今天加班到晚上十点多，部门新来的实习生说可以用大模型把公开数据反向拼出我们几个大客户的采购记录。
我当时就有点慌。我们公司就这点客户资源，要是真被算出来传出去了，我这个负责对接的人肯定跑不掉。
我只问了他一句“这样合法吗”，他回“反正数据都是公开的”。可我总觉得不对劲。
现在也不好意思问老板，这事到底算不算泄密？我该不该把实习生那个提示删了？
用AI模型把我们客户名单反推出来 这算公司泄密吗
今天加班到晚上十点多，部门新来的实习生说可以用大模型把公开数据反向拼出我们几个大客户的采购记录。 我当时就有点慌。我们公司就这点客户资源，要是真被算出来传出去了，我这个负责对接的人肯定跑不掉。 我只问了他一句“这样合法吗”，他回“反正数据都是公开的”。可我总觉得不对劲。 现在也不好意思问老板，这事到底算不算泄密？我该不该把实习生那个提示删了？
Viewed 1
3 Answers
这件事不等于“公开数据随便用就没问题”。用大模型把公开信息拼接出“可识别的客户名单与采购记录”，在多数公司场景下都属于高风险处理，结果很可能触及商业秘密或保密义务边界。先暂停相关操作，不要继续外传或分享任何生成结果，并尽快向直属主管/信息安全或法务报备，由公司统一评估与处置。
用AI反推客户采购记录算不算“泄密”：判断框架与适用范围
给出原则性结论：是否构成泄密，取决于结果是否具备“非公开性+商业价值/竞争优势+公司采取了合理保密措施”。即使原始来源是公开的，经过特定方法与内部认知组合后形成的“可操作客户情报包”，仍可能落入公司的保密范围，需要谨慎对待。不同情境要分开看：
- 仅本地运算 vs 已外传到第三方
- 仅本地、未脱离公司受控环境：合规风险中等，重点看是否涉及内部数据混用、输出是否外发。
- 已上传到外部AI平台/个人账号/云盘：合规风险高，涉及外传与不可控扩散。
- 个人试验 vs 组织化使用
- 个人试验未经授权：流程违规可能先于“泄密定性”成为问题。
- 在公司批准的合规沙箱/私有化模型：风险可控度更高，但仍需数据分级与最小化输入。
- 客户名单 vs 采购细节
- 名单本身若广泛可得，保密属性偏弱。
- 采购频次、预算区间、决策链路、议价习惯等，一旦可识别地指向具体客户，保密属性显著增强。
建议你尽快把具体做法、数据来源、输出内容交由公司法务或信息安全复核；涉及公司商业秘密与合规边界的最终判断，应由专业法律顾问给出。
公开信息 vs 组合情报：哪些边界最容易被踩
| 信息维度 | 单点公开常见来源 | 组合后风险点 |
|---|---|---|
| 客户名称 | 官网上市公告、行业名录 | 形成“高价值客户清单+优先级排序” |
| 招投标 | 政府/企业采购公告 | 串联出年度预算与周期性采购节奏 |
| 人岗信息 | 招聘网站、社交主页 | 锁定对接人偏好、内部决策链与关键时点 |
| 新闻/财报 | 行业报道、年报 | 推演出价格区间、议价能力与供应替代方案 |
关键在于“可识别+可操作”。一旦输出能帮助内部或竞争对手精准触达客户联系人、在恰当时点介入，并体现出未公开的交易模式，这类成果大概率被视为公司应受保护的信息资产。
可对照自检：
- 结果在公司外部是否已被同样粒度公开？
- 输出是否包含具体可识别客户+交易细节？
- 这些内容是否由你岗位权限与内部资料“赋能”得到？
- 公司是否对相关信息设有访问控制、保密标识或制度约束？
若答案多为“是”，风险较高，应立刻上报。
现在就做的4步：控制风险与补齐流程
- 叫停与隔离
- 立即停止继续跑模型与分享结果；不再向外部AI平台输入任何客户识别信息。
- 若使用了外部账号（含个人号），先私密化可见范围并避免再次同步或备份到外部。
- 证据与过程记录
- 保存提示词、模型平台/账号、时间点、输入与输出样例截图；保持原样，不删改。
- 记录数据来源分类：公开来源清单、是否混用邮箱/CRM/聊天记录等内部信息。
- 内部报备与评估
- 向直属主管+信息安全/法务同步情况，说明是否外传、是否可回收、潜在影响面。
- 请求指引：是否需要下线相关文档、通知协作人、开展范围扫描与访问收口。
- 后续整改与规范
- 建议公司建立“数据分级+AI使用分层”机制，明确红线、灰区和白名单工具；必要时采用企业私有化/本地化模型与脱敏网关。
安全做法 vs 不安全做法（给团队立规）
| 环节 | 安全做法 | 不安全做法 |
|---|---|---|
| 数据输入 | 脱敏后再测；不输入客户可识别信息 | 粘贴客户全称、对接人、订单明细到公有云 |
| 运算环境 | 使用企业版、可审计的受控环境 | 个人账号、公有大模型随手一试 |
| 目标产物 | 只产出方法论/标签规则，不落地到具体客户 | 直接输出“某客户—采购频次—预算—联系人” |
| 外发共享 | 内部小范围、权限控制、留痕 | 发到个人微信/外部邮箱/共享网盘 |
若团队确需用AI做客户洞察，可采用“公开数据→特征工程→去标识评估→人工复核→再映射”的两段式流程，避免在AI侧形成“客户可识别档案”。
你要不要删实习生的提示
先别删。保留原样用于内部合规核查与复盘，同时用邮件或IM明确“已暂停”“禁止外传”，把边界说清楚。删除痕迹反而不利于解释动机与排查路径。等主管/法务确认后，再按流程处置与留档。
可参考国家网信部门关于生成式AI服务的合规要求，企业在处理经营数据时应审慎评估数据安全与内容生成风险，公开政策与要求可在国家网信办网站查询：https://www.cac.gov.cn/。若涉及合同义务、商业秘密或竞业风险的具体定性与责任边界，建议尽快咨询公司法务或外部律师，以获得针对你们业务与管控现状的专业意见。
本文为风险识别与合规管理的通用建议，不构成法律意见；具体定性与处置请以公司内部制度与专业律师意见为准。
我觉得楼上说得挺有道理，公开数据能拼出来不代表就没风险。毕竟客户名单那种信息，拼凑出来可能就触碰到了公司隐私或者竞争敏感点，尤其是用AI这种技术手段，虽然表面数据公开但合起来就是新信息。你这个实习生大概没意识到这事的复杂性，建议还是跟领导确认一下，不然万一哪天客户投诉或者对手借这些数据对公司下手，责任肯定跑不了你。删消息也行，别光信“公开数据”就天真了...
听你这么说我也觉得挺让人担心的。虽然数据“公开”，但用AI模型把零碎信息拼凑成客户名单，实际效果就是间接透露了公司内部敏感信息，感觉确实有泄密嫌疑。毕竟这不只是简单查资料，挺像挖掘隐私了。实习生要是没经验，真不懂边界，建议你先私下存个证据然后跟领导或者法务部门说说，别自己扛着突然爆出来才尴尬。删除对话只能遮住表面，重要是有人管。毕竟客户资源是公司的核心竞争力，没人想事情搞大。你不是一个人担心…
