因應ChatGPT人工智慧趨勢,為企業提出營業秘密管理建議

2022年11月美國OpenAI公司推出人工智慧大型語言模型ChatGPT,提供全球使用者透過輸入文本方式向ChatGPT提出問題,雖營業秘密不需絕對保密,惟是否會「因向ChatGPT揭露營業秘密而使營業秘密喪失了秘密性」?

依OpenAI公司「非API訪問數據政策」規定,ChatGPT透過OpenAI公司的AI訓練人員審核「使用者上傳至ChatGPT的資訊」,提供ChatGPT反饋,強化ChatGPT進行有效的學習,讓ChatGPT模仿人類語言回覆使用者所提出的問題。在AI訓練人員未將「使用者上傳至ChatGPT的資訊」交由ChatGPT訓練、學習前(上次訓練是在2021年9月),此聊天內容不會成為ChatGPT給其他使用者的回答,此時資訊對於公眾仍具秘密性。依據ChatGPT的使用條款第5(a)條之單方保密義務規定:「OpenAI公司、其子公司及其他第三方公司可能賦予使用者『機密資訊的接觸權限』,但使用者僅限於使用條款所允許的服務中使用該些機密資訊,不得向第三方揭露該機密資訊,且使用者至少應採取合理的注意保護該機密資訊。所謂機密資訊係指OpenAI公司、其子公司及其他第三方公司(1)指定的非公開資訊,或(2)合理情況下,被認定為機密資訊者,比如軟體、規格及其他非公開商業資訊。」。即ChatGPT對於使用者輸入的聊天內容不負保密義務。

公司將程式碼、會議紀錄等敏感資訊與ChatGPT共享,不必然屬於「因揭露營業秘密而使營業秘密喪失秘密性」,考量訓練數據量大,秘密性取決於周遭環境與揭露性質,例如:

1.揭露的資訊類型,比如飲料配方可能會比客戶名單更容易取得。

2.揭露的環境,比如競爭對手、大眾是否能提出具體問題,以致能取得他人聊天內容的營業秘密。

為在ChatGPT的趨勢下確保營業秘密的秘密性,建議企業採取的管理策略如下:

1.透過「資訊分類」以識別可共享的資訊。

2.審核涉及敏感資訊的協議、公司政策及供應商契約。

3.採取實體、數位的資訊保密措施,並留意尊重員工隱私,比如限制接觸某些網站或應用程式,應留意員工的手機是否能繞過此限制。

4.建立公司保密文化,如透過公司培訓、新人入職教育訓練,定期提醒其應負擔的保密義務。

本文同步刊登於TIPS網站(https://www.tips.org.tw)。

相關連結
你可能會想參加
※ 因應ChatGPT人工智慧趨勢,為企業提出營業秘密管理建議, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8980&no=86&tp=1 (最後瀏覽日:2025/08/21)
引註此篇文章
你可能還會想看
日本制定民間個人健康紀錄業者蒐集、處理、利用健康資料之基本指引草案

  日本厚生勞動省、經濟產業省和總務省共同於2021年2月19日公布「有關民間個人健康紀錄(Personal Health Record, PHR)業者蒐集、處理、利用健康資料之基本指引」(民間PHR事業者による健診等情報の取扱いに関する基本的指針)草案,檢討民間PHR業者提供PHR服務之應遵守事項,希望建立正確掌握和利用個人、家族健康診斷或病例等健康資料之電子紀錄制度。   本指引所稱之「健康資料」,係指可用於個人自身健康管理之敏感性個人資料,如預防接種、健康診斷、用藥資訊等;而適用本指引之業者為蒐集、處理、利用上開健康資料並提供PHR服務之業者。根據指引規定,PHR業者應針對資訊安全對策、個人資料處理、健康資料之保存管理和相互運用性及其他等4大面向採取適當措施。首先,在資訊安全對策部份,業者需取得風險管理系統之第三方認證(如資訊安全管理系統制度(ISMS));其次,針對個人資料,業者應制定隱私政策和服務利用規約,並遵守個資法規定;然後,為確保健康資料之保存管理和相互運用性,系統應具備雙向資料傳輸之功能;最後,本指引提供檢核表供業者自行檢查,業者亦應在網站上公佈自行檢查結果。

英國Royal Free國家健康服務基金信託與Google DeepMind間的資料分享協議違反英國資料保護法

  英國資訊委員辦公室(Information Commissioner’s Office, ICO)於2017年7月公告Royal Free國家健康服務基金信託(Royal Free London NHS Foundation Trust)與Google人工智慧研究室DeepMind之間的資料分享協議,違反資料保護法(Data Protection Act)。   該協議之目的在使DeepMind利用Royal Free所提供的醫療資料,開發一款名為Streams的應用程式,透過人工智慧系統分析得知病患惡化之情況,並以手機警示方式通知臨床醫生。由於涉及病患的可識別個人資料且人數多達160萬人,協議的合法性,尤其在資料分享是否經病患同意方面,受到質疑。   Royal Free與DeepMind主張因應用程式是直接對病患進行醫療照護,具有病患默示同意(implied consent)之正當基礎,且資料經加密後才傳給DeepMind。惟經ICO調查結果如下: 就資料將被使用作為應用程式測試一事,病患未獲充分告知亦無合理期待; 雖執行隱私影響評估,惟僅於資料傳給DeepMind後才進行,無法發揮事前評估作用; 應用程式尚在測試階段,無法說明揭露160萬病患紀錄的必要性與手段合理性。   目前Royal Free已承諾改進以確保其行為合法性。ICO之認定突顯創新不應以「減損法律對基本隱私權保障」作為代價。

英國「數位紅利」頻譜管理政策簡介

Google被遺忘權近期歐洲法院判決趨勢

  德國聯邦最高法院(Bundesgerichtshof, BGH)於今(2020)年7月「VI ZR 405/18」」案中拒絕當事人請求Google刪除有關其健康個資之主張,為2018年歐盟通過一般資料保護規則(General Data Protection Regulation, GDPR)後,德國聯邦最高法院第一件與被遺忘權相關之判決。本案當事人曾為德國一慈善團體之負責人,該團體於2011年陷入財務危機,而當時有報導指稱當事人作為團體負責人,竟稱病不回應媒體訪談。當事人認為上述報導資料有損其名譽,請求Google刪除與其健康個資相關之搜尋結果。德國聯邦最高法院於判決中強調,網路搜尋結果是否須被移除,應衡量相關之基本權利,個案分別認定。本案中大眾知的權利(right to information)優於當事人被遺忘權,故駁回原告之請求,判決Google勝訴。   被遺忘權首見於2014年歐盟判決(Google Spain v. AEPD and Mario Costeja Conzalez),賦予人民要求搜尋引擎移除對自身造成負面影響資訊之權利。GDPR進一步於第17條明文化此一權利之內涵,於個資依原本蒐集之目的已不具必要性、當事人撤回同意、當事人反對個資自動化處理、當事人個資遭不法侵害、依照法律規定應刪除個資及青少年與兒童個資等六種情形,當事人得請求資料控制者刪除個資。   法國近期亦有被遺忘權相關法院判決。法國最高行政法院(Conseil d’État)於今(2020)年3月撤銷法國國家資訊自由委員會(Commission nationale de l’informatique et des libertés, CNIL)於2016年3月對Google作出十萬歐元之裁罰,因其僅刪除存在於法國網域內之當事人個資,而未及於全球網域。法國最高行政法院於本判決重申2019年歐盟法院(European Court of Justice)於Google v. CNIL之立場,認定Google履行被遺忘權之網域範圍僅適用於歐盟地區,而不及於全球,撤銷CNIL於2016年對Google作出之裁罰。

TOP