今天下午我在工位上写代码，旁边同事突然把项目代码直接复制粘贴到ChatGPT里让它帮忙debug。我当时就愣住了，问他这样行不行，他说没事又不是机密。但是我们这个项目是公司的核心业务，里面还有一些客户数据字段。我有点担心，万一这些数据被AI公司拿去训练了，或者被其他人看到，公司追责起来会不会连我也一起调查？毕竟我当时在场也没制止。而且公司IT肯定有监控日志的，会不会检测到我们上传代码？想问问大家，这种情况我该怎么保护自己？要不要主动跟领导说一声？还是装作不知道？心里有点没底。
同事把项目代码传AI调试 这算不算泄露啊 我会被牵连吗？
今天下午我在工位上写代码，旁边同事突然把项目代码直接复制粘贴到ChatGPT里让它帮忙debug。我当时就愣住了，问他这样行不行，他说没事又不是机密。但是我们这个项目是公司的核心业务，里面还有一些客户数据字段。我有点担心，万一这些数据被AI公司拿去训练了，或者被其他人看到，公司追责起来会不会连我也一起调查？毕竟我当时在场也没制止。而且公司IT肯定有监控日志的，会不会检测到我们上传代码？想问问大家，这种情况我该怎么保护自己？要不要主动跟领导说一声？还是装作不知道？心里有点没底。
Viewed 1
1 Answers
这类情况分情况处理：是否“泄露”取决于公司制度和客户/保密协议。多数公司将“未经批准将源代码、含客户数据的样例传至第三方AI”认定为敏感数据外传，至少是合规风险。你个人是否被牵连，关键看你是否上传者、是否知情参与、是否及时上报或制止。稳妥做法是“先内部核查制度，再最小暴露地留痕报告”，避免隐瞒引发更大责任。
这算不算泄露：看公司制度与数据类型
- 判断依据
- 是否有《信息安全/数据分级/AI工具使用规范》：很多公司明文禁止将“源代码、客户数据、凭证密钥”上传到外部AI（含ChatGPT等境外SaaS）。若明令禁止，则同事行为大概率被认定违规外传。
- 数据分级：核心业务代码、包含客户字段的样例，通常被归为“内部敏感/机密”。此类数据上传第三方即构成风险事件。
- 对外工具属性：面向公众的AI对话通常会在服务端留存日志用于模型改进或安全审计，哪怕号称关闭训练，仍存在工程师可见性、日志保留与跨境传输的可能。
- 业务与法务风险
- 对外保密条款/NDA：若合同约定“不得将客户数据或衍生信息泄露给第三方”，上传即可能触发违约。
- 出海/跨境因素：将含个人信息或客户商业信息上传至境外服务，可能被视为跨境传输，增加审计风险。
- 结论边界
- 若上传仅为脱敏后的伪数据、且公司制度允许在白名单工具中使用，则不当然构成泄露。
- 若包含真实字段样式、表结构、逻辑细节，尤其配合片段代码可还原客户信息，通常被判定为不当外传。
参考：国家网信部门关于个人信息与数据安全的一贯监管取向可在国家网信办网站了解政策走向 https://www.cac.gov.cn/；涉网络与电信合规口径可参见工信部公开信息 https://www.miit.gov.cn/。
你会不会被牵连：责任划分与自保思路
- 常见责任划分
- 直接上传者：第一责任人，可能被问责。
- 知情但未制止的同组成员：是否被追责看公司制度与你是否履行了“发现即报告”的义务。
- 管理者/代码所有者：若缺少流程与培训，可能承担管理疏漏。
- 影响你责任的关键事实
- 你是否参与上传或提供材料
- 你是否当场明确反对/提醒
- 你是否及时在合规渠道报告（邮箱/工单/安全事件平台）
- 你保留了客观记录（时间、场景、你方提醒的证据）
- 边界提示
- 不建议“装作不知道”。事件若被IT日志或外网审计发现，隐瞒会加重处理。
- 也不建议擅自对外求助或对外披露事件细节，应走公司内控通道。
现在该怎么做：分步处置清单
- 先看制度与工具白名单（当天完成）
- 在公司知识库/内网/员工手册搜索关键词：“AI使用规范/数据分级/源代码管理/第三方SaaS/生成式AI”。
- 确认是否有指定安全工具（如企业版模型、私有化部署、专线网关）与明确禁用清单。
- 若找不到，询问直属上级或信息安全/法务统一口径（走IM消息并邮件抄送，以便留痕）。
- 低调固定客观事实（当天完成）
- 记录时间、地点、涉及页面/代码类型、上传目标（“ChatGPT网页端”等），你提出过的提醒措辞。
- 不截取包含客户私密数据的画面；只记录元信息与时间点，避免二次扩散。
- 最小暴露原则报告（24小时内）
- 向直属上级+信息安全/合规邮箱做“事实性简报”，重点是风险提示而非指责个人：
- 事实：何时、何工具、何类材料（用“核心业务代码片段、含客户字段名但不含明文数据/可能含部分真实样例”按你所见如实描述，若不确定就写“不确定是否脱敏”）。
- 风险：公司制度可能不允许/合同可能要求不外传第三方AI。
- 建议：请安全团队核查网关日志与外发明细，指导是否需要通知客户、是否要求当事人删除对话记录、是否开展代码与凭证轮换。
- 语气保持中性，体现你的合规意识与降险行动。
- 降低技术面影响（与IT/Sec配合）
- 建议安全团队核查：浏览器外连域名、剪贴板监控策略、代理网关日志。
- 若代码中包含密钥/令牌/访问地址，建议旋转密钥、审计访问日志，必要时更换相关凭证。
- 要求当事人从对话平台删除该会话（注意：删除不等于平台物理删除，但可减少进一步扩散）。
- 后续自我保护与团队改进
- 参加或推动一页纸“AI使用红线”宣导：哪些数据绝不能上传，哪些可以在企业合规工具里用。
- 工作中采用“脱敏最小集”原则：调试只上传错误日志片段+伪造数据结构，不给真实客户标识、账号、订单号、密钥等。
安全做法 vs 不安全做法（落地对照）
- 可用前提
- 安全做法：仅在公司批准的企业版/私有化模型或内网代理下使用；先脱敏；仅上传必要最小片段；日志与同意书留存。
- 不安全做法：用个人账号直接在公共ChatGPT/任意AI网页粘贴整段核心代码、表结构和真实样例。
- 数据处理
- 安全做法：去除客户标识（姓名/手机号/证件号）、账号/订单号、密钥与连接串；字段名可泛化。
- 不安全做法：为求省事复制整文件、含配置与.env。
- 责任管理
- 安全做法：事前问清制度、事后留痕汇报。
- 不安全做法：事后装作不知道、删除本地聊天记录妄图规避审计。
若怀疑外发可能触及个人信息保护或网络数据安全，可从国家网信办公开口径了解原则性要求 https://www.cac.gov.cn/；涉及通信与网络管理可参考工信部网站 https://www.miit.gov.cn/。公司内的最终处理以内部规章和法务/安保团队意见为准。
Related