免费AI能力一升级，你公司里最先高兴的，多半是天天赶合同的法务、写文案的运营、调代码的技术——不花钱也能用上最能打的那一档了。
但你作为老板，真正该盯的是另一件事：他们把什么东西贴进去了。
先把一个常被忽略的事实说清楚。免费不等于没成本，你付的是数据。部分面向个人的AI服务可能根据具体产品和用户设置，使用输入内容改进模型。也就是说，员工顺手贴进去的那份还没签的并购协议、那张客户名单、那段核心算法代码，理论上都可能进入对方的训练管线。企业服务通常提供更明确的数据控制和数据处理协议；以OpenAI为例，Business、Enterprise和API默认不使用输入输出训练模型。两者差的，恰恰是"你的数据最后落在哪台服务器上"。
我自己搭过给律所内部用的AI系统，所以对这条链路比较敏感：一条数据从你按下"发送"，到落地、被缓存、被用于训练，中间每一步都在别人的规则里跑。看起来只是个聊天框，背后是一整套你没签过字的数据流向。
对要出海、有跨境业务的公司，还有一层更硬的合规：数据出境。把境内客户、员工的个人信息喂给一个境外部署的AI，本质上就是一次数据出境行为。这类行为需要先识别数据类型、数量、主体身份及法定豁免，再判断是否适用安全评估、标准合同或保护认证；即使符合豁免，企业仍要履行告知、保护和安全管理等义务。员工随手一贴，可能绕开公司的合规判断和管理流程。
给你四条能马上落地的：
- 先搞清楚你在用哪一档。个人服务须核对具体设置，企业服务通常有更明确的数据控制，这一步不问清楚，后面都是空谈。
- 定一张红线清单。客户个人信息、未公开合同、源代码、财务数据、并购标的——这几类不进任何公网AI，白纸黑字发给每个人。
- 出海的多想一层。境内个人信息要进境外AI，先结合数据类型、数量、主体身份和法定豁免进行出境合规判断，别让"提效"变成"违规出境"。
- 想用就用对方式。要么上企业版关训练、签DPA，要么私有化部署放内网；再给员工一页纸，"能贴什么、不能贴什么"讲明白。
AI是好工具，我自己天天用。但工具好不好用，和你的数据安不安全，是两件事。免费升级只是把更强的能力递到了每个员工手里，风险敞口也跟着放大了。
你现在能先做的一件事：把公司现在在用哪档AI、员工都往里贴什么，列一张纸。理不清就发我，先帮你把红线画出来。
———
吴展鵾律师 · 涉外律师
涉外/跨境为主 · 办理广州/大湾区/全国刑事民商诉讼与法律顾问 · 中/英/西/日4语
主站：wzklaw.com · 预约：wzklaw.com/booking.php