息进行自动化决策、向人工智能服务提供者提供个人信息、向境外提供个人信息，都属于需要事先进行个人信息保护影响评估的情形。企业在使用人工智能时涉及到个人信息处理的，还需要注意进行个人信息保护影响评估。

(一) 人工智能生成内容的标识义务

随着人工智能技术的广泛应用，生成虚假内容的门槛也不断降低。由于人工智能生成的虚假信息足以达到以假乱真的程度，人工智能生成的虚假内容泛滥也成了危害网络生态的问题。为了规范人工智能生成内容的传播，国家网信办于2025年3月7日发布了《人工智能生成合成内容标识办法》（2025年9月1日施行），对人工智能生成内容的标识义务做了详细规定，以便于公众识别由人工智能生成的内容。人工智能内容的标识义务在此前的《互联网信息服务深度合成管理规定》中已有规定，目前许多人工智能生成服务的提供者也都已经在生成的内容中加入了“此内容由AI生成”之类的标识。与《互联网信息服务深度合成管理规定》相比，《人工智能生成合成内容标识办法》不仅对如何标识人工智能生成内容提出了更为详细的要求，而且还规定了人工智能生成内容的使用者在通过网络传播人工智能生成的内容时也要承担一定的义务。

《人工智能生成合成内容标识办法》将标识分为显式标识和隐式标识。显式标识是指在生成合成内容或者交互场景界面中添加的，以文字、声音、图形等方式呈现并可以被用户明显感知到的标识；隐式标识是指采取技术措施在生成合成内容文件数据中添加的，不易被用户明显感知到的标识，如在生成合成内容中添加的数据水印等。

按照《人工智能生成合成内容标识办法》的要求，服务提供者在生成合成内容的文件元数据中必须添加隐式标识；^[注6]而在提供智能对话、智能写作等模拟自然人进行文本的生成或者编辑服务，合成人声、仿声等语音生成或者显著改变个人身份特征的编辑服务，人脸生成、人脸替换、人脸操控、姿态操控等人物图像、视频生成或者显著改变个人身份特征的编辑服务，沉浸式拟真场景等生成或者编辑服务以及其他具有生成或者显著改变信息内容功能的服务时应当按照规定对生成合成内容添加显示标识。^[注7]在用户下载、复制、导出人工智能合成的内容时，服务提供者也要确保文件中含有满足要求的显式标识。

(二) 企业使用人工智能生成内容时需要注意的标识义务

《人工智能生成合成内容标识办法》特别强调了人工智能生成服务使用者的标识义务。《人工智能生成合成内容标识办法》第十条要求用户在使用网络信息内容传播服务发布生成合成内容的，应当主动声明并使用服务提供者提供的标识功能进行标识。此外，任何组织和个人都不得恶意删除、篡改、伪造、隐匿服务提供者按照规定添加的生成合成内容标识。

按照这一要求，在2025年9月1日之后，企业在通过网络传播人工智能生成的内容时需要注意与人工智能生成内容标识有关的义务。企业在使用人工智能应用生成图片、视频等内容时，应当主动声明并使用服务提供者提供的标识功能进行标识。对于人工智能生成内容中的隐式标识，企业不应做任何改动。如果企业认为服务提供者添加的显式标识造成了使用上的不便，并不能私自删除、篡改、伪造、隐匿，而是应当向服务提供者申请提供没有添加显式标识的生成合成内容。此时，企业需要注意并遵守服务提供者在用户协议中明确的用户标识义务和使用责任，并在传播时自行按照《人工智能生成合成内容标识办法》的要求添加显式标识。

人工智能的出现极大地提升了企业的工作效率，为企业员工的日常工作带来了许多便利。但是，企业在使用人工智能时并非可以毫无顾忌，仍然需要注意知识产权保护、个人信息使用、人工智能生成内容标识等方面的事项，从而能够在使用人工智能服务的过程中维护自己的合法利益，避免相应的法律风险。