AI开拓者指南：GenAI产品应用TIPs-从采购到使用（使用篇） -

1AI开拓者指南：GenAI产品应用TIPs——从采购到使用（使用篇）本文为《Al开拓者指南:GenAI产品应用TIPS从采购到使用(采购篇)》之下篇使用篇"。通过本文,你将至少了解使用GenAI产品的法律风险以及构建完善的内部管理制度的必要性。使用篇使用篇企业在采购GenAI产品后,在使用过程中仍存在商业秘密个人信息以及知识产权相关合规风险。为降低前述风险,企业应采取相应的防护措施,包括构建完善的内部管理制度,确保安全合规地使用GenAl产品。 2—、使用GenAl产品是否会导致商业秘密侵权与泄露?道收集的内容来源多样,例如因企业享有特定访问权限,其收集的内容可能包含未经公众知悉、具有商业价值并受到权利人保密措施保护的技术信息、经营信息等商业秘密。如果企业未能有效识别其中的保密信息并在未经授权的情况下将相关内容用于GenAl产品的优化和内容生成,可能构成对商业秘密权利人的侵权,从而需承担相应的法律责任。另一方面,当企业将自有内容用于GenAI产品的优化和内容生成时,若其中部分内容未公开,并具有实际或潜在的商业价值,同时企业已通过保密协议访问控制保密培训信息等均可能属于商业秘密。若企业未能有效识别这些保密信息则相关商业秘密可能面临泄露风险最终损害企业的商业利益。TIPS:企业在优化和使用GenAI产品时,应对用于优化和使用GenAI产品的内容(包括训练数据提示词等)先进行必要的审查,判断是否涉及外部第三方商业秘密、企业自身商业秘密。如确实涉及,企业应采取适当的保密措施(如数据脱有化部署加密存储加密传输等)确保相关商业秘密的安全,同时也应在内部建立明二、用GenAl产品是否需要履行个人信息保护义务?若企业构成个人信息处理者,则需要履行法定的个人信息保护义务根据《中华人民共和国个人信息保护法》("《个人信息保护法》")第73条,个人信息处理者是指自主决定处理个人信息目的和方式的组织或个人。如我们在《Al开拓者指南:AIGC应用协议——怎么写怎么看》一文中所述,GenAI产品提供者向企业提供GenAI产品时,通常存在三种模式,分别是提供API接口云部署以及本地化部署。在提供API接口的模式下,在企业使用GenAl产品的过程中,数据的流向为企业输入并接受GenAl产品生成的输出,数据的存储、计算、处理方式均由GenAl产品提供者决定而企业无法控制GenAI产品的内部处理机制,也不决定数据的最终存储或用途。因此,在提供API接口的模式下,企业仅作为数据输入方,不直接决定数据的处理流程,通常不被视为个人信息处理者。而在云部署和本地部署的模式下,企业将GenAI产品部署在云资源或本地,所有数据均在企业可以控制的云资源或IT设施上进行处理和存储,企业决定数据的存储、处理等模式,包括是否对数据进行再利用、优化训练等GenAl产品的提供者反而仅仅提供模型或工具而不直接接触或处理数据因此,在云部署和本地化部署的模式下,如员工等享有企业所采购的GenAI产品的使用权限的用户("授权用户")涉及向GenAI产品输入个人信息,企业将成为个人信息处理者。TIPS:企业应结合GenAl产品提供者向企业提供GenAl产品的模式,判断自身是否属于个人信息处理者。如企业构成个人信息处理者,根据《个人信息保护法》的相关规定,企业在处理个人信息包括:•在收集个人信息时,需清楚告知用户信息的用途方式以及保存期限,并在必要时征得明确同意;•企业应当采取安全技术和管理手段,防止个人信息泄露、篡改或丢失,特别是当信息涉及敏感内容时,更需要加强保护措施; 3三、若将用户个人信息用于GenAl产品优化,企业还需要履行哪些个人信息保护义务?在《个人信息保护法》的框架下,企业在处理个人信息时,原则上应当以个人的同意作为合法性基础。《个人信息保护法》第13条明确规定,处理个人信息应当基于个人同意,除非符合特定的法定情形,例如履行法定义务公共利益需求或应对突发公共事件等《个人信息保护法》第14条进一步强调,个人的同意必须是自愿、明确知情"的意思表示,不得以默认勾选强制同意或捆绑授权的方式获取。TIPS:在实践中,企业不能默认收集或使用个人信息,而是必须在明确告知的前提下,获取个人的主动授权。若企业将授权用户GenA产品优化作为默认选项,而应当在授权用户主动授权后,才可以进行相关处理。四、如何避免数据泄露?企业在使用GenAI产品时,可能面临多种数据泄露风险GenAl产品的数据安全事件是数据泄露的重要来源之一。如果Al产品本身存在安全漏洞,攻击者可能利用这些漏洞访问存储数据,导致企业输入的信息被窃取或泄露2023年,openAI发现chatGPT存在一处漏洞,导致部分用户能够看到其他用户的聊天记录标题。1尽管该问题迅速被修复,但是仍然暴露了一个问题:一旦GenAI产品出现数据安全问题,将造成不可控制的数据泄露风险。除了GenAl产品本身发生数据安全事件可能带来的数据泄露风险,企业在使用这些产品时,也可能因为缺乏必要的安全控制措施,导致自身的敏感信息意外泄露。在许多企业环境中,员工可能将内部的商业机密未公开的研发成果或客户信息输入到GenAI产品中。然而,许多GenAI产品的运行机制决定了用户输入的数据将被记录,甚至可能被用于训练后续版本的模型。如果企业没有建立明确的使用规范,员工的不当输入行为可能会导致企业的核心数据被GenAI产品存储,在未来被GenAI产品向其他用户输出,进而造成数据泄露。TIPS:面对数据泄露的风险,企业需要采取系统性措施来加强数据保护,以降低数据泄露问题包括:•企业应建立严格的数据分级管理制度,明确哪些数据可以用于GenAI产品,哪些数据必须严格限制输入GenAI产品;•企业应制定完善的数据安全事件应急预案,以确保在突发安全事件时够迅速响应,降低损失和影响;•企业或相关组织应当明确数据安全管理的职责分工,确保各项安全措施真正落地执行;•企业还可能需要履行其他适用数据保护的义务,例如定期开展重要数据风险评估,识别并消除潜在安全隐患,以进一步提升数据安全管理水平。 4五、如何避免GenAI产品生成内容("AIGC")侵权?AIGC侵权的风险来源包括企业未经授权使用他人享有合法权益的内容和GenAI产品提供者未经授权使用他人享有合法权益的内容在企业使用GenAl产品的过程中,其很有可能会向GenAI产品输入受他人享有著作权商标权肖像权声音权等合法权益的内容以著作权为例,在企业使用训练数据对于GenAI产品进行优化训练的过程中,如果企业无法确保对训练数据享有充分的著作权或著作权授权,在优化训练后的GenAI产品生成的AIGC与该等训练数据存在实质性相似的情形下,企业很可能侵犯训练数据所包含作品的著作权人的著作权。除了企业使用阶段的风险以外,GenAI产品提供者如果在未经授权的情况下,将他人享有合法权益的内容作为训练数据用于GenAI产品所依托的模型的训练,就可能在模型训练阶段侵犯权利人的合法权益。更重要的是,这种侵权风险不仅存在于模型训练阶段。如果模型在训练中学习了他人享有合法权益的内容,AIGC可能与该等内容存在实质性相似,甚至直接复现部分内容,这将导致企业在后续使用这些AIGC进行商业化应用时面临侵权风险。企业应当结合使用GenAl产品的场景和目的、使用AIGC的场景和目的,在许可目的、许可行为、许可权利、许可性质、许可期限等方面进行全面的考量。企业还可以通过要求GenAl产品提供者披露GenAI产品训练数据的基方式,核查GenAl产品提供者是否已取得相应许可进而降低相应风险;同时,可以在采购协议中约定如由于GenAl产品提供者未经授权将他人享有合法权益的内容用于模型训练导致企业生成的AIGC侵权,GenAl产品提供者应通过损害赔偿支付违约金六、AIGC的权利归属于企业吗?目前企业可能对于AIGC享有的权利主要为著作权;而根据我国著作权法,在AIGC是否构成作品仍悬而未决的前提下企业是否对于AIGC享有著作权也尚无定论。在2023年的AIGC可版权性第一案中",北京互联网法院在强调Al画图工具生成的图片体现的是原告而非Al的智力贡献的基础之上,认为原告是AICG所生成图片的作者,从而享有生成图片的著作权。这一判决为认定GenAl产品使用者享有AIGC的著作权创设了先例。尽管如此,我们无法基于此判例直接推导出在企业采购GenAI产品的情形下,企业就享有GenAl产品生成的AIGC的著作权的结论,这是因为AIGC的著作权归属还受企业和GenAI产品提供者之间协议约定的影响。目前,多数GenAI产品协议赋予用户AIGC的著作权,但GenAI产品提供者通常保留免费永久可分许可的使用权。有些GenAI产品则直接规定AIGC版权归属开发者,或采用CC01.0协议放弃所有权利。因此,即便企业被认定为AIGC的作者,若企业与GenAI产品提供者在采购协议中约定AIGC归属于GenAl产品提供者,可能被视为企业向GenAl产品提供者转让著作权,影响企业后续对于AIGC进行商业使用。TIPS:为保障企业后续对于AIGC进行商业使用的权利,避免潜在的权属纠纷,企业应在和GenAl产品提供者之间的采购协议中明产品提供者未经企业许可不得擅自使用该等AIGC。同时,企业也可以考虑在对外使用的AIGC中嵌入权利主张,例如标注"未经七、企业使用AIGC时,是否需要履行AIGC标识义务?目前,尽管我国现行有效的法律法规尚未对GenAI产品使用者提出强制性标识要求,如果企业在境外使用AIGC,可能仍然需要履行AIGC标识义务以欧盟为例,根据欧盟《人工智能法案》第50条的规定,如果企业面在面向欧盟公众开展网络营销活动中使用GenAl产品生成的图像音频或者视频内容,企业将构成《人工智能法案》项下的Al系统部署者,需要遵守Al系统部署者的合规要求,包括履行透明度义务,向公众披露该等内容是人为生成或者操纵的。此外,随着我国对于Al的监管体系日益完善,未来我国可能会出台规定要求GenAl产品使用者通过网络平台发布AIGC时主动声明并使用网络平台提供的标识功能进行标识TIPS:建议企业持续关注我国在内的所涉国家和地区的立法动向,在相关规定强制要求的情况下在AIGC上明确标注为由AI生成。八、若企业使用境外GenAl产品,需要额外关注哪些问题?企业在使用境外GenAl产品时,需要尤其关注跨境场景所涉及的数据安全个人信息保护以及资质要求等问题。在数据安全方面,根据《数据出境安全评估办法》,涉及重要数据或大规模个人信息的数据出境,需进行数据出境安全评估,并采取适当的数据保护措施,例如数据去敏匿名化处理加密存储及访问权限控制等,以防止数据泄露或未经授权的使用如果企业的数据涉及国家安全关键信息基础设施金融医疗等重点行业,数据出境的要求可能更加严格,需要额外的备案或审批流程在个人信息保护方面,根据《个人信息保护法》第38条、第39条,在企业使用境外GenAI产品的过程中,如境外GenAl产品提供者涉及收集存储处理中国用户的个人信息,企业需确保已取得个人信息主体的明确同意,或基于其他合法性基础进行跨境数据传输。企业可能还需要通过个人信息保护认证与境外数据接收方签署标准合同,或满足其他必要的合规要求,以确保个人信息在跨境流转