《商业秘密保护规定》出台，把"数据"和"算法"明确写进了商业秘密保护范畴。这件事看起来是法规更新，落到企业身上，是一次资产盘点的提醒。

先说一个我接咨询时常碰到的情形。一家做跨境电商的公司，技术团队自研了一套商品定价算法，老板觉得"这东西是我们的核心竞争力"。可真问下来——代码放在哪、谁能看、有没有签保密协议、有没有访问权限分级、离职交接走什么流程——基本一问三不知。等到核心程序员被对手挖走、价格策略突然被对方复刻，再来找律师，已经被动了一大截。

这次的《商业秘密保护规定》把"数据""算法"纳入保护范畴，至少解决了一个长期模糊的问题：这些东西到底算不算商业秘密、能不能拿《反不正当竞争法》那条线去保护。

我把实操要点拆成几块讲。

一、不是所有数据和算法都自动受保护。
商业秘密的三个核心要件没变：不为公众所知悉、具有商业价值、权利人采取了相应保密措施。换句话说，你光说"这是我们的核心算法"不够，得证明三件事：别人不容易拿到、它确实能带来商业利益、你为了保护它做过事。第三点是最容易被忽略也最容易出问题的地方。

二、"保密措施"不是一份NDA就完事。
司法实践中法院看的是一套体系：物理隔离（核心代码库分级访问）、人员管理（保密协议＋竞业限制＋离职审计）、流程留痕（谁在什么时候动过什么）、对外披露管控（对合作方、对供应商怎么签）。一份模板NDA塞给所有员工签了事，真上法庭，法官会问你具体做了什么。

三、数据资产要分层。
原始数据、清洗后的数据集、训练用的标注数据、模型权重——这几样的"秘密性"和商业价值不一样，保护强度和取证方式也不一样。我建议技术驱动型公司做一份数据与算法资产清单，把"哪些必须按商业秘密保护""哪些可以走著作权""哪些可以申请专利"分开。三条路径的成本、维权方式、保护期限都不同。

四、AI时代的新难题：算法可解释性和保密性的冲突。
监管层面，《生成式人工智能服务管理暂行办法》《算法推荐管理办法》要求一定程度的算法透明、可解释；企业层面，又想把算法当商业秘密保护起来。这两者怎么平衡，没有标准答案。我的建议是分层披露：对监管报送的是合规性说明，对外公开的是功能描述，真正的核心参数和训练逻辑做最高级别封存。

五、跨境业务要额外注意。
如果你的算法和数据涉及境外团队协作，或者数据出境，那除了国内的商业秘密保护，还要叠加PIPL的出境路径、目的国的数据保护法（欧盟GDPR、巴西LGPD、越南Decree 13/2023这类）。一份算法在中国是商业秘密，到了拉美客户那里，如果数据处理流程没设计好，可能既丢秘密又踩当地合规。具体以当地律师及现行有效法律为准。

回到那位老板——他后来花了大概两个月，把代码库分级、保密协议重签、离职流程加了技术审计，资产清单也做了出来。再被挖人时，至少手里有证据链可以走。

新规给出的是"权利的边界"，能不能真的把数据和算法变成可主张、可维权的资产，还得看企业自己有没有把"保密"做成体系。

———
吴展鵾律师 · 涉外律师
涉外/跨境为主 · 办理广州/大湾区/全国刑事民商诉讼与法律顾问 · 中/英/西/日4语
主站：wzklaw.com · 预约：wzklaw.com/booking.php