員工把報價單丟進AI工具，營業秘密就這樣沒了嗎

AI已經成為辦公桌上的日常工具，但企業多半只討論它好不好用，很少討論員工把什麼資料貼了進去。這個動作看似無害，卻可能同時牽動營業秘密、員工責任與客戶違約三個問題。

情境轉到一家做汽車零件的金屬加工廠，業務助理趕著回客戶的報價單，所以把去年的報價單貼進AI工具請它重算毛利，裡面有成本結構、折扣級距、付款條件等等。隔週開會，採購主管隨口提問：「這份報價單會不會有外流？」因為，公司從來沒規定過哪些資料不能貼進AI，也不知道員工中有多少人正在這樣做。

這不只是資安的事。而是同一個動作，牽動三個問題。

一、問題不只一個

報價單通常同時裝了成本結構、定價與折扣邏輯、客戶身分與交易條件，都屬於商業型的營業秘密。

所以一貼進去，要問三件事：員工要不要負責、這份資料還算不算營業秘密、對客戶算不算違約。多數老闆的直覺停在第一個，但真正會出事的是第二個和第三個。

二、法律怎麼判斷

先看三個要件。 營業秘密法第2條把營業秘密定義為「可用於生產、銷售或經營之資訊」，並要求同時符合：非一般涉及該類資訊之人所知、因其秘密性而具有實際或潛在之經濟價值、所有人已採取合理之保密措施。

回到這份報價單，你會發現毛利結構與折扣級距不是同業隨手查得到的，第一項沒問題；貼進AI本身不會立刻毀掉秘密性，那要看服務條款有沒有把輸入內容拿去訓練、有沒有人工審閱。

卡住的是第三項，是否有合理之保密措施。法律看的不是老闆有沒有口頭強調保密，而是有沒有與資訊重要性相當的管理動作：資訊有沒有分級、有沒有和員工簽保密約定、檔案權限有沒有分級控管、有沒有教育訓練並留下紀錄。

這一項平常看不出來，要到公司真的要對外主張權利時才會被檢驗。哪天這位業務助理帶著同一批報價資料跳槽到對手，公司提告，對造第一件事就是主張你們根本沒採取合理保密措施，而員工可以把整份報價單貼進AI，公司完全沒有規範，可能正好是最好用的證明。

追究員工並不簡單，助理本來就有權接觸報價單，適用的是未經授權或逾越授權範圍而重製、使用、洩漏（營業秘密法第10條、第13條之1第1項第2款），刑度五年以下、得併科100萬至1000萬元罰金。

而最容易先爆的是客戶合約內容，多數NDA與供應商合約都寫著不得揭露予第三人、僅得於履約目的內使用，有的還加上不得境外傳輸。AI服務商就是第三人，而且多半是境外的第三人，這一層不必證明營業秘密要件、不必證明損害，條款寫了違反就是違反。中小企業真正的風險，往往不是被對手抄走，而是被大客戶抓到。

貼資料進AI，法律上致命的通常不是「營業秘密被AI學走」，而是你將來證明不了已對所有人已採取合理之保密措施，舉證問題才是麻煩，別忘了著名的法律諺語「舉證之所在，敗訴之所在」，而舉證問題會跟著公司很多年。

三、法律護航觀點

為了避免問題發生，企業經營者可以快速做到這幾點：

1. 先分級，不要先禁止。全面禁用只會逼員工改用個人帳號，管理者反而看不到。先區分秘密保護層度：不得輸入（底價與成本、折扣級距、客戶名單與交易條件、圖面與製程參數、負保密義務的客戶文件等等）；去識別化後可用；自由使用（公開型錄、法規查詢、信件潤稿）。

2. 統一帳號，並看三個條款。企業版多半預設不作訓練利用，消費版就未必。由IT統一開設企業帳號並關閉訓練選項，禁止以個人帳號處理公司資料。點選服務條款前至少確認：輸入資料是否用於模型訓練、保存期限與刪除機制、境外傳輸與再委託對象。

3. 補進既有文件，並留紀錄。不必另立制度，補在保密切結書、員工手冊與委外合約裡即可。公告、簽署、教育訓練簽到單、權限清單都要留存，這些就是日後法院認定合理保密措施時，唯一拿得出來的材料。

4. 反向盤點客戶的合約。有「不得提供第三方處理」條款的，該客戶所有文件直接列進紅區，不必再個案判斷。

員工把報價單丟進AI，沒人告訴他不可以，但是法律不會因為公司沒規定而完事，反而會因為公司沒規定，認定這件事本來就沒那麼機密，畢竟你自己都不重視了，法律何必給予保護？

四、現在可以先做一件事

打開公司最常用的AI工具，進帳號設定確認「輸入內容是否用於改進模型」的開關是開還是關。接著寄一封信給全公司，寫清楚三種絕對不准貼的資料是底價與成本結構、客戶名單與交易條件、還是客戶交付的圖面與規格？最後請各單位主管回覆確認已轉達，也許這封信就是日後主張合理保密措施時，一份強而有力的證據。