你也用ChatGPT寫文案、生成簡報嗎？你有把客戶資料輸進AI工具嗎？AI工具使用越來越普及，從寫文案、分析數據到生成圖片幾乎無所不能，在鼓勵直銷夥伴使用AI來提升作業效率的同時，我們也整理出AI時代常見的法律地雷，邀請中銀律師事務所合夥律師吳婕華一一解析，提醒你哪些操作看起來沒事，其實有風險。
口述／吳婕華律師‧整理／編輯部
法律規範追得上AI的腳步？
現在AI技術已經廣泛應用在很多不同的場景中。舉例來說，像是我們日常接觸到的智慧助理，能夠幫忙執行一些指令、搜尋資訊；又或者是自動駕駛技術，會偵測道路周遭的環境，進行判斷和行駛。社群平台方面也很依賴演算法來推薦使用者偏好的內容，目的就是提高用戶黏著度，同時也讓廣告投放更有效率。
另外，這幾年大型語言模型快速普及，也讓AI變得更貼近一般使用者的生活。像是寫文案、處理信件、生成插圖、整理會議紀錄、甚至語言翻譯，很多人都已經習慣透過這樣的工具來提升工作效率，某種程度上也算是把個人的生產力解放出來。
當然，AI技術越來越進步，對法律制度的挑戰也就隨之而來。我把這些挑戰大致分成兩個部分來看：
第一是制度層面的問題。我們現在有沒有一個足夠完善的法規環境，來引導或支持AI技術的發展？像去年提出的《人工智慧基本法》草案，就是一個例子。這部草案提出了幾項原則，如要符合永續發展、保護個資與資料治理、強調透明與可解釋性、還有資訊安全等等，同時也討論到AI與未來勞動市場的關係，以及政府應該扮演的角色。
第二個挑戰是法律責任的歸屬問題。隨著AI參與程度越來越高，很多情境下都會出現責任到底該怎麼分的問題。舉個例子，如果今天有人用AI工具畫了一張很像某藝術家風格的圖，這會不會構成侵權？如果會，那到底是使用者該負責，還是AI系統的開發者或提供者該負責？再說到自動駕駛，如果AI做出了決策導致車禍，那責任是落在車主還是系統開發商？這樣的情況在醫療領域也會出現，尤其是AI輔助診斷、甚至進行手術的情況下，怎麼分配責任，是目前法律制度需要積極面對的問題。
整體來說，AI帶來的改變很大，而我們在享受便利的同時，也確實需要同步思考法律制度要怎麼與技術發展並行。但如果要問現行法律是否已經足以規範AI的相關風險，我會說：目前確實有一些基礎可以依循，但還是存在不少灰色地帶。
以國際來看，歐盟在2024年率先通過《人工智慧法》（Artificial Intelligence Act），這也是目前世界上第一部針對AI制定的綜合性法案，主要目的是透過對既有AI系統產生風險進行分級管理，並希望AI的開發與應用能符合法治、倫理與社會責任的要求。
至於我國，目前《人工智慧基本法》還在草案階段，不過在一些具體議題上，其實已有相關法規可以處理。舉例來說，AI技術服務提供者在使用資料的過程中，如果涉及個人資料，會受到《個人資料保護法》的規範；若是涉及作品使用的爭議，也可以透過《著作權法》的詮釋來協助解決。
至於AI模型訓練階段常見的資料來源問題，這牽涉到不少法律議題，例如：
- 如果AI是用受著作權保護的內容來訓練，這是否符合「合理使用」的要件？AI如果改作的話，是否能通過事前的條款與條件設定約定權利歸屬？
- 若資料中含有個人資訊，是否符合個資法中對蒐集、處理、利用的要求？
- 若涉及商業機密的資料被對手用來訓練AI，這部分又可能涉及營業秘密法。
行政院在2023年也有針對生成式AI的應用提出指引，提醒各機關在使用生成式AI時要注意資安、個資、著作權，以及潛在的智慧財產與人格權侵權風險。這其實也反映出政府目前是傾向從「風險導向」出發，試圖透過指引和既有法規做出基本的界定。
不過，話說回來，AI的技術發展得太快，很多新的使用場景還沒來得及被法律納入規範。例如前面所說的，AI做出錯誤判斷時，責任該怎麼歸屬？另外，若訓練資料本身就有偏差，導致AI輸出歧視性結果，這又該怎麼處理？AI技術的引進是否拉大業者間的競爭力差距，導致市場產生獨佔或壟斷的問題？政府對此應如何監理？這些可能就是目前法律還沒完全處理好的「灰色地帶」。
你的資料，AI有沒有權處理？
根據我國《個人資料保護法》第2條第1款的定義，個人資料是指能夠直接或間接識別出自然人的資訊，例如姓名、出生年月日、身分證號碼、護照號碼、特徵等，這些資料一旦被處理、傳輸或儲存，就會牽涉到保護與風險的問題。
以生成式AI為例，這類系統是透過大量資料的學習來生成新的內容或想法。舉例來說，像使用ChatGPT這樣的服務，平台在使用過程中會蒐集使用者的一些資料，例如帳戶資訊（姓名、email、聯絡方式）、使用記錄、裝置與瀏覽器cookie、甚至地理位置資訊等。這些看似日常的資料，其實都隱含著潛在個資風險。
風險主要來自幾個面向。第一是資料殘留問題：如果使用者在與AI互動過程中輸入了個資，而AI系統在訓練或優化模型時將這些資料「學起來」，就可能造成不當儲存或未經授權使用的情況。第二則是資安防護不周的風險：AI系統本身如果沒有完善的資訊安全設計，可能會成為駭客攻擊的目標，導致個資外洩。
此外，AI應用在生物辨識技術上，也是一個不得不關注的領域。像是臉部辨識技術，如果被廣泛部署在公共場所，雖然可以提升辨識效率，但也可能會對人民的隱私權造成侵害。特別是在沒有明確同意或不知情的狀況下進行蒐集，這種風險其實更高。
總的來說，AI在處理資料時的個資風險，並不是單一技術層面的問題，而是涉及資料取得、處理方式、保存安全與最終用途等一連串的法制與倫理議題，都需要審慎面對與規範。
把客戶或企業資料輸入AI，會不會違法？
首先我們要先理解生成式AI的運作原理。像ChatGPT這樣的AI系統，是透過讀取大量資料進行訓練，然後依此生成新的內容。當使用者把資料輸入系統，例如透過聊天介面提問，這些互動內容是有可能被AI系統「記住」的，
尤其是像ChatGPT這類具備「參考歷史紀錄」（Reference Chat History）功能的AI服務，雖然此功能的設計初衷是為了提供更個人化的對話生成結果，而從該使用者過去的對話內容汲取作為對話生成的材料，但若提供該功能的AI業者未能妥善處理資訊安全，便可能導致使用者輸入的資料被用於模型訓練，甚至進一步被應用於其他第三方的對話生成之中，造成資料不當使用與洩露。
從法律的角度來看，這樣的操作確實存在風險。根據《個人資料保護法》第8條與第19條，非公務機關在蒐集或處理個人資料時，必須有特定目的，並取得當事人的同意。如果使用者沒有取得客戶的授權，卻將個資輸入AI工具，這就可能構成未經同意而違法使用個人資料。
此外，如果輸入的資料包含公司內部的營運資訊、研發計畫、客戶清單等敏感資訊，也可能構成營業秘密的揭露。根據《營業秘密法》第12條，只要是因故意或過失，導致營業秘密外洩，都可能需要負擔損害賠償責任。尤其在開放式的AI平台上，這些資料未必能確保不會被有心人透過其他方式重新「釣出來」。
即便使用者取得當事人的同意，把個資輸入AI工具也不見得完全沒問題。根據《個資法》第4條的規定，這樣的情況下，AI服務提供者就有可能成為「受託處理個資的業者」，而資料提供方（也就是使用者所屬單位）就必須負起監督的義務。問題是，這樣的監督義務，在實務上能否有效落實？很多時候得看雙方之間的服務合約內容是否有明確約定責任歸屬與資料使用邊界。
對直銷企業或直銷商而言，AI是一個非常有潛力的輔助工具，不過，當企業使用AI技術進行市場分析時，往往會以客戶提供的使用回饋、消費紀錄等資料作為分析依據，這就可能涉及個人資料的蒐集與處理。
根據我國《多層次傳銷業訂定個人資料檔案安全維護計畫及業務終止後個人資料處理方法作業辦法》的規定，直銷企業有義務訂定個資安全維護計畫，包括對個資使用範圍的界定、資訊安全管理、以及終止業務後個資的處理方式等，都應該有清楚規範。
因此，我建議直銷業者在導入AI工具時，務必要先建立一套內部的個資處理流程與風險評估機制，特別是針對「資料來源是否合法」、「資料是否已取得同意」、「資料在進行分析前是否已去識別化」這三個關鍵問題進行確認。
例如，如果企業希望分析客戶對某項保健產品的使用狀況，那麼在將這些資料交由AI處理之前，就應先將客戶的姓名、聯絡方式等識別資訊去除，僅保留統計所需的資料欄位，才能在不侵害個資權益的前提下進行數據分析。
總的來說，AI是直銷產業升級轉型的一大利器，但在應用過程中，對個資和營業秘密的尊重與保護不能被忽略。只有建立合法合規的AI使用制度，才能讓這項技術真正成為推動業務成長的助力，而不是潛在的風險來源，這不只是法令遵循問題，更涉及企業的信譽與資訊安全。
AI講的話，你用得安心嗎？
這個問題也時常被提及，尤其是在生成式AI普及之後。簡單來說，如果AI模型本身是使用未經授權的資料進行訓練，那麼第一層的法律風險，會落在模型開發者身上。這通常涉及是否符合著作權法上所謂的「合理使用」，但這部分的判斷本身就非常複雜，也還沒有完全定型的標準。
但對一般使用者來說，風險不會因此就完全排除。假設用戶在不知情的情況下，引用了AI產出的錯誤訊息或潛在侵權內容，並進一步用於商業用途——像是刊登廣告、出版、或其他營利活動，那麼一旦涉及實質侵權行為，使用者仍有可能需要負擔相應的民事責任。尤其是當這些錯誤資訊導致第三人受有實際損害時（例如名譽受損、錯誤依賴資訊造成財務損失等），用戶很可能會被追究侵權責任，甚至面臨賠償的風險。
所以，從法律實務角度出發，建議用戶在使用AI工具時，應仔細閱讀該平台的服務條款與資料使用政策，特別是針對模型訓練資料來源的相關說明。如果服務提供者無法保證其訓練資料的合法性，使用者在導入AI生成內容到自己的業務或公開發表中，就必須更加謹慎，甚至需要再做一層查證。
簡而言之，模型開發者要對訓練資料的合法性負責沒錯，但最終使用者若未善盡基本查證義務，依然可能捲入侵權爭議。這也是我們進入AI時代後，使用者責任意識需要提升的重要一環。
我會建議企業應該主動訂立「AI使用條款」或「免責聲明」來自我保護呢，這不只是對自身風險的預防，更是建立內外部使用規範的一種必要措施。AI的應用雖然帶來很高的效率，但同時也伴隨許多潛在風險，像是資料洩漏、智慧財產侵權、生成錯誤資訊等問題。企業若沒有明確規範，風險還是會回到自己身上的。
對內部管理來說，企業應該針對員工使用AI工具制定明確的政策或使用條款，特別是涉及商業機密與敏感資料的部分。舉例來說，可以明定禁止將未經授權的客戶資料、內部文件或專案資料輸入AI平台，避免資料外洩；同時也可以透過制度化的規範，統一公司內部對AI使用的標準與行為邊界。
對外部使用者或客戶而言，企業也應該設計適當的免責聲明，特別是當網站、報告或行銷資料中使用了AI生成的內容時。舉例來說，可以說明「本網站部分內容由AI自動生成，可能含有不準確或非即時資訊」；又或者「部分文字／圖片可能無意識模仿現有公開作品，如有疑慮請聯繫我們處理」等。這類聲明雖然無法完全豁免責任，但至少在法律上能表達企業已盡合理提示義務，也有助於減少後續爭議。
企業要享受AI帶來的效率，就必須同步思考風險控管與責任界線。訂立清楚的AI使用條款與免責聲明，會是一個相對低成本、但高效益的基本防線。
AI創作有智慧財產權嗎？誰能主張？
這部分在實務上其實已經有不少討論。我們先從著作權法的基本概念談起：根據我國《著作權法》第3條第1款的規定，受保護的著作，必須是屬於文學、科學、藝術或其他學術範圍的「創作」；而第2款則明確指出，著作人是「創作著作之人」。
從實務通說的角度來看，著作權的保護對象必須是所謂「人類精神創作」的成果，而且還得具備「原創性」——也就是，必須包含原始性（不是抄襲）與創作性（有作者個人風格或選擇的表現），才有機會構成受保護的著作。
回到AI的情境。如果今天是一個純粹由AI獨立生成的圖片、文章或影片，也就是使用者僅下達了一個簡單的指令，AI系統自行運算後生成出來的內容，由於缺乏人類的創作參與，依照現行法律，是不會受到著作權法保護的。
這一點，智慧財產局其實也已經表達過類似的看法。在智慧財產局2023年經授智字第11252800520號函中提到，如果AI使用者只是單純輸入指令，並未投入實質創作，那麼由生成式AI模型自動產出的內容，就不會受到著作權保護。
不過，情況也不是絕對如此。如果AI只是被當作一個「輔助工具」，使用者在AI生成過程中投入了具體創作行為，例如針對輸出結果進行選擇、修改、重組，使作品能夠反映其創作意圖，那麼最終成品仍有可能被視為「人類創作」，而享有著作權。
不過，企業在實際操作時，有幾個重點要特別留意：
第一，服務條款中的權利歸屬。有些AI平台在使用條款中會特別說明，生成內容的著作權歸使用者所有，但也有些平台保留部分使用權或再利用權，因此創作前務必確認條款內容，避免誤解。
第二，訓練資料來源的合法性。如果AI服務提供者使用了未經授權的資料來訓練模型，雖然企業本身未必知情，但一旦生成內容涉及侵權，還是可能受波及。因此，建議選擇有公開保證不使用侵權資料或資料來源明確的AI工具，相對有保障。
第三，生成內容的後續用途。不少AI平台會在條款中保留使用者輸入與生成內容的權利，作為後續模型優化或行銷用途。企業若希望保留創作成果的專屬性與機密性，就需要特別確認平台是否允許排除這些使用權，或是否能透過訂製化服務保障內容不被再利用。
簡單來說，AI可以成為創作流程中的得力助手，但企業若希望在法律上穩固保障其智慧財產權，就需要從使用者端的契約、創作參與程度，以及AI平台的合法性與條款透明度多方面入手。這樣才能確保創意資產不會因技術模糊地帶而產生風險。
模仿吉卜力畫風有沒有踩線？
最近一個滿熱門的例子，就是大家用 ChatGPT產出「吉卜力畫風」的圖片。這個現象本身就帶出一個很有趣的法律問題：畫風本身，到底算不算是著作權法所保護的對象？
根據我國《著作權法》第10-1條，其實有一個很明確的界線——著作權的保護只及於「表達的形式」，而不包括所表達的「思想、概念、風格、操作方法」等等。因此，如果只是模仿「畫風」，例如吉卜力動畫常見的柔和色調、手繪質感、夢幻奇幻的構圖氛圍，這些元素單獨來看，可能不屬於著作權保護的範疇。
但如果AI生成的圖片不只是模仿畫風，而是具體呈現出吉卜力動畫中某些特定角色，比如龍貓、無臉男等，這就可能構成對既有著作的「重製」或「改作」，那就很可能落入侵害智慧財產權的範圍。因為角色本身的形象、特徵設計、甚至在某些情況下的名稱與場景安排，都是受到著作權保護的具體創作成果。
進一步來說，即便最終生成的圖片看起來沒有直接複製某一個角色，但如果在AI訓練過程中，輸入了大量未經授權的吉卜力圖片作為素材，這也可能會牽涉到著作權法上「是否構成合理使用」的判斷。如果訓練資料是來自侵權來源，那麼即使生成結果不具侵權性，也有可能在訓練過程中被認定構成「重製」或「改作」行為。
這種情況下，判斷的關鍵通常會回到一個核心問題：生成出來的作品，是否會對原著作權人造成實質市場上的負面影響？如果答案是肯定的，法院往往會比較傾向認定不屬於合理使用。
所以，單純模仿畫風不一定構成侵權，但若涉及具體角色、或使用未經授權的資料訓練AI，可能就會落入著作權保護的範疇。這也提醒我們，在欣賞AI創作帶來的便利與趣味時，還是要適度關注背後潛藏的法律風險。
總結上述，AI生成內容的著作權問題，並不單純是技術問題，而是結合著作權法理、人類參與程度，以及契約約定的一個綜合判斷，這也正是目前著作權實務上正在密切觀察和持續釐清的議題。
你刪除的資料，AI還刻骨銘心，怎麼辦？
針對這個問題，我目前的想法是，現在很多人知道可以行使「被遺忘權」，也就是要求網站或平台刪除自己的帳號或個人資料。但問題在於，AI的學習模式並不只依賴單一資料來源，而是會從周邊的關聯性資訊做交叉比對與預測。
舉個例子來說，即使某個使用者主動刪除了帳號，如果他的親友或社交圈仍活躍在平台上，那AI可能還是可以透過他們的互動行為、標籤、對話紀錄等資料，間接重建出這個被刪除帳號的用戶輪廓，甚至更精準地預測他曾經的偏好、習慣或特徵。
這種「以群找人」、「以影像找影像」的推演能力，是AI與傳統資料庫系統最本質的不同——它不再只依賴靜態資料，而是透過不斷累積與學習，形成類似人類直覺般的判斷邏輯。這也正是風險所在：它可能讓「被遺忘」這件事，在技術層面變得極其困難。
從法律角度來看，目前的個資保護制度，大多仍是建構在「資料控制者應刪除或停止使用資料」的邏輯上，並沒有真正深入討論到AI模型本身是否也要「遺忘」某些學習成果。這就造成一個落差：使用者以為自己的資料已經從系統中消失，但實際上AI早就學會了他的一切。
所以我認為，這也是一個非常值得關注的灰色地帶。未來如果真的要保障個人隱私，光是刪除表面資料可能已經不夠，還需要法律進一步規範模型訓練資料的處理方式、學習結果的保存期限，甚至要求模型在特定條件下執行「遺忘訓練」。
這是一場技術與制度的拔河，也是一個還在持續演進的議題，企業與使用者都應該盡早意識到這樣的風險存在。
AI學壞了？當偏見成為演算法的默認選擇
這幾年在觀察AI發展的過程中，有幾個案例我自己印象特別深刻，也非常具有警示性。
第一個是Amazon在幾年前使用的AI履歷篩選工具。當時他們希望透過機器學習來自動化初步的招募流程，聽起來滿合理的——輸入過往的應徵履歷，讓AI找出哪些條件的求職者最容易錄取或表現優異。但後來實務上出現了很大的問題，因為他們的訓練資料來自過去10年內的履歷，而這些資料中男性求職者比例明顯偏高。結果AI模型就「學會」了——男性比女性更適合這份工作。
也就是說，原本只是想提高效率，結果卻變成系統性地複製甚至放大原有的人力資源偏見。這是一種「隱性歧視」的典型案例。訓練數據本身有偏見，AI就會不自覺地延續甚至強化這些偏見。如果企業在導入這些工具時，沒有意識到這一層風險，反而會讓AI成為一種「披著中立外衣的歧視機器」。
另一個案例則是美國司法系統中使用的風險評估工具 COMPAS。這套系統被法院用來預測受刑人是否可能再犯，結果研究發現：在相同的前科與背景條件下，系統標記黑人「高再犯風險」的比例，比白人高出1倍。這個結果非常令人警惕，因為它顯示出即使我們以為AI是在用「科學」做判斷，但背後的演算法邏輯可能早已內建了某些種族偏見，而這樣的偏見一旦被誤認為是「客觀標準」，其影響將比個別判斷更深遠、更難察覺。
這兩個案例讓我們看到，AI並不是本身有歧視，而是它會誠實地放大我們社會原本就存在的偏見。這也提醒我們，在導入AI時，不只要看它「做得準不準」，更要問，它「是怎麼學的、學了什麼？」資料來源、設計邏輯與背後價值觀，才是整個風險管理的關鍵。
