简析企业使用OpenClaw的法律风险

内容提要：

本文将结合《网络安全法》《反不正当竞争法》《促进和规范数据跨境流动规定》等现行法律法规，重点剖析企业在使用OpenClaw（俗称“龙虾”）过程中，在商业秘密保护、网络安全等级保护、数据出境合规以及反不正当竞争等方面可能面临的潜在法律风险，并提出相应防范措施。

全文：

一、OpenClaw工具简介

OpenClaw是一款集成了大型语言模型与自动化工作流的高级人工智能助手。其主要功能包括但不限于：深度分析与处理企业文档、生成综合性报告、从多源数据中提取与整合信息、以及进行智能化的内容创作与代码编写。企业可以使用OpenClaw处理内部管理文档、客户交互数据、技术研发资料、市场分析报告乃至供应链信息等各类数据。

由于其处理数据的广泛性、深度及其潜在的网络连接属性，OpenClaw的部署与使用场景极易落入《网络安全法》《反不正当竞争法》《促进和规范数据跨境流动规定》等法规的监管范畴，产生新的法律风险点。

二、主要法律风险及防范措施

1.商业秘密泄露与知识产权侵权风险

■ 风险来源：此风险主要源于两方面：一是员工在操作OpenClaw时，可能授权其读取未经脱敏处理的商业秘密（如核心技术参数、关键客户名单、未公开的战略规划等）；二是由OpenClaw自动生成的内容（如报告、设计方案、代码段）可能实质性地借鉴或包含了其训练数据中受版权保护的第三方素材。

■ 商业秘密泄露：OpenClaw在工作时，通常需与云端AI模型进行数据交互以完成指令。若其后台服务由第三方提供，则输入模型的提示词、上传的文档可能存在被服务方获取、留存甚至用于模型迭代的风险，从而导致企业商业秘密无意中泄露。

■ 知识产权侵权：企业若将OpenClaw生成的内容直接用于商业用途，而未对内容的原创性进行审查，则可能侵犯他人的著作权等知识产权，进而引发侵权风险。

■ 防范措施：对需要OpenClaw处理的数据进行脱敏处理，限制OpenClaw读取数据的范围。对OpenClaw生成的拟用于商业用途的报告、代码、设计等内容，应建立人工审查流程，进行原创性检测与版权风险筛查，降低侵权风险。

2.违反网络安全等级保护制度的风险

■ 风险来源：根据《网络安全法》及网络安全等级保护制度的要求，企业需对其信息系统开展安全等级保护工作。如果企业部署OpenClaw用于处理核心业务数据，或其运行环境与企业关键信息系统紧密集成，那么承载该工具的系统可能被定为第二级或更高级别的保护对象，从而需要履行相应的公安机关备案、委托第三方测评与安全建设义务。

■ 具体风险：若企业未对集成OpenClaw的系统进行准确的安全等级定级、备案，或其安全防护措施未能满足相应等级的保护要求，则构成合规违规。一旦因OpenClaw自身安全漏洞或集成环境缺陷导致数据泄露、毁损等安全事件，企业将面临监管部门警告、罚款等行政处罚。

■ 防范措施：鉴于目前OpenClaw尚处于起步阶段，现阶段可进行小规模测试性使用，设置一定的隔离措施，避免其与企业关键信息系统集成。后期如需大规模运用，则根据《网络安全法》及网络安全等级保护制度的要求，进行定级、备案和测评工作。

3.数据出境风险

■ 风险来源：根据《促进和规范数据跨境流动规定》，数据处理者向境外提供个人信息达到法定数量（如累计10万人以上），或向境外提供“重要数据”的，必须依法履行相应前置程序，包括但不限于通过数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证。

■ 具体风险：如果OpenClaw的后端服务接入了位于境外的AI模型（如GPT系列等），则用户上传的数据（可能包含个人信息或重要数据）将传输至境外。若此类数据传输的规模或性质触发了上述法规设定的阈值，而企业未事先履行合规手续，则将构成违法出境数据，需承担相应的法律责任。

■ 防范措施：限制允许OpenClaw读取的数据类型（例如个人信息、重要数据）及数量，进行匿名化、去标识化处理，降低数据敏感性，或使用境内的AI模型，从而避免触发数据出境前置程序。

4.不正当竞争风险

■ 风险来源：根据《反不正当竞争法》，企业不得以欺诈、胁迫、避开或者破坏技术管理措施等不正当方式，获取、使用其他经营者合法持有的数据。

■ 具体风险：如果用户利用OpenClaw的自动化能力编写或执行网络爬虫脚本，用以抓取竞争对手网站的商品详情、价格、评价等商业信息，且该行为违反了目标网站的Robots协议（反爬虫协议）、服务条款，可能被认定为干扰、破坏竞争对手正常经营的不正当竞争行为，需承担民事赔偿乃至行政责任。

■ 防范措施：在设定抓取信息目标网站时，提前确认是否有反爬虫协议条款，降低数据抓取频次，避免在网站浏览高峰期抓取数据，降低对目标网站的影响。

结语：

当前，OpenClaw仍处于快速发展的初期，相关的法律与合规风险点较为突出且处于动态变化中。企业若计划部署或已在使用此类工具，建议现阶段在内部管理制度中明确设立关于其使用的限制性与禁止性规定。对于确有必要使用的业务场景，应采取审慎原则，开展小范围、可控的试点测试，严格界定允许其访问和处理的数据范围，并制定相应的数据安全应急预案，以系统性识别、评估与防范潜在的法律与合规风险。此外，近期全国网络安全标准化技术委员会公布了《OpenClaw 类智能体部署使用安全指引（征求意见稿）》，对OpenClaw的安装、配置、使用、卸载等提供了建议，企业在部署OpenClaw时可参照该指引，落实相关安全防护措施。

（作者：里兆律师事务所陈晓鸣、董红军）

概要：

本稿は、「ネットワーク安全法」「不正競争防止法」「データ越境流通の促進及び適正化に関する規定」等の現行法律法規を踏まえ、企業がOpenClaw（通称「ロブスター」）を利用する過程において、営業秘密の保護、ネットワークセキュリティ等級保護、データ越境移転コンプライアンス及び不正競争の観点から生じ得る潜在的な法的リスクを分析するとともに、然るべき防止措置について検討するものである。

本文：

一、OpenClawツールの概要

OpenClawは、大規模言語モデルと自動化ワークフローを統合した高度なAIエージェントである。主な機能としては、企業文書の高度な分析及び処理、総合的なレポートの作成、多様なデータソースからの情報抽出及び統合、並びに知的なコンテンツの創作及びコードの作成等を含むがこれらに限られない。企業は、内部管理文書、顧客とのやり取りに関するデータ、技術研究開発資料、市場分析レポート、さらにはサプライチェーン情報に至るまで、各種データの処理にOpenClawを利用することができる。

そのデータ処理の広範性及び深さ並びに潜在的なネットワーク接続性により、OpenClawの導入及び利用は、「サイバーセキュリティ法」「不正競争防止法」「データ越境移転の促進及び適正化に関する規定」等の法律法規の規制対象となる可能性が高く、新たな法的リスクを生じさせ得るものである。

二、主な法的リスク及び防止措置

1.営業秘密漏洩及び知的財産権侵害のリスク

■ リスク要因：本リスクは主として二点に起因する。第一に、従業員がOpenClawを操作する過程において、匿名化又はマスキング処理が施されていない営業秘密（例えば、コア技術パラメータ、重要顧客リスト、未公開の戦略計画等）へのアクセスを許容する可能性がある点。第二に、OpenClawにより自動的に作成された成果物（レポート、設計案、コード等）が、そのトレーニングデータに含まれる著作権保護対象の第三者素材を実質的に参照し又はそれらを含む可能性がある点である。

■ 営業秘密の漏洩：OpenClawは作業している際、通常は、クラウド上のAIモデルとのデータのやり取りを通じて指令を実行する。当該バックエンドサービスが第三者により提供されるものであるときは、入力されたプロンプト又はアップロードされた文書がサービス提供者により取得・保存され、さらにはモデルの更新に利用されるリスクが否定できず、これにより企業の営業秘密が意図せず漏洩するおそれがある。

■ 知的財産権への侵害：企業がOpenClawにより作成されたコンテンツを、その独創性の検証を行うことなく商業利用に供した場合、他者の著作権等の知的財産権を侵害する可能性があり、権利侵害のリスクが生じるおそれがある。

■ 防止措置：OpenClawにより処理されるデータについては、事前にマスキング処理を行い、そのアクセス範囲を制限する。OpenClawによって作成された、商業利用の予定があるレポート、コード、デザインなどのコンテンツについては、人による審査体制を構築し、独創性の確認及び著作権リスクのスクリーニングを実施することにより、侵害リスクを低減すべきである。

2.ネットワークセキュリティ等級保護制度違反のリスク

■ リスク要因：「サイバーセキュリティ法」及びネットワークセキュリティ等級保護制度の要求によると、企業は自社の情報システムに対して等級保護措置を講じる必要がある。企業がOpenClawを導入し、コア業務データの処理に利用する場合、又はOpenClawの稼働環境が企業の重要情報システムと密接に統合される場合には、当該ツールを稼働させるシステムは第2級以上の保護対象と認定される可能性がある。これによって、公安機関への届出、第三者への評価委託及びセキュリティ対策構築等の義務を履行する必要がある。

■ 具体的リスク：企業がOpenClawを統合したシステムについて適切な等級判定及び届出を行わず、又は当該等級に応じたセキュリティ対策を満たさない場合には、コンプライアンス違反となる。さらに、OpenClaw自体の脆弱性又は統合環境の欠陥により、データ漏洩や毀損等のセキュリティ事故が発生した場合、監督当局による警告又は罰金等の行政処分を受ける可能性がある。

■ 防止措置：現時点においてOpenClawは発展初期段階にあることから、小規模かつ試験的な利用にとどめ、一定の隔離措置を講じて企業の重要情報システムとの直接的な統合を回避することが望ましい。将来的に本格導入を行う場合には、「サイバーセキュリティ法」及びネットワークセキュリティ等級保護制度の要求に従って、等級判定、届出及び評価手続を行う。

3.データ越境移転リスク

■ リスク要因：「データ越境移転の促進及び適正化に関する規定」によると、データ処理者が海外へ個人情報を提供する場合、法定規模に達する（例えば累計10万人以上）、又は重要データを提供する場合には、法に基づき、然るべき事前手続きを履行しなければならない。それには、データ越境安全評価の通過、個人情報越境移転標準契約の締結、又は個人情報保護認証の取得を含むがこれらに限定されない。

■ 具体的リスク：OpenClawの後続サービスが海外に所在するAIモデル（例えばGPTシリーズ）に接続される場合、ユーザーが入力又はアップロードしたデータ（個人情報又は重要データを含む可能性がある）は海外へ移転される。このようなデータ移転の規模や性質が前述の法規に設定されたトリガー条件を満たすにもかかわらず、企業が必要な事前コンプライアンス手続が履行されていない場合には、違法なデータ越境移転に該当し、相応の法的責任を負うこととなる。

■ 防止措置：OpenClawがアクセス可能なデータ類型（例えば個人情報や重要なデータ等）及び数量を限定し、匿名化や非識別化処理を施してデータの機密性を低減させる。又は国内のAIモデルを使用することで、データ海外移転の事前手続きの対象となってしまうことを回避する。

4.不正競争リスク

■ リスク要因：「不正競争防止法」によると、事業者は、詐欺、脅迫、技術的管理措置の回避又は破壊等の不正な手段により、他の事業者が適法に保有するデータを取得し又は利用してはならないとされている。

■ 具体的リスク：ユーザーがOpenClawの自動化機能を利用してクローラースクリプトを作成又は実行し、競合他社のウェブサイトから商品情報、価格、レビュー等を取得し、かつ当該サイトのRobotsプロトコル（クローラー制限規定）又はサービス条項に違反する場合には、競合他社の正常な事業活動を妨害・破壊する不正競争行為と認定される可能性があり、民事責任又は行政責任を負うおそれがある。

■ 防止措置：データ取得対象サイトを選定する前に、事前にクローラー制限条項の有無を確認するとともに、取得頻度を抑え、サイトのアクセスが集中する時間帯を避けてデータ収集を行うことで、対象サイトへの影響を最小限に抑える必要がある。

終わりに：

現時点において、OpenClawはまだ急速な発展段階にあり、関連する法的及びコンプライアンス上のリスクがやや目立ち、動態的に変化している状況にある。企業が当該ツールの導入を検討し、又は既に利用している場合には、現段階において内部管理制度に、その利用に関する制限事項及び禁止事項を明確に定めておくことを推奨する。使用が不可欠な業務については、予防原則の下で、小規模かつ管理可能な範囲において試験運用を行い、アクセス可能なデータ範囲を厳しく制限するとともに、データセキュリティに関する緊急対応体制を整備することにより、潜在的な法的リスク及びコンプライアンスリスクに対し体系的な識別、評価及び防止を図るべきである。また、最近、全国ネットワーク安全標準化技術委員会により、「OpenClaw類インテリジェントエージェントの導入及び利用に関するセキュリティガイドライン（意見募集稿）」が公表され、OpenClawのインストール、設定、使用、アンインストールなどについての提言がなされている。企業はOpenClawの導入に際して当該ガイドラインを参照し、関連するセキュリティ防止措置を講じておくとよい。

（作者：里兆法律事務所陳暁鳴、董紅軍）

特别声明：

以上所刊登的文章仅代表作者本人观点，不得视为里兆律师事务所或其律师出具的任何形式之法律意见或建议。

如需转载或引用该等文章的任何内容，请注明出处。并于转载时在文章开头处注明来源于公众号“里兆视野”及作者姓名。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。