深圳首个AI工具商业秘密指引:12个真实泄密事例,个个藏在日常操作里

10月29日，深圳市市场监督管理局（知识产权局）发布《人工智能工具应用中的商业秘密保护指引》，全国首个专门针对AI工具应用的商业秘密保护指引。先把口径说清楚：这是一份指引，不是法规，也不是“新规”，不直接设定处罚。它的分量不在强制力，而在它第一次把AI时代的泄密风险拆成了企业能照着做的清单。

为什么要出这份指引，市监局的说法很直白。AI工具已经成了企业办公标配，写代码、做方案、分析数据，效率拉满。但随手“喂”给AI的一份图纸、一段代码、一份客户名单，可能成为商业秘密泄露的源头。国内外已经发生多起与AI工具使用相关的商业秘密泄露事件，深圳也有企业向市场监管部门反映过这类情况。企业事后普遍面临同一个困境：发现难、取证难、止损难。

指引围绕三个问题展开。风险藏在哪：按采购与准入、部署与配置、使用与权限管理、更新与退出全生命周期，逐环节拆解泄密风险点，帮企业快速排查管理盲区。平时怎么防：从制度建设、分级分类管理，到服务商资质审查、AI工具白名单、员工使用行为管理，再到技术防控措施，给出一套全方位、可操作的管理框架。泄密怎么办：内部应急处置建议，加上行政、民事、刑事三条维权路径，手把手教企业止损维权。

指引有四个做得实在的地方。第一，全链条对标：按全生命周期逐环节梳理风险，同时列明可能涉及的职能部门，采购、IT、研发、法务、普通员工各取所需，不用整本翻。第二，案例化警示：全文收录12个与AI工具使用相关的泄密事例，都是真实发生的案例，指向同一个结论，泄密往往藏在日常操作的细节里，风险点越具体，警示性越强。第三，可视化呈现：风险及防范措施章节开篇有内容总览表格，维权章节配套处置流程图，核心信息一目了然。第四，工具化落地：附录配套涉密信息上传负面清单、保密承诺模板、相关法律法规节选，企业可以参照模板快速落地执行，不用从零起草。

真正危险的不是有人来偷，而是每天正常工作里随手喂出去的东西。这句话是理解整份指引的钥匙。AI工具的泄密场景和传统泄密不一样：传统泄密多是“人带走东西”，AI场景是“东西在正常使用中流出去”。员工没有恶意，流程没有缺口，数据却在一次次对话里被上传、被留存、被用于训练。等企业发现时，传播链条早已不在自己手里。

这份指引对企业IPR还有一层更实际的价值。《反不正当竞争法》第九条对商业秘密的定义里有一句前置条件：权利人采取了相应保密措施。打官司时，保密措施做没做到位，是主张权利之前先要过的一关。指引里的白名单、负面清单、保密承诺模板、分级分类管理，等于把“相应保密措施”翻译成了可留痕、可举证的动作。企业照着做，不只是防泄密，也是在给将来可能的维权攒证据。在将来的纠纷里，对方很可能会拿这份指引来问：同行都在按清单做，你为什么没做。

市监局在发布时建议企业优先做好四件事，每件都是明天就能动手。第一，完善制度衔接：把AI工具纳入现有商业秘密管理体系，明确使用行为准则，划定涉密信息上传红线。第二，严把准入关口：建立AI工具准入审核机制，推行白名单管理，严禁私自使用未经审批的AI工具。第三，开展宣贯培训：常态化开展AI场景保密培训，把风险提示与操作规范覆盖到全体员工。第四，强化风险排查：定期开展AI泄密风险自查评估，跟随技术迭代动态更新防护措施，形成管理闭环。

对不同规模的企业，这四件事的轻重可以自己调。市监局的原话是结合业务规模与AI应用实际情况，按需匹配管控力度，在安全底线与创新效率之间找到最优平衡。小团队可以先从两件做起：白名单和上传红线。这两件成本最低，堵住的却是最常见的口子。大企业则要把分级分类和定期自查补齐，因为环节越多，盲区越多。

AI工具不会自己泄密，泄密的是没有规则的使用。先把上传红线和白名单立起来，再谈效率。