企业用AI的50个法律风险（第二期11-20）

admin

第二批：从“能用”到“能上线”的10个关键风险

如果说第一期解决的是“会不会出事”，这一期解决的是：你已经在用AI了，为什么越来越接近合规红线？

从“能用”到“能上线”，意味着AI应用从内部探索走向了对外服务、商业交付的关键阶段。此时，法律责任的边界被急剧放大，任何微小的合规疏漏都可能演变为系统性风险。本期上海锦天城（重庆）律师事务所李章虎律师团队将深入剖析这一阶段最核心的10个法律风险。

风险11：训练数据来源不清，构成“系统性侵权风险”

Q：企业自建或微调模型时，使用网络抓取的数据、公开论文或用户历史数据，会有什么法律后果？

A： 这构成了AI时代最基础也最致命的“源头污染”风险。根据《著作权法》，未经许可复制、使用受保护的作品进行模型训练，可能侵犯权利人的复制权、信息网络传播权等。北京互联网法院已受理全国首例AI训练数据侵害著作权案，这标志着司法实践已开始关注数据源头的合法性。

核心法律问题：

1. 著作权侵权： 抓取网站内容、使用未授权的论文、图片、视频等，直接侵犯了原作者的著作权。

2. 授权范围违规： 即使是合法获取的数据，若使用方式超出了原始授权范围（例如，将仅限个人研究的数据用于商业模型训练），同样构成违约或侵权。

3. 不正当竞争： 大规模、自动化地抓取竞争对手网站的核心数据，可能构成不正当竞争。

律师提示：

企业必须建立数据治理的“三张清单”，实现从“先使用后治理”到“来源和过程管理”的转变：

• 数据来源清单： 详细记录每一条训练数据的获取渠道、时间和方式。

• 授权依据清单： 明确每一项数据的使用授权文件、许可协议或法律依据。

• 使用范围边界清单： 界定数据可用于训练、测试、商业化的具体范围。

• 否则，风险将不是“单点侵权”，而是整套模型从诞生之初就携带“原罪”，面临被追责甚至禁用的风险。

风险12：开源模型“免费用”，但许可证违规

Q：企业使用LLaMA、Stable Diffusion等开源模型，是否真的可以“零成本、无限制”地商用？

A： 这是一个普遍的认知误区。“开源”不等于“免费商用”或“无义务使用”。开源模型通常附带特定的许可证（如Apache 2.0, MIT, LLaMA Community License等），这些许可证是具有法律约束力的合同。

高发误区与风险：

• 误区： 认为“开源=随便用”，忽视了署名、披露修改、非商用限制等条款。

• 风险： 违反许可证义务，本质上是违约行为。权利人可要求企业停止使用、下架相关产品，甚至索赔。这可能导致整个商业项目因底层模型违规而被迫中断。

律师提示：

AI时代的核心合规原则之一是：“不是代码侵权，是许可证违规”。在使用任何开源模型前，必须完成：

1. 模型许可证合规审查： 由法务或专业顾问逐条解读许可证条款。

2. 商用边界确认： 明确许可证是否允许商业使用，以及有何种限制。

3. 二次开发合规评估： 如果修改了模型，需确认是否需要开源修改后的代码或进行其他披露。

风险13：员工用AI生成成果，权属不清

Q：员工使用AI工具完成的方案、设计、代码等工作成果，其知识产权归属于公司还是员工个人？

A： 这是一个法律上的灰色地带，极易引发争议。根据司法实践，AI生成物能否获得著作权保护，关键在于“人类的智力投入程度”。例如，在“北京春风案”中，因使用者进行了复杂的提示词设计和多次迭代，法院认定其构成作品；而在“菲林律所案”中，因投入过少，未被认定为作品。

风险点：

1. 企业无法主张权利： 如果员工使用个人账号在外部平台生成内容，且公司无相关制度约定，企业很难主张该成果为“职务作品”。

2. 员工离职带走成果： 权属不清为知识产权流失埋下隐患。

3. 与平台产生权属冲突： 部分AI平台的服务协议可能约定对生成内容享有一定权利。

律师提示：

企业必须立即补上制度短板，明确三件事：

1. 明确制度： 在员工手册或专项制度中规定，“员工在职期间利用AI工具生成的、与工作相关的所有成果，其知识产权均归属于公司”。

2. 明确工具范围： 规定员工可以使用哪些公司批准的AI工具（白名单），禁止使用哪些高风险工具（黑名单）。

3. 保留过程记录： 要求员工保留AI生成的关键过程记录（如提示词、迭代版本），作为主张权利和体现人类智力投入的证据。

风险14：AI招聘、筛选简历，触发“算法歧视”

Q：使用AI自动筛选简历、评估候选人，可能面临哪些法律风险？

A： 这属于“自动化决策”的高风险应用场景。如果算法模型因训练数据存在偏见，导致在性别、年龄、学历、地域等方面对求职者产生不合理的差别待遇，将直接触发《就业促进法》及相关监管规定中的“算法歧视”风险。国家网信办等部门已开展专项行动，明确治理算法歧视问题。

法律风险：

• 就业歧视： 构成对求职者平等就业权的侵害。

• 劳动争议： 被拒绝的候选人可提起劳动仲裁或诉讼。

• 行政处罚： 面临监管部门的约谈、罚款等行政风险。

律师提示：

监管的核心逻辑是：自动化决策必须公平、可解释、可申诉。

• 必须保留人工干预机制： AI的筛选结果只能作为参考，最终决策必须有真人参与和复核。

• 必须可解释： 企业应能说明AI做出某一判断的主要依据（如关键词、技能匹配度等），避免“黑箱操作”。

风险15：AI跨境使用，引发数据出境风险

Q：企业使用海外AI工具（如ChatGPT），将内部数据上传，是否构成数据出境？

A： 是的，这极有可能构成数据出境。关键在于数据是否传输至境外服务器，以及数据内容是否包含个人信息或重要数据。

核心问题与风险：

• 数据流向判断： 即使企业在国内，只要数据被发送至境外服务器处理，就属于数据出境。

• 法律风险： 若未履行法定的数据出境安全评估、签订标准合同或获得专业认证等合规程序，可能构成非法向境外提供数据，面临严厉处罚。

律师提示：

不要只看“服务器在哪里”，而要看数据流向和服务提供方的注册地。建议至少完成以下步骤：

1. 数据分类分级： 识别拟输入AI的数据是否包含个人信息、商业秘密或重要数据。

2. 出境路径识别： 明确数据是否经过境外服务器。

3. 合规评估： 对于确需出境的数据，依法开展数据出境风险自评估并履行相应程序。

风险16：AI合同条款缺失，责任无法分配

Q：企业采购AI服务时，只签一份普通的技术服务合同，存在什么隐患？

A： 这将导致在出现问题时，责任无法清晰界定，陷入“互相甩锅”的困境。AI服务的特殊性在于其输入、输出、合规义务的高度复杂性，标准合同无法覆盖。

典型后果：

当AI生成内容侵犯第三方权利，或因数据问题导致模型失效时，由于合同未约定责任归属，采购方可能需独自承担全部法律后果。

律师提示：

AI合同本质上是风险分配协议。必须在合同中增加“四个核心条款”：

1. 数据来源与合法性保证条款： 要求供应商保证其训练数据来源合法，不侵犯第三方权益。

2. 输出内容责任归属条款： 明确因AI生成内容引发的侵权责任由哪一方承担。

3. 合规义务分配条款： 约定双方在数据安全、个人信息保护、算法备案等方面的具体义务。

4. 侵权赔偿机制条款： 设定清晰的赔偿范围、计算方式和追偿流程。

风险17：数字人、AI广告，踩入广告与虚假宣传风险

Q：使用AI主播、数字人进行直播带货或制作广告，需要注意什么？

A： 这类应用极易触碰《广告法》的红线。主要风险在于内容是否真实、是否误导消费者，以及是否按规定标识。

风险点：

1. 虚假宣传： AI生成的广告内容可能夸大产品效果、虚构使用场景，构成虚假广告。

2. 误导消费者： 如果数字人高度拟真但未明确标识为AI生成，可能让消费者误以为是真人推荐，构成欺诈或误导。

律师提示：

根据《人工智能生成合成内容标识办法》，AI广告必须做到：

• 可识别： 显著标识“AI生成”或“虚拟人”，让消费者能够清晰辨别。

• 不夸大： 广告内容必须有事实依据，不能凭空捏造。

• 不误导： 避免使用可能引起消费者误解的表述或形象。

• 否则，不仅会面临平台处罚，还可能招致市场监管部门的行政处罚。

风险18：AI进入特定行业，触发“强监管”

Q：在医疗、金融、教育等行业使用AI，与通用场景有何不同？

A： 这些属于“强监管”行业，AI的应用不能突破行业的准入边界和专业规范。AI的角色必须是“辅助”而非“替代”专业人士的判断。

风险本质：

AI一旦涉足专业判断领域（如医疗诊断、投资建议、法律意见），其输出的错误或“幻觉”可能导致严重后果，企业将面临行业主管部门的严厉监管和用户的索赔。

律师提示：

AI进入专业领域，必须建立“三道防线”：

1. 明确边界： 清晰界定AI是辅助工具，最终决策权在人。

2. 设置免责声明： 在显著位置提示AI生成内容的局限性，不作为专业决策的唯一依据。

3. 保留人工审核： 所有AI输出的专业建议，必须经过具备相应资质的专业人士审核确认后方可使用。

风险19：供应商问题，变成你的法律风险

Q：AI是第三方供应商提供的，如果出问题，企业作为使用方是否无需负责？

A： 这是完全错误的认知。在面向用户的法律关系中，企业是“使用者责任主体”，需要对最终用户负责。供应商的问题，最终会传导至企业自身。

典型场景：

• 企业SaaS产品中集成了有侵权风险的AI功能。

• 平台嵌入的AI客服生成了不当言论。

• 产品调用的AI接口泄露了用户数据。

律师提示：

企业必须对AI供应商进行严格的合规审查，审查要点包括：

• 是否备案： 其模型是否已按《生成式人工智能服务管理暂行办法》完成备案。

• 是否合规： 其数据治理、内容安全、用户协议等是否符合中国法律。

• 是否有侵权记录： 供应商是否曾卷入著作权、人格权等侵权诉讼。

风险20：AI产品上线，但未履行“备案/披露义务”

Q：企业开发了面向公众的AI产品（如AI助手、AI客服），是否需要履行备案或信息披露义务？

A： 是的。根据《生成式人工智能服务管理暂行办法》，向中华人民共和国境内公众提供生成式人工智能服务，需要履行相应的备案和安全评估义务。

风险点：

• 未备案上线： 属于违规提供服务，可能被责令整改、罚款甚至下架。

• 未公示模型信息： 未按规定披露服务的基本原理、目的意图、主要数据来源等信息。

• 未说明AI能力来源： 未告知用户正在与AI交互。

律师提示：

判断标准不是“你是不是大模型公司”，而是是否对公众提供AI能力。企业在产品上线前，必须对照法规进行自查，确认是否需要备案，并按要求完成信息披露，确保产品“持证上岗”。

本期核心结论

如果第一期讲的是“不要乱用AI”，这一期讲的是：你已经在用AI，但你的法律责任正在被放大。

企业真正的分水岭不是“用不用AI”，而是有没有能力控制AI带来的法律责任。从数据源头到模型选择，从员工管理到供应商审查，从合同设计到产品上线，每一个环节都构成了企业AI合规体系的基石。唯有建立起系统化、流程化的风险管控能力，才能让AI真正成为企业发展的加速器，而非引爆风险的导火索。

-----------------

律师简介：

李章虎律师从事法律工作15年以上，带领律师团队主要执业领域为知识产权、政府与企业法律顾问、投资并购、重大商事争议解决，并着力研究人工智能、大数据、区块链等高新科技领域的法律事务。李律师是中国中小企业协会《中小企业合规评价认证标准》起草人之一，并荣登国际权威法律评级机构《Benchmark Litigation》 评为中国西部诉讼之星（2021-2025年连续五届）、The Legal 500（《法律500强》）中国精英榜单（2026）等荣誉,承办案件多次入选全国中小企业典型维权案例、重庆法院知识产权司法保护典型案例、重庆市律师协会十佳知识产权案例；著作作品包括《人工智能+87个行业应用的法律风险与应对指南》《商业秘密：保护与维权指南》《前沿技术法律风险与应对》《现代软件企业商业秘密保护指南》。

社会职务包括：重庆市科学技术局法律顾问、重庆通用人工智能研究院法律顾问、重庆市经济和信息化委员会专家库专家、重庆市知识产权局项目评审专家、重庆市科技公共服务专家、重庆市版权工作专家库专家、重庆市质量和标准化研究院专家库专家、重庆市知识产权投融资促进会智库专家、西南政法大学研究生实习指导老师、重庆工商大学法学与社会学学院实务导师、重庆市科技发展基金会理事、重庆市律师协会知识产权专委会副主任、重庆市青联法律界别委员会副主任、前沿技术产业化专项基金创始人、重庆市法学会知识产权法学研究会理事等。