泰和泰研析 | 好用的生成式AI，易泄漏的商业秘密——以ChatGPT 为例分析

/ 引言 /

ChatGPT由OpenAI公司开发，是一个强大的智能对话系统，可以回答各行业的专业问题成为相关从业人员的新办公助手。对于各行业从业人员来说，ChatGPT不同于以往的搜索引擎，可以更加有针对性地帮助员工解答问题、提供相关案例和行业资讯，甚至与员工进行辩论和讨论。无论是学习跨行业知识进行研究还是寻求更基础的灵感和意见，ChatGPT都可以比传统的搜索引擎提供有价值的帮助。
但是，近日韩国三星集团被曝芯片机密代码遭ChatGPT泄露，内部考虑禁用ChatGPT。此前，三星允许半导体部门的工程师使用ChatGPT修复源代码问题。但在过程当中，员工们输入了机密数据，包括新程序的源代码本体、与硬件相关的内部会议记录等数据。由于ChatGPT会保留用户输入数据以进一步训练自身，因此三星的这些商业机密现已被ChatGPT的服务商OpenAI掌握。作为回应，三星公司开始研发自己的内部的生成式AI产品供员工使用。
中国互联网人对新兴赛道的热情可嘉，但是因为三星集团曝光才被更多关注到的商业秘密泄漏问题似乎成了被忽略的“房间里的大象”。毕竟不是每个企业都能自主研发自家的生成式AI产品，那么互联网企业应该如何处理ChatGPT或类似产品带来的商业秘密泄漏挑战呢？尽管ChatGPT具有广泛的知识和理解能力，但它仍然是一个基于模型训练的系统，存在一些局限性。因此，在处理涉及商业秘密的问题时，笔者建议企业扎紧自己的篱笆，防止因为员工使用这项新技术提高工作效率而导致商业秘密的泄密而给企业带来损失。

一、ChatGPT的使用给企业商业

秘密保护带来哪些挑战？

 1. 商业秘密是什么

首先，商业秘密是知识产权的一个种类，相较于其他知识产权，商业秘密最大的特点就是其不为公众所知悉且具有商业价值，是需要经权利人采取相应保密措施的技术信息、经营信息等。商业秘密具有秘密性、价值性和保密性3个特征。

其中技术信息、经营信息的具体含义在《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》中进行了进一步解释。技术信息是指与技术有关的结构、原料、组分、配方、材料、样品、样式、植物新品种繁殖材料、工艺、方法或其步骤、算法、数据、计算机程序及其有关文档等信息。经营性信息是指与经营活动有关的创意、管理、销售、财务、计划、样本、招投标材料、客户信息、数据等信息。其中客户信息，包括客户的名称、地址、联系方式以及交易习惯、意向、内容等信息。

所以商业秘密本身可能并非很高深的技术，而是一些在行业内看来可能“不过如此”的信息，但是如果忽略这些“不过如此的信息”任其泄漏，又往往给其企业带来不可收拾的麻烦。

 2. ChatGPT的三大特点挑战商业秘密保护

1）ChatGPT不具备数据分级能力：尽管ChatGPT可以生成自然语言的回应，看起来智能程度大大增加，但它的理解能力仍然有限。在处理复杂的商业机密时，它可能无法完全理解其重要性或保密性，也不能自动为数据分级，并可能意外泄漏敏感信息。为此，一些拥有行研敏感数据的顶级金融机构，会专门为其财富管理部门向OpenAI购买ChatGPT-4的专用云服务器。该版本的数据将与其他客户的数据分开保存，客户自行并提供数十万份银行市场研究文件，使其成为一个聊天机器人，员工可以用来询问信息，比如比较房地产投资市场。

2）使用即泄密：为了训练ChatGPT，OpenAI需要使用大量的语料数据，并且该学习模型使用的数据集不是公开的，整个数据处理过程对企业用户来说是黑箱的，企业很难确定他们的信息最终不会被用于这些模型训练。企业需要认定数据一旦输入ChatGPT就是泄密，如果企业在传统路径下就不重视内部敏感数据的脱敏工作，当下工作当中增加员工使用ChatGPT的场景，商业秘密泄漏风险就会极大增加。

3）未经授权的访问和使用：ChatGPT可能会面临非用户本人未经授权的访问和使用风险。目前中国大陆地区很多用户向中介购买账号，该类账号重复使用、多人使用的现象时有发生。如果未经授权的人员获得对ChatGPT的访问权限，他们可能会获取商业秘密信息或滥用系统，从而危害企业的利益。

目前在OpenAI走向商业化的过程中修改了隐私政策，增加付费客户，该类客户可以要求OpenAI不使用他们的数据来培训和提高ChatGPT的质量。但这些措施可能在未来各国针对生成式聊天机器人立法更加规范的背景下无法应对所有客户的合规需求，尤其是严监管的行业的客户。

二、为了应对这些挑战，

企业可以采取哪些措施？

1. 商业秘密的传统保护路径

《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》中认定的企业为保护自己的商业秘密而采取的“保密措施”应当实施在在被诉侵权行为发生以前。人民法院应当根据商业秘密及其载体的性质、商业秘密的商业价值、保密措施的可识别程度、保密措施与商业秘密的对应程度以及权利人的保密意愿等因素，认定权利人是否采取了足够级别的合理程度的保密措施。

企业传统的保密措施一般包括：签订保密协议或者在合同中约定保密义务；通过公司章程、培训、规章制度等方式，对能够接触、获取商业秘密的员工、供应商、客户、来访者等提出保密要求；对涉密的生产经营场所限制来访者或者进行区分管理；以标记、分类、隔离、加密、封存、限制能够接触或者获取的人员范围等方式，对商业秘密及其载体进行区分和管理；对能够接触、获取商业秘密的计算机、电子网络设备、存储设备等，采取禁止或者限制使用、访问、存储、复制等措施；要求离职员工登记、返还、清除、销毁其接触或者获取的商业秘密及其载体。

2. 传统路径基础之上企业还可以优化这些商业秘密保护措施

1）数据脱敏和加密：在工作场景下需要与ChatGPT交互时，对敏感信息进行脱敏或加密处理，并做好敏感信息过滤，以保护商业秘密的安全。

2）访问权限控制：由企业统一注册ChatGPT账户，采取适当的访问控制措施，限制只有授权人员能够使用ChatGPT，并监控其访问和使用行为。

3）审查和纠正ChatGPT回应再使用：对ChatGPT生成的回答进行审查和纠正，确保其不会泄露商业秘密或提供误导性信息。

4）安全培训和合规指导：向员工提供关于商业秘密保护的培训和合规指导。企业可以基于《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》、《中华人民共和国反不正当竞争法》、《中华人民共和国保守国家秘密法》以及《中央企业商业秘密保护暂行规定》等法律法规制定本公司的相关政策，进行宣贯。以及详细介绍ChatGPT的功能和使用须知如：解释ChatGPT是一个基于人工智能的语言模型，能够生成自然语言的回应；强调ChatGPT在工作中的潜在好处和用途，以便员工了解它的实际价值；提醒员工商业秘密的重要性和保密性，并强调在使用ChatGPT时需要遵守保密责任。强调员工在对话中避免透露敏感商业信息，并提供商务实践中的实际的示例和场景进行演示；解释如何安全访问和使用ChatGPT，包括登录、身份验证和访问权限的设置；告知员工保护其个人登录凭据和访问权限的重要性，以防止其他同事（或他人）未经授权的访问和滥用。

三、公司是否可以“一刀切”

禁止员工使用ChatGPT？

目前由于立法的滞后性，并没有法律法规层面的依据可以禁止公司的员工在工作时禁止使用ChatGPT，企业可以寻求以下解决方案：

1.合同和企业政策：企业可以在员工合同、企业政策或员工手册中规定禁止或限制员工使用ChatGPT等类似工具。这样的规定应明确、明确通知员工，并确保员工了解相关规定和后果。

2.行业规定和法律要求：某些行业或涉外工作可能有特定的规定或法律要求，涉及商业秘密的保护和数据隐私。企业需要遵守这些规定，并确保员工的行为符合法律要求。

3.合理性和公平性：公司在制定此类规定时需要平衡保护商业秘密和员工的合法权益。有时候，员工可能有合法的业务需要或其他合理的理由需要使用ChatGPT或类似的工具。在制定规定时，公司应充分考虑员工的权益，并确保规定的适用范围和限制是合理和合法的。

在实务中，企业方还面临着另一个难题，就是如何发现尤其是如何及时发现员工不当使用了ChatGPT。笔者建议公司可以采取以下措施：

1.监控网络活动：公司可以使用网络监控工具来监视员工的网络活动。这些工具可以记录员工的网页浏览记录、应用程序使用情况等，以便发现是否有员工在使用ChatGPT。但是在企业公开文件中，应当明示员工知晓公司对特定网站的网络监控活动，比如公司规章制度、员工手册。--但有合规性瑕疵，应当明示告知。

2.日志审计：对于公司内部的系统和平台，可以启用日志审计功能。这将记录员工的活动，包括对ChatGPT的访问和使用。通过审查日志，公司可以检查员工是否在不当使用ChatGPT。

3.内部报告机制：建立一个内部报告机制，鼓励员工向公司举报任何不当使用ChatGPT或其他工具的情况。员工可以匿名或保密地向公司提供有关其他员工的信息，帮助公司发现不当行为。

4.培训和意识提升：通过为员工提供关于合规和信息安全的培训，增强他们对不当使用ChatGPT的认识和风险的意识。培训应包括对相关政策和规定的说明，并强调保护商业秘密的重要性。

5.员工监督和反馈：定期对员工进行监督和评估，与员工进行沟通和反馈。如果发现员工不当使用ChatGPT的迹象，可以采取适当的行动，如警告、纪律处分或其他合适的措施。

需要注意的是，监控员工行为和收集员工数据可能受到法律和隐私保护规定的限制。在采取上述措施时，公司应遵守适用的法律法规，并确保合规性，尊重员工的隐私权。此外，为了保持透明和公正，建议公司在员工入职时明确告知相关政策和监控措施，并尽可能征得员工的同意。同时，应当遵守劳动法和就业法规，以确保员工权益的保护。

四、公司是否可以基于员工不当

使用ChatGPT解除劳动关系？

如果实务中，公司基于业务的特殊性等原因，对于员工不当使用ChatGPT的后果容忍度较低，那么需要在事先设计公司制度的时候就保留“因员工不当使用ChatGPT而解除劳动关系”的权利。笔者建议一旦遇到需要解除劳动关系的情况，可以有以下途径：
1.合同条款：审查劳动合同中的相关条款。合同可能包含关于员工合规行为、保护商业秘密和禁止不当使用技术工具的规定。如果员工违反了合同中的相关规定，公司可能会依据合同解除劳动关系。
2.违反公司政策：公司应该拥有明确的政策和规定，禁止员工不当使用ChatGPT等工具。如果员工违反了这些政策，公司可能会根据政策规定采取相应的纪律处分，包括解除劳动合同。
3.损害结果可以认定为严重违约行为：是否可以解除劳动合同也取决于员工的不当使用ChatGPT的性质和严重程度。如果员工的行为严重违反了职业道德，比如主观带有恶意地故意泄漏商业秘密或造成了严重的经济损失，公司可以认为这是解除劳动合同的正当理由。
4.合法程序和公平原则：无论解除劳动合同的原因是什么，公司在采取行动时必须遵守劳动法和就业法规。这包括遵循解雇程序、提供必要的通知和补偿，并确保公平原则的适用，以避免侵犯员工的权益。

/ 结语 /

国内互联网企业的主流声音认为，ChatGPT是场新工业革命，任何APP、网站和其他互联网产品都值得被重塑。现在所有产品经理都被留了一道“作业题”：人工智能时代该如何重塑产品？某互联网科技公司创始人发布主题为“人工智能总动员”的内部信，要求每一位员工、每个产品和业务都要全面拥抱人工智能，适应人机协作，着手产品重塑。该创始人在内部信中更表示，未来要全方位调动资源践行自家的自研GPT。

但是，ChatGPT这场“工业革命”中商业秘密是每个企业都绕不开的话题，实务中商业秘密因其自身特点——内涵的模糊性及外延的宽泛性决定了其认定的困难。所以笔者建议各个企业对于商业秘密的保护问题一定要做到事先防范，尤其是面对ChatGPT这样的新挑战，企业用户需要时刻记得向ChatGPT输入任何类型的数据，这些数据都将被工具提供者——美国公司OpenAI 使用。

当下和未来企业都需要有商业秘密保护意识，预防和应对商业秘密泄露风险，律师可以协助企业日常提供商业秘密保护的咨询和建议，定期为企业量身定制提供优化商业秘密保护的措施，全面搭建商业秘密的保护体系。

[脚注] 

· https://www.cs.com.cn/cj2020/202304/t20230421_6339190.html 中国证券报 周鸿祎发内部信 要求360全面拥抱人工智能

· https://finance.sina.com.cn/tech/csj/2023-04-06/doc-imypmqmf6501481.shtml 新浪财经 三星被曝芯片机密代码遭ChatGPT泄露，引入不到20天就出3起事故，内部考虑重新禁用

· https://www.court.gov.cn/zixun-xiangqing-254751.html 最高人民法院《关于审理侵犯商业秘密民事案件适用法律若干问题的规定》

· https://mp.weixin.qq.com/s/3alcyFeCtxWpzQf79zuAPA 中国上海司法智库 侵犯商业秘密罪中“商业秘密”的认定

· https://mp.weixin.qq.com/s/2zAUDGQFA7KCEeFQhNnhLA 最高人民法院司法案例研究所 商业秘密“不为公众所知悉”的司法认定

· http://www.cggthinktank.com/2023-03-27/100077715.html 走出去智库 ChatGPT法律问题研究及合规指引—数据安全及知识产权篇

· https://m.jiemian.com/article/9078652.html 界面新闻 摩根士丹利加入ChatGPT-4“朋友圈”，国内多家银行券商牵手百度“文心一言”

作者简介

袁嘉  律师

高级顾问

业务领域：国际投融资与并购、知识产权与竞争法、私募基金

曾维宇  合伙人

业务领域：数字经济、股权投融资/激励、企业合规

杨琦  律师

业务领域：知识产权与竞争法、数字经济法律服务、企业合规

感谢律师助理马瑞阳对本文作出的贡献。

近期文章推荐

ARTICAL