夜雨聆风很多企业还没有意识到一个正在快速积累的法律风险：当员工使用个人注册的AI工具处理客户资料时，数据的流向已经脱离了公司的控制范围——而法律后果，可能由公司来承担。
这不是一个技术问题，而是一个管理问题和法律问题。
一、数据去了哪里？
员工使用个人AI工具处理业务数据，通常意味着用自己的账号登录，输入了公司的客户信息、合同条款、报价单、项目方案，甚至客户的身份证号和财务数据。
这些AI服务商的隐私政策各不相同，但多数情况下，用户上传的内容可能被用于模型训练、会被存储在服务商的服务器上、会在不同设备之间同步。公司对这一过程没有合同约束、没有审计能力、没有退出机制。
数据一旦离开公司可控的环境，风险就不再是"可能泄露"，而是"已经处于不可控状态"。
二、第一层风险：数据合规责任
《个人信息保护法》明确规定，处理个人信息应当取得个人同意，并且不得超出实现处理目的所必需的范围。客户把资料交给公司，授权范围是"公司用于特定业务目的"。员工把客户资料输入个人AI工具，这个行为已经超出了客户授权的范围。
如果客户资料中包含个人信息，公司作为个人信息处理者，可能需要承担：情节严重的，罚款可达上年度营业额5%；因信息泄露导致的民事赔偿责任；情节严重的，相关责任人可能面临刑事追责。
需要特别注意的是：公司通常需要承担主要法律责任，员工可能面临内部追责。
三、第二层风险：商业秘密失控
如果员工上传的内容涉及公司的商业方案、报价策略、技术参数等，这些可能构成公司的商业秘密——前提是公司采取了合理的保密措施。
问题在于：当公司允许或默许员工使用不受管控的个人AI工具时，可能影响“合理保密措施”的认定。一旦商业秘密因AI工具使用而泄露，公司在主张权利时会陷入被动——对方可以抗辩公司自身未采取合理保护措施，法院也可能据此认定保密措施不到位。
更棘手的是，AI工具的数据存储和流转机制对公司而言是黑箱。资料是否被模型学习、是否存在被其他用户获取的可能——这些公司无法查证，也无法向客户交代。
四、第三层风险：合同违约与商誉损失
很多公司与客户之间的合同或保密协议中，明确约定了数据使用范围、存储方式和保密义务。员工将客户资料输入个人AI工具，公司可能已经实质性违反了这些约定。客户一旦知悉，有权主张违约赔偿，甚至解除合同。
比违约更深远的影响是商誉损失。在B2B领域，客户选择合作方的重要考量之一就是数据安全能力。一旦市场知道"这家公司管不住自己的数据"，受损的不是一单生意，而是整个客户群体的信任。
五、管理者的决策边界在哪里？
核心问题不是"能不能用AI"，而是怎么用、谁的数据能用、边界在哪里。管理者需要回答三个问题：
公司有没有AI使用规范？ 如果没有，员工行为处于制度真空，出了问题公司很难证明已尽管理义务。
客户资料的使用范围有没有明确界定？ 哪些数据可以输入AI、哪些绝对不行、输入前需要做什么审批——需要有清晰的制度设计。
有没有替代方案？ 如果业务确实需要AI辅助，公司是否评估过部署企业级AI工具（数据不出域、可审计、有合同保障）的可能性？
这三个问题的答案，决定了公司在法律上的注意义务履行程度。制度越完善，风险越可控；制度越空白，出事时公司越被动。
六、结语
员工用个人AI处理客户资料，表面上是效率提升或工具选择，实质上是一次未经授权的数据外流。公司承担的，不是一次性的泄露风险，而是一组叠加的法律责任——数据合规、商业秘密、合同义务、行政处罚，任何一项爆发，都可能造成实质性损失。
这里是北京市京师（石家庄）律师事务所，你身边靠谱的法律帮手
地址：石家庄市桥西区槐安东路15号（京师律师楼一楼）
公益法律咨询热线：0311-80767913
