生成式 AI 使用政策

1. 引言

本政策规定ComponentSource集团在使用生成式人工智能（“AI”）模型、工具和系统（统称“GenAI”）方面的义务，以及公司、员工、代理人、承包商和其他代表公司工作的人员在使用GenAI时必须遵守的规则、法规、程序和原则。

2. 适用范围

1. “人工智能”和“AI”目前尚未在通常适用于GenAI使用的法律领域中得到定义。欧盟《人工智能法案》按风险区分应用。
   1. AI曾被定义为”能够对设备或软件进行编程或训练，使其能够：
      1. 利用数据感知环境；
      2. 通过旨在模拟认知能力的自动化处理解释数据；
      3. 为实现特定目标提出建议、预测或作出决策的技术。”
   2. 除欧盟《人工智能法案》条款的解释外，GenAI目前没有单独的法律定义。不过，人工智能可广义定义为模仿人类智能、执行数据分析、决策和内容生成等任务的软件。GenAI是一种AI，能够响应用户输入的提示创建文本、图像、音频、视频或程序代码。这依靠大量训练数据与理解自然语言、旨在通过经验和数据接触不断改进的无监督和半监督算法相结合来实现。（例如ChatGPT、Grok和Copilot。）
2. GenAI监管将与知识产权法和数据保护法等其他法律领域相互作用。其他相关问题包括准确性、偏见、错误信息、虚假信息和歧视风险。
3. 尽管ComponentSource主要分销用于软件开发的软件工具和组件，但这些工具和组件将越来越多地包含和／或支持AI功能。ComponentSource致力于在商业活动需要遵守相关法律的范围内，遵循所有相关法律的条文与精神。员工、代理人、承包商和其他代表公司工作的人员必须始终谨慎、尽到合理注意义务，并按照本政策在公司业务中使用AI。
4. 公司认为，创新使用GenAI有可能为公司及其客户带来巨大价值。本政策旨在充分发挥GenAI潜力，同时尽量减少故意或无意滥用、违法或不道德的结果、潜在偏见、不准确、知识产权侵权以及对个人数据的不当使用（无论是否违法）。
5. 数据保护经理（“DPM”）和首席信息官（“CIO”）负责管理本政策，并制定和实施适用的相关政策、程序和／或指南。
6. 所有经理均有责任确保员工、代理人、承包商及其他代表公司工作的人员（“用户”）遵守本政策，并在适用情况下实施合理必要的实践、流程、控制措施和培训，以确保合规。
7. 有关本政策或适用法律、法规、原则及最佳实践的问题，应提交DPM和／或CIO。

3. GenAI应用原则

1. 使用GenAI时，应始终牢记以下一般原则：
   1. 责任：GenAI工具用户对其使用方式以及工具生成的结果承担最终责任。
   2. 合法性：使用GenAI必须始终遵守适用法律，包括但不限于欧盟《人工智能法案》、数据保护法（见下文第5节“数据保护”）和知识产权法（见下文第8节“知识产权”）。
   3. 保密与隐私：使用GenAI时必须始终保护数据的机密性与隐私，详见下文第5节“数据保护”和第6节“保密”。
   4. 公正性：使用GenAI生成可能存在偏见的结果时，必须采取适当措施识别并减轻偏见，详见下文第9节“识别和减轻结果中的偏见并验证结果准确性”。
   5. 清晰与透明：GenAI的应用及其结果应让用户、客户和其他接收方清晰理解，详见下文第10节“透明度”。
   6. 合乎道德的使用：在ComponentSource使用GenAI必须负责任并体现公司价值观。应避免可能存在偏见、歧视或冒犯性的内容。内容不得误导他人。
   7. 指南：
      1. GenAI工具可能有用，但不能取代人的判断和创造力。许多工具容易产生错误答案或过时信息，始终需要由人仔细核实。
      2. 提供给GenAI工具的所有信息都应视为可能在互联网上广泛传播，并被归因于公司。
      3. 如GenAI工具并非由IT部门提供，使用前应取得DPM或ICO的书面许可。始终警惕旨在窃取信息或诱使用户泄露信息的恶意聊天机器人。
      4. GenAI工具的所有答复均须核实其准确性、适当性、无偏见以及不侵犯知识产权或隐私权。答复必须符合公司全部政策和适用法律。如有疑问，使用前请咨询DPM或ICO。
      5. 不得向GenAI工具上传任何个人、机密或公司专有信息，包括但不限于密码、人员数据或机密文件。
      6. 未经DPM或CIO明确书面许可，不得尝试将任何GenAI工具或GenAI生成的内容集成到公司内部软件或系统中。

4. GenAI工具的评估与批准及已获批准的工具

获准在公司内部使用的GenAI工具受本政策规定的限制。在使用时遵守本政策的前提下，授权用户无需进一步评估或批准，即可使用其中列出的GenAI工具。

1. 不得在公司拥有或发放的设备上，或结合ComponentSource提供的软件，为公司相关活动开展尚未经过评估和批准的用途。
2. 使用GenAI时，用户应确保已阅读、理解并遵守其使用条款、隐私政策以及其他相关条款或文件。
3. 使用GenAI时，用户应考虑其训练数据以及这些数据被用于生成什么。应特别注意训练数据的知识产权归属、其中可能包含的机密或专有信息以及个人数据。还应考虑训练数据固有的偏见或不准确之处，包括数据是否及时更新。有关这些问题的更多指导，请参见：
   1. 第5节（数据保护）
   2. 第6节（保密）
   3. 第8节（知识产权）
   4. 第9节（识别和减轻结果中的偏见并验证结果准确性）
4. 此外，用户应知悉并遵守适用于其GenAI使用目的的其他法律、法规、最佳实践或类似要求。

5. 数据保护

1. 数据保护法律包括一系列关于数据保护和隐私的法规，其中包括但不限于欧盟GDPR、英国GDPR、英国《2018年数据保护法》《2003年隐私及电子通信条例》、加利福尼亚州消费者隐私法（CCPA）和欧盟《人工智能法案》。
2. “AI”和“人工智能”目前尚未在数据保护法中定义；不过，在AI中使用个人数据时，该法律即适用。它可能适用于开发、部署和使用等任何阶段。在某些情况下，GenAI的训练数据可能包含个人数据，和／或GenAI工具随后可能用于处理个人数据。
3. 使用个人数据的各方可能是“控制者”、“处理者”或“共同控制者”。将个人数据与GenAI结合使用时，务必确定自己属于哪种身份，因为不同身份可能承担不同法律义务。
4. 欧盟和英国GDPR规定了处理个人数据的各方必须遵守的核心原则。所有个人数据必须：
   1. 以合法、公平、透明的方式就个人（“数据主体”）进行处理；
   2. 为具体、明确、合法的目的收集，不得以与这些目的不相容的方式进一步处理。为了公共利益存档、科学或历史研究、统计目的进行的进一步处理，不视为与初始目的不相容；
   3. 与处理目的相关、适当，并限制在必要范围内；
   4. 准确，并在必要时保持更新。必须采取一切合理措施，确保与处理目的有关的不准确个人数据及时被删除或更正；
   5. 以可识别数据主体的形式保存的时间不超过处理目的所需时间。如果仅为公共利益存档、科学或历史研究、统计目的进行处理，并采取保护数据主体权利与自由所需的适当技术及组织措施，个人数据可以保存更长时间；以及
   6. 以确保适当安全性的方式处理，包括通过适当技术或组织措施防止未经授权或违法处理，以及意外丢失、毁坏或损坏。
5. 在使用以个人数据训练的GenAI工具和／或使用GenAI工具处理个人数据之前，用户必须确保已阅读、理解并遵守ComponentSource的数据保护政策以及该工具的使用条款和隐私政策。
6. ComponentSource的数据保护政策适用于公司内部、为公司或代表公司进行的所有个人数据使用。它规定了公司在收集、处理、传输、存储和处置个人数据方面的义务。将个人数据与GenAI结合使用时，公司、员工、代理人、承包商及其他代表公司工作的人员必须始终遵守数据保护政策中的程序和原则。
7. 每当使用GenAI处理个人数据时，都应提出以下问题。完整详情请参阅ComponentSource的数据保护政策：
   1. 处理个人数据所依据的合法基础是什么？
   2. 您／我们是作为控制者、共同控制者还是处理者行事？（使用个人数据训练AI的开发人员很可能是控制者。）使用其他方开发的GenAI时，您／我们可能属于其中任一身份。如有必要，请咨询DPM或CIO。
   3. 是否已开展数据保护影响评估？
   4. 如何让各数据主体知情并确保透明度？
   5. 如何减轻安全风险？
   6. 如何确保处理仅限于必要且相关的范围？
   7. 如何响应个人行使法定权利的请求（例如数据主体访问请求）？
   8. 是否会使用GenAI作出完全自动化、具有法律或类似重大影响的决定？
8. 输入任何个人数据前，用户应充分了解GenAI工具如何使用输入数据。如果GenAI将输入加入其训练数据和／或与第三方共享，未经个人数据来源者明确书面同意，不得将个人数据用于该工具（但应考虑收集目的可能允许此类处理及共享，以及已向数据主体提供的信息）。
9. 如果个人数据还包含机密信息和／或受知识产权保护的专有信息，本政策第6节和第8节也可能适用。
10. 有关个人数据或数据保护法的任何问题，包括与训练数据、GenAI工具输入或GenAI结果有关的问题，应提交DPM。

6. 保密

1. 公司将“机密信息”定义为ComponentSource或公司指定为机密的任何信息，以及以下其他信息：
   1. 涉及以下事项的任何及所有机密或专有信息：
      1. 公司的业务、客户、出版商或供应商；
      2. 公司的运营、流程、产品信息、商业秘密、专有技术或技术信息；以及
   2. 从此类机密信息衍生出的其他信息、数据、分析或发现。
2. 上述定义同样适用于从第三方收到并指定为机密的同类信息（例如受保密协议约束的信息；该协议也可能对其使用施加其他限制）。
3. 无论机密信息是否在商业或其他方面具有敏感性，也无论其存在或传达形式是有形还是无形，上述定义均适用。
4. 将任何机密信息与GenAI工具结合使用时，用户必须遵守适用于该信息的特定政策或合同条款（例如保密协议）。如政策或合同禁止这样使用，不得将该信息用于GenAI。
5. 输入机密信息前，用户应充分了解GenAI工具如何使用输入数据。如果工具将输入加入训练数据和／或与第三方共享，未经提供机密信息的一方同意，不得将其用于该工具。
6. 如果机密信息还包含个人数据和／或受知识产权保护的专有信息，本政策第5节和第8节也可能适用。
7. 有关机密信息的任何问题，无论涉及训练数据、GenAI工具输入还是GenAI结果，均应提交DPM和／或CIO。

7. 安全

1. 以下ComponentSource政策适用于在公司相关活动中、在公司拥有或发放的设备上、或结合公司提供的软件使用GenAI的用户。使用GenAI工具时必须始终遵循其中的程序和原则：
   1. 网络安全政策；
   2. 数据保护政策。
2. 如上文第4节所述，GenAI工具（包括其新版本）必须在使用前经过评估和批准。
3. 如上文第5节所述，只有遵守第5节的原则和要求、公司的数据保护政策及适用数据保护法，才能将个人数据与GenAI结合使用。
4. 如上文第6节所述，只有遵守第6节的原则和要求，并且在适用政策和合同允许的范围内，才能将机密信息与GenAI结合使用。
5. 未经DPM事先书面批准，授权用户不得向无权在公司相关活动中、在公司拥有或发放的设备上、或结合公司提供的软件使用GenAI的用户提供这些工具的访问权限。这适用于员工、代理人、承包商及其他代表公司工作的人员。
6. 有关安全的问题应提交DPM和／或IT部门。

8. 知识产权

1. 在本政策中，“知识产权”包括专利、发明权、版权及相关权利、精神权利、商标、服务商标、商号、域名、产品外观和商业装潢权、商誉及提起仿冒诉讼的权利、设计权、数据库权、软件权利、使用及保护机密信息的权利，以及一切其他已注册或未注册的知识产权。这还包括申请、申请及获得续展或延期的权利、主张优先权的权利，以及目前或未来世界任何地方存在的所有等同权利和其他保护形式。
2. GenAI工具可以创建各种受知识产权保护的作品。同样，其训练数据可能包含许多不同类型的受知识产权、尤其是版权保护的作品。
3. 使用现有训练数据训练的GenAI会基于内部算法处理这些数据来生成结果。如果训练数据受知识产权保护（例如文字、图像、照片和录音作品受到版权保护），结果可能在不同程度上包含这些数据或其元素。因此，务必了解所用训练数据、其内容的知识产权归属，以及相关使用许可是否存在及其条款。
4. GenAI通常不会在结果中列出训练数据材料的来源。用户使用工具时必须始终牢记这一点；除非许可文件有记录且可查，否则不得假定训练数据已获得适当许可。新GenAI工具在评估批准阶段会审查训练数据，但用户仍须尽到审慎义务。
5. 在适用情况下，用户必须审查GenAI结果是否符合所有适用许可。如果不清楚训练数据是否得到适当许可，或结果是否不侵犯第三方知识产权，应视情况修改结果以消除侵权或将其删除。
6. 如果仍存在这种不确定性，而结果已被进一步使用（例如分发给他人或整合到其他作品中），必须采取适当措施修改结果以消除侵权，或移除、删除或召回结果，并通知收到结果的各方。
7. GenAI结果的知识产权归属可能因工具而异。用户必须阅读、理解并遵守特定工具的使用条款及其他文件。在特定工具用户拥有作品权利的情况下，公司拥有员工生成的所有作品，并将在与各承包商的合同中视情况要求转让或许可相应权利。
8. 如果特定GenAI的使用条款要求对结果添加任何标记、致谢或引用，用户必须遵守。
9. 在输入受知识产权保护的信息或内容之前，用户应充分了解GenAI如何使用输入数据。如果它将输入加入训练数据和／或与第三方共享，除非明确获得此类使用许可，否则不得输入此类信息或内容。
10. 有关训练数据、GenAI工具输入或其结果的知识产权归属问题，应提交DPM。

9. 识别和减轻结果中的偏见并验证结果准确性

1. 使用现有训练数据训练的GenAI基于内部算法处理这些数据来生成结果。因此，训练数据中的偏见或不准确之处也可能出现在结果中。例如，训练数据可能只准确到某一时间点。
2. GenAI通常不会在结果中列出训练数据材料的来源。用户应始终意识到这一点，绝不能假定结果正确、没有偏见或不存在歧视。
3. 在适用情况下，进一步使用GenAI结果之前，用户必须像执行不使用GenAI的类似任务一样，借助可靠且最新的其他来源进行审查和事实核查。如有偏见或其他不准确之处，必须适当修改并纠正。

10. 透明度

所有使用GenAI工具创建的内容都必须标明这一事实。

11. 培训

1. 所有GenAI用户都将接受关于本政策的应用以及安全、负责、合法使用GenAI的培训。
2. 在完成相关培训前，用户不得在公司相关活动中、在公司拥有或发放的设备上、或结合公司提供的软件使用GenAI工具。

12. 报告滥用或疑虑并提交问题

1. 任何疑似或实际、故意或意外的GenAI滥用，其他有关使用的疑虑，以及涉及本政策涵盖或未涵盖主题的问题，都应提交DPM和／或CIO。
2. ComponentSource员工违反本政策将被视为非常严重的纪律问题，可能导致解雇甚至法律行动。

13. 政策实施

本政策自2025年11月1日起生效。
计划于2026年10月31日审查本政策。

CSGAI 11/2025