AI不是工具问题,而是新的企业刑事风险入口

“

导语摘要：企业真正需要管理的，并不是AI会不会出错，而是AI进入业务之后，谁在使用、输入了什么数据、输出被用于何处、由谁核验，以及整个过程能否还原。

过去谈企业刑事风险，管理者首先想到的往往是行贿受贿、职务侵占、合同诈骗、非法经营、侵犯商业秘密等传统罪名。这类风险通常围绕具体人员和具体行为展开：谁作出了决定，谁经手了资金，谁签署了合同，责任链条相对容易识别。企业多年形成的授权审批、岗位分离、财务内控、合同审查，也基本是沿着这条路径设置防线。

AI进入企业以后，既有的罪名和责任规则并没有失效，变化的是风险发生的方式。一个员工输入提示词，模型生成初稿，部门负责人直接采用，法务没有介入，最终内容以公司名义对外发布。每个人似乎只完成了很小的一步，但这些步骤连接起来，可能构成一次完整的违法行为。

因此，AI首先不是一个单纯的采购或技术问题，而是一个新的业务风险入口。企业需要关心的，也不只是模型准不准、速度快不快，而是原有的管理链条能否覆盖AI参与的每一个关键环节。

一、五个并不遥远的业务场景

场景一：AI写出的宣传文案，谁来核验依据

市场部为新产品制作宣传材料，员工把产品资料交给AI，并要求“写得更有冲击力”。模型随即生成“临床验证”“行业第一”“百分之百有效”等表述。员工认为文案完整、语气专业，没有核对出处便发布在公众号和电商详情页。

这里首先出现的是广告法、反不正当竞争法意义上的虚假或者引人误解宣传风险。只有在广告主、广告经营者、广告发布者违反国家规定，利用广告作虚假宣传并达到“情节严重”等法定条件时，才会进一步进入《刑法》第二百二十二条虚假广告罪的评价范围。

换言之，一段不实文案并不当然构罪，但AI批量生成、跨渠道投放和持续传播，可能迅速放大违法范围，也会使违法所得、受众范围、危害后果等因素累积。

真正值得管理者警惕的是：事后没有人能说明“临床验证”的依据是什么，也找不到提示词、生成版本和审核记录。问题不是AI替谁承担责任，而是企业无法证明谁核验过、依据何在、错误为何没有被发现。

场景二：客户资料上传外部工具，泄露风险与保密措施同时受考验

销售负责人为了制作客户方案，将重点客户合同、报价历史和联系人信息上传到外部AI工具，请模型分析客户偏好并提出报价策略。方案可能很好用，但上传行为已经让企业同时面对三组问题：该工具与企业之间究竟属于委托处理、共同处理，还是向另一处理者提供个人信息；数据是否会出境；供应商是否保留输入内容、是否用于训练，以及企业能否要求删除。

依照《个人信息保护法》和《网络数据安全管理条例》，委托处理、向其他处理者提供或者向境外提供个人信息，分别对应合同约束、告知同意、影响评估、出境合规等不同要求，不能用一句“供应商是大厂”代替审查。

若违反国家有关规定，向他人出售或者提供公民个人信息并达到情节严重标准，才可能触及侵犯公民个人信息罪；不能把一次不合规上传直接等同于犯罪，但也不能因为没有牟利就断言不存在刑事风险。

如果被上传的内容同时属于企业主张保护的经营信息，这一行为还会影响商业秘密案件中的举证。商业秘密是否成立，要结合秘密性、商业价值以及权利人是否采取相应保密措施综合判断。向外部工具上传一次，并不必然使信息立即丧失商业秘密属性；但若企业没有工具准入、访问限制、保密约定和例外审批，对方完全可能据此质疑企业是否真正采取了与信息价值相适应的保密措施。

场景三：内部调查借助AI，不能牺牲证据原始性

内审部门调查疑似舞弊，将员工聊天记录、邮件、报销凭证交给AI总结线索。模型可以帮助归纳人物、时间和交易关系，却不能替代对原始证据的提取、固定与审查。

如果企业只保留AI生成的摘要，没有保存原始载体、提取过程、校验信息和人员操作记录，后续无论是解除劳动合同、提起民事诉讼还是移送犯罪线索，都可能面临真实性、完整性和关联性质疑。

更稳妥的做法，是把AI定位为辅助分析工具：原始材料依法收集并独立保存，调查范围遵循必要原则，输入前完成脱敏或者使用受控环境，最终结论仍由调查人员基于原始证据作出。

场景四：未披露经营数据进入模型，企业却无法还原流向

财务人员在制作董事会材料时，将未披露的收入、毛利、融资安排或裁员计划输入AI。这并不意味着数据必然已经泄露，更不能仅凭上传行为认定内幕交易等犯罪；但企业由此增加了一条需要核验的数据处理路径。

对于上市公司、拟上市公司以及正在融资或并购的企业，未公开重大信息还可能受证券监管、交易保密和信息披露制度约束。发生泄露争议时，企业如果既不了解供应商的数据存储和训练政策，也没有账号、访问和导出日志，就很难排查泄露源头，更难证明已经尽到相应的管理义务。

场景五：AI招聘把歧视性要求变成了批量筛选规则

人力资源部门使用AI筛选简历，提示词却要求“排除三十五岁以上”或者“优先未婚未育”。这类要求可能被模型稳定地执行，并隐藏在看似中性的评分和拒信之后。

年龄限制是否违法，需要结合岗位性质和具体招聘规则判断；但以性别、婚育状况等限制妇女就业，已有明确的法律禁止。涉及个人信息自动化决策的，还应当保证决策透明和结果公平、公正，并依法开展个人信息保护影响评估。

提示词、筛选规则和评估记录一旦进入劳动争议或行政调查，个别招聘人员的偏见可能被还原为企业持续采用的筛选机制。

五个场景分属市场、销售、内审、财务和人力资源部门。这恰恰说明，AI风险并不天然归属于技术部门。它跟随具体任务，进入每一个已经开始使用AI的岗位。

二、变化的不是罪名，而是行为的生成方式

传统合规习惯寻找一个完整的行为人：谁伪造合同，谁批准付款，谁披露秘密。AI参与业务以后，行为更容易被拆成若干片段。业务人员提供数据，模型生成内容，上级作出采用决定，系统完成批量发送，最后由公司承担对外后果。

法律并不会因为流程被拆散，就把责任交给模型。现行刑法没有“AI承担刑事责任”的制度空间，刑事归责仍然要回到自然人和单位，逐项审查主体资格、客观行为、主观罪过、因果关系和入罪标准。单位犯罪也必须以法律明文规定为前提；不能仅凭“使用过AI”或者“制度不完善”，就推定单位及管理层构成犯罪。

但在已经发生涉嫌犯罪的行为时，使用AI也不会切断责任链。司法机关仍会追问：谁决定把AI用于该场景，谁有权取得并输入相关数据，谁知道输出将被用于对外交易，谁负有审核职责却予以放行，相关人员对违法结果是否明知或者具有相应的放任心态。

对于依法可以由单位构成的犯罪，还会进一步考察行为是否体现单位意志、是否为了单位利益，以及哪些人员属于直接负责的主管人员和其他直接责任人员。

所以，企业管理层真正需要理解的是：AI没有创造一套脱离现行法律的新归责规则，它只是让原有行为变得更快、更分散、更难回溯。缺少制度、审核和记录，通常不能独立证明犯罪成立，却可能削弱企业说明事实、区分责任和证明审慎管理的能力。

三、采购AI之前，先回答四个管理问题

多数企业评估AI工具时，会问三个问题：准不准、快不快、贵不贵。这些都是必要的效率问题，但还不够。进入正式业务之前，至少还应回答以下四个问题。

第一，哪些场景可以使用

整理公开资料、润色内部周报，与生成广告、投标文件、检测结论、合同条款，不应采用同一套规则。企业不必在“全面放开”和“一律禁止”之间二选一，而应形成可用、限用、禁用和须审批的场景清单。

第二，哪些数据可以输入

客户个人信息、员工档案、核心配方、技术图纸、报价成本、未披露财务信息，都需要先判断处理依据、敏感程度、供应商角色、存储地点和删除机制。

真正刚性的不是“不能使用外部AI”这一句口号，而是数据分类之后的具体边界。

第三，谁对输出负责

AI生成内容进入正式用途前，必须由具备相应能力和权限的人复核。复核责任不能只写成“由业务部门审核”，而应落实到岗位：事实由谁核验，法律结论由谁审查，最终发布由谁批准。

第四，发生争议后如何还原过程

关键任务应当保留必要的输入来源、提示词或指令版本、生成结果、人工修改和审批记录。

留痕的目的不是保存所有对话，而是让企业在发生争议时能够说明文件如何形成、错误在哪一环节出现、相关人员采取过哪些措施。

四、把AI重新接回企业原有的管理链条

对于大多数企业，AI治理并不需要从复杂系统开始。先把已有的授权、权限、审核、留痕和纠错机制延伸到AI任务，往往更有效。

授权，是明确哪些岗位可以使用哪些工具处理哪些任务。

权限，是根据数据敏感度和输出用途设置不同准入条件。例如，涉及客户数据的任务只能在经评估的企业级环境中处理。

审核，是为不同场景确定复核层级。例如，对外宣传双人复核，合同和投标文件由法务参与，高风险决策不得由模型自动完成。

留痕，是为关键任务保留足以还原过程的记录，同时避免无边界、无期限地保存新的敏感数据。

纠错，则是在发现错误后及时停止使用、撤回或更正相关内容，并追查相同错误是否已经复制到其他渠道。

上述五个环节并不神秘，本质上仍是企业熟悉的内部控制。真正的难点在于AI横跨业务、技术、法务、人力资源和采购，容易落入无人牵头的空档。

因此，企业还需要明确一个统筹责任人或者跨部门小组，负责工具准入、场景分级、例外审批和定期复盘。

五、效率越高，责任管理越要同步

有企业担心，规则太多会抵消AI的效率优势。这种担心可以理解，但更应当看到：AI最突出的风险并非效率不足，而是生成、复制和分发的速度远快于人工审核。

人工写错一则宣传文案，影响范围可能有限；AI批量生成错误内容，一个下午就可能覆盖多个账号和销售渠道。过去需要半天制作的虚假材料，借助模型可以在很短时间内形成完整的文本、表格和图片。原有的小漏洞，由此更容易演变为跨部门、跨渠道的系统性问题。

反过来，场景边界清楚、数据规则明确、人工审核到位的企业，才更有条件把AI用于更深的业务环节。合规不是给效率踩刹车，而是确定哪一段可以加速、哪一段必须有人握住方向盘。

较成熟的AI管理也会在客户尽调、供应商评估、投融资和争议处置中形成信用优势。不过，这种优势是否已经成为特定项目的评分项，应以相应招标文件或尽调清单为准，不宜作笼统判断。

六、第一步不是写制度，而是摸清正在发生什么

如果企业准备启动AI治理，第一步不宜急着采购新系统，也不必连夜起草一部大而全的《AI使用管理办法》。

更现实的动作，是先查清企业内部谁在使用AI、使用什么工具、处理什么数据，以及输出最终去了哪里。

这张表中，“不清楚”往往比“否”更值得警惕。“否”意味着控制措施尚未建立，“不清楚”则说明管理层甚至没有掌握业务现状。

实践中，AI常常先通过员工个人账号进入工作流程。等企业正式讨论制度时，它可能已经被用于合同、客户、招聘甚至内部调查。

七、AI风险不能完全照搬传统IT管理

AI当然属于信息化工具，但它与传统办公系统仍有几个值得单独管理的差异。

其一，外部工具的数据处理链条更复杂

输入内容可能被存储、用于改进服务、转交受托方处理或者传输至境外，具体情况取决于产品版本、用户设置和合同条款。

不能笼统认定“输入后必然用于训练、永远无法删除”，也不能在没有审查的情况下默认企业仍能完全控制数据。供应商尽调和合同约束必须前置。

其二，生成式模型会产生事实性错误

传统系统通常按既定规则检索或计算，大模型则可能以非常确定的语气生成不存在的法条、数据和案例。企业不仅要校验计算结果，还要核对信息来源和事实基础。

其三，员工可以绕开统一采购自行注册工具

与集中部署的ERP不同，许多AI产品使用门槛很低。单纯依赖防火墙或者一纸禁令，容易把使用行为转移到个人设备和个人账号。

治理重点应当从“是否使用”进一步落到“何种任务、何种数据、何种环境下可以使用”。

八、六个常见误区

误区一：“大厂产品等于用户合规”

供应商是否完成备案、安全评估或自身合规，与企业输入什么数据、将输出用于什么场景，是两组不同的问题。采购审查不能替代使用管理。

误区二：“中小企业不会进入监管视野”

AI风险并不只由专项检查触发。客户投诉、员工离职、合作纠纷、数据泄露和竞争对手举报，都可能使日常操作进入调查程序。

误区三：“全面禁用即可解决问题”

缺少替代工具和合理规则的禁令，往往把使用转入个人账号，企业反而失去可见性。对于确有必要的低风险场景，建立受控使用渠道通常比形式上的全面禁止更可执行。

误区四：“等专门的AI法律出台后再管理”

广告、个人信息、网络数据、商业秘密、知识产权和劳动用工规则早已存在。AI只是改变了这些规则被触发的方式。

误区五：“AI治理完全是法务的事”

法务可以解释规则、设计制度，但场景在业务部门，工具在技术和采购部门，员工管理在人力资源部门。没有管理层推动的跨部门机制，制度很难真正进入任务流程。

误区六：“发布制度就等于完成合规”

制度必须转化为工具名录、场景清单、审批节点、复核动作和异常处置。否则只能证明企业写过文件，不能证明规则实际运行。

九、不同规模企业，可以从不同位置起步

三五十人的小微企业，不必照搬集团公司的治理架构。起步阶段可以先形成三项简明规则：一份禁传数据清单，一套对外文件复核规则，一张批准使用的工具名录。规则要让员工看得懂、记得住，负责人还应结合真实业务讲清楚原因。

百人规模、已经设有法务或合规岗位的成长型企业，可以在此基础上完成一次使用场景摸底，并把高风险任务的审批和留痕嵌入现有OA流程。

集团型企业则需要建立统一的工具采购和数据评估通道，同时根据子公司的行业、地域和业务差异分别授权，避免各单位自行采购、重复评估或绕开总部规则。

无论企业规模如何，合理起点都是先掌握事实。连谁在使用、输入什么、输出用于何处都不清楚，制度就难免写在空中。

十、一次AI使用初筛，可以分五步完成

第一步：向各部门收集场景

问卷重点不是追究谁曾经违规，而是了解工具、频率、输入数据和输出用途。为了获得真实信息，企业可以在摸底阶段适当弱化对具体使用者的追责色彩，但涉及正在发生的重大风险时仍应立即处置。

第二步：对重点部门进行访谈

市场、销售、研发、人力资源和财务通常是使用较早、较深的部门。访谈不能只问“是否使用”，还要追问曾经上传什么资料、生成内容去了哪里、谁作出最终决定。

第三步：形成场景清单

至少列明场景名称、使用岗位、工具名称、输入数据、输出用途、供应商处理方式和现有控制。场景清单应当可以持续更新，而不是一次性统计表。

第四步：按照数据敏感度和输出影响分级

涉及敏感个人信息、商业秘密、未公开重大经营信息，或者用于对外合同、投标、宣传和重要人事决定的，应列入高风险场景优先审查。

第五步：确定处置顺序

发现明显越界的场景，应先暂停或调整；能够通过脱敏、受控部署、人工复核解决的，尽快补上措施；低风险场景则以简明指引为主。

完成这五步，企业才有一张可供后续制度、培训和技术建设使用的AI风险地图。

十一、监管规则已经落地，但适用对象必须分清

我国AI治理已经形成由算法推荐、深度合成、生成式人工智能服务、生成合成内容标识以及网络数据安全等规则共同构成的制度框架。不过，企业在引用这些规定时，首先要辨明自己的法律身份。

《生成式人工智能服务管理暂行办法》主要适用于利用生成式人工智能技术向境内公众提供生成内容服务的情形。企业在内部研发、应用相关技术而未向境内公众提供服务，并不因此当然成为该办法所称的服务提供者。相应地，不能把算法备案、安全评估等提供者义务不加区分地转嫁给所有采购和使用AI的企业。

但“不属于服务提供者”不等于没有义务。企业仍可能是个人信息处理者、网络数据处理者、广告主、用人单位、内容发布者或者行业监管对象。

2025年1月1日起施行的《网络数据安全管理条例》明确，向其他网络数据处理者提供或者委托处理个人信息和重要数据，应当通过合同约定处理目的、方式、范围和安全保护义务，并对接收方履约情况进行监督，相关处理记录至少保存三年。

2025年9月1日起施行的《人工智能生成合成内容标识办法》，还对生成合成服务提供者、内容传播服务提供者以及发布生成合成内容的用户分别设置了标识或者声明要求。

刑事层面同样需要坚持罪刑法定。AI可以成为虚假广告、侵犯公民个人信息、侵犯商业秘密、诈骗等违法犯罪的手段，但是否构罪，仍须逐项符合具体罪名的构成要件和入罪标准。

所谓“AI刑事风险”，不是只要使用AI就产生刑事责任，而是企业原有的刑事风险可能借助AI被放大、隐藏或加速。

十二、不同岗位，各自先做一件事

企业负责人首先要定边界、定责任人。负责人可以不掌握模型原理，但必须决定哪些业务能够使用AI、哪些数据不得进入外部工具，以及由谁统筹工具准入和例外审批。

法务和合规负责人应当先做场景清单，不要从一部长篇制度开始。找到风险最高的几类任务，把复核、留痕和纠错动作嵌入现有流程，比单独发布一份原则性办法更有效。对已经提出的风险和整改建议，也应妥善保存履职记录。

一线员工则应守住两条最基本的纪律：没有权限向外部人员发送的资料，不要擅自输入外部AI工具；将要以公司名义对外使用的内容，不能因为文字流畅、格式完整就免于核验。

最终文件上不会署AI的名字，作出采用决定的人仍要对自己的行为负责。

十三、把AI风险纳入年度合规节奏

AI治理不宜停留在一次专项检查。企业可以结合自身节奏，将其分为四个阶段推进。

第一阶段：摸底和定调

形成初版场景清单，明确统筹责任人，发布禁传数据、对外复核和工具准入三项基础规则。

第二阶段：处理高风险场景

逐项明确数据边界、人工复核和审批要求，并对相关岗位开展以真实任务为基础的培训。

第三阶段：开展抽查和整改

检查员工是否绕开批准工具、关键输出是否经过复核、记录是否足以还原过程，对发现的问题及时纠正。

第四阶段：复盘和升级

根据工具版本、供应商条款、业务场景和监管规则变化，更新清单和制度，并把下一年度需要的技术和专业支持纳入预算。

具体投入无法用一个适用于所有企业的金额概括。行业敏感程度、员工数量、跨境场景、部署方式和既有系统都会显著影响成本。比估算一个看似精确的预算数字更重要的，是优先解决已经存在的高风险任务，并为后续投入保留证据和决策依据。

整个过程中还要坚持两点：一是允许规则迭代，第一版不必追求面面俱到，但必须能执行；二是保持必要的证据意识，会议决定、制度版本、培训记录、审批材料和整改报告应当形成连续记录。

这些材料既用于内部管理，也可能在争议发生后帮助企业说明已经采取的措施。

结语：先看清入口，再谈体系建设

AI进入企业，并没有把传统法律责任改写成一套全新的规则。真正发生变化的是，风险开始由人、数据、模型和流程共同生成，传播更快，参与环节更多，事后还原也更困难。

企业既不必把每一次AI使用都描述为刑事风险，也不应把它当作与普通办公软件完全相同的效率工具。更准确的做法，是区分行政违法、民事责任和刑事责任，区分服务提供者与普通使用者，区分一般数据与敏感数据、内部草稿与对外决定。在这个基础上，再把授权、权限、审核、留痕和纠错嵌回具体任务。

一次摸底、一张场景清单、三项基础规则和一个明确的责任人，已经足以让多数企业迈出第一步。先把正在发生的事情看清楚，后面的制度、培训和系统建设才有可靠的起点。

本文仅用于企业风险管理交流，不构成针对任何具体事项的正式法律意见。涉及具体案件、监管调查、刑事责任或者数据跨境安排的，应结合事实、合同条款和现行有效规则另行判断。