員工把公司的報價單貼進 ChatGPT，請它幫忙潤稿。
公司能追究嗎？
這個問題的答案不在「他做了什麼」，在「那份報價單算不算營業秘密」。而那件事，是公司在事情發生之前就決定好的。
能不能追究，取決於事前
《營業秘密法》第 2 條：
本法所稱營業秘密，係指方法、技術、製程、配方、程式、設計或其他可用於生產、銷售或經營之資訊，而符合左列要件者：
一、非一般涉及該類資訊之人所知者。
二、因其秘密性而具有實際或潛在之經濟價值者。
三、所有人已採取合理之保密措施者。
三個要件要同時成立。前兩個多數公司都撐得住，卡住的幾乎都是第三個。
很多人把第三款讀成加分項：有做比較好，沒做也還好。實際上它是要件。沒有採取合理之保密措施，那份資料根本不受這部法保護，而非保護得比較弱。
所以「員工把資料貼進 AI」這件事，真正的分水嶺在事發之前：你有沒有先讓那份資料變成營業秘密。
什麼叫「合理之保密措施」
營業秘密法沒有給清單，這一點常讓人不知道從哪裡下手。
實務上可以借一個現成的架構。
《個人資料保護法施行細則》第 12 條第 2 項列了十一款「技術上及組織上之措施」。
那份清單處理的雖然是個資，盤點的邏輯却可以直接搬過來：
一、配置管理之人員及相當資源。
二、界定個人資料之範圍。
三、個人資料之風險評估及管理機制。
四、事故之預防、通報及應變機制。
五、個人資料蒐集、處理及利用之內部管理程序。
六、資料安全管理及人員管理。
七、認知宣導及教育訓練。
八、設備安全管理。
九、資料安全稽核機制。
十、使用紀錄、軌跡資料及證據保存。
十一、個人資料安全維護之整體持續改善。
把「個人資料」換成「營業秘密」，這十一款就是一份可以照著做的盤點表。
其中對 AI 情境最關鍵的有四款：界定範圍、內部管理程序、教育訓練、使用紀錄保存。原因很簡單，這四項是事後最容易拿得出來的證據。
反過來說，假設公司從來沒有界定過哪些資料是機密，也沒寫過內部規定、沒告知過員工、沒留過存取紀錄。
那麼第 2 條第 3 款要拿什麼去證明？
法律怎麼定義侵害
《營業秘密法》第 10 條第 1 項列了五款侵害情形。跟 AI 使用最相關的是第五款：
五、依法令有守營業秘密之義務，而使用或無故洩漏者。
同條第 2 項定義了「不正當方法」：
前項所稱之不正當方法，係指竊盜、詐欺、脅迫、賄賂、擅自重製、違反保密義務、引誘他人違反其保密義務或其他類似方法。
「違反保密義務」列在裡面。而保密義務從哪裡來？從你有沒有訂、有沒有告知、員工有沒有簽收。又回到上一段那四款。
刑責的門檻很高，但級距不低
《營業秘密法》第 13 條之 1：
意圖為自己或第三人不法之利益，或損害營業秘密所有人之利益，而有下列情形之一，處五年以下有期徒刑或拘役，得併科新臺幣一百萬元以上一千萬元以下罰金：
一、以竊取、侵占、詐術、脅迫、擅自重製或其他不正方法而取得營業秘密，或取得後進而使用、洩漏者。
二、知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密者。
注意開頭那個要件：要有不法利益或損害所有人利益的意圖。
員工為了把工作做好而把資料貼進 AI，通常構不上這個意圖。所以刑責不是這個情境的主要風險。
不過有兩件事值得知道。
同法第 13 條之 2 加重了境外使用的情形：意圖在外國、大陸地區、香港或澳門使用而犯前條之罪者，處一年以上十年以下有期徒刑，得併科新臺幣三百萬元以上五千萬元以下罰金。而第 13 條之 3 第 1 項則規定，第 13 條之 1 之罪須告訴乃論。
告訴乃論的意思是：公司不提告，檢察官不會主動辦。這也代表決定權在公司手上。
民事那條線比較實際
多數爭議走的是民事。
第 11 條給了排除侵害請求權：營業秘密受侵害時，被害人得請求排除之；有侵害之虞者，得請求防止之。而且對於侵害行為作成之物或專供侵害所用之物，得請求銷燬或為其他必要之處置。
第 12 條是損害賠償，並訂了時效：
前項之損害賠償請求權，自請求權人知有行為及賠償義務人時起，二年間不行使而消滅；自行為時起，逾十年者亦同。
第 13 條則給了兩種計算方式擇一：依民法第 216 條請求，或請求侵害人因侵害行為所得之利益。同條第 2 項還有一句：
依前項規定，侵害行為如屬故意，法院得因被害人之請求，依侵害情節，酌定損害額以上之賠償。但不得超過已證明損害額之三倍。
三倍賠償的前提是「已證明損害額」。證不出損害額，三倍也是零。這又繞回紀錄。
個資的部分是另一套規則
如果被貼進 AI 的是客戶名單或員工資料，那還牽涉《個人資料保護法》。
這一條線的責任跟營業秘密無關，不會因為「那不算營業秘密」就消失。
第 20 條之 1 第 1 項：
非公務機關保有個人資料檔案者，應辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
這一條沒有但書，也不分公司規模。
白話說：只要手上有客戶或員工的個資，這個義務就已經成立了。
罰則在第 48 條第 3 項，而且是兩段式的：
非公務機關有下列情事之一者，由主管機關處新臺幣二萬元以上二百萬元以下罰鍰，並令其限期改正，屆期未改正者，按次處新臺幣十五萬元以上一千五百萬元以下罰鍰：
一、違反第二十條之一第一項規定。
第一次被抓是 2 萬到 200 萬，限期改正；不改，才會進到 15 萬到 1,500 萬的按次處罰。所以真正致命的不是第一張罰單，是不改。
另外兩條也要知道。同法第 47 條規定，非公務機關違反第 19 條規定者，處 5 萬元以上 50 萬元以下罰鍰。同法第 41 條則有刑責。
意圖為自己或第三人不法之利益或損害他人之利益，而違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或依第二十一條限制國際傳輸之命令或處分，足生損害於他人者，處五年以下有期徒刑，得併科新臺幣一百萬元以下罰金。
該先立的那一條規定
講到這裡，該做什麼其實已經浮出來了：明確列出不可以貼進外部 AI 的資料類型。
而且要具體到員工不必自己判斷。這一點是關鍵。
寫「機密資料不得外流」，員工每次都要自己判斷什麼叫機密。判斷錯了是他的事，但損失是公司的。
寫「報價單、成本結構、客戶名單、未公開合約條款、員工個資與薪資資料，不得貼入外部 AI 服務」，就沒有判斷空間。
列舉比原則好用，理由有三個。員工不必判斷；懲處有依據；而且它本身就是第 2 條第 3 款要的那個「合理之保密措施」的一部分。
規定要放在哪裡？工作規則。依《勞動基準法》第 70 條第 11 款，工作規則應訂立應遵守之紀律。而依第 12 條第 1 項第 4 款，勞工違反工作規則情節重大者，雇主得不經預告終止契約。懲處要有依據，依據要在工作規則裡，寫在資訊部的內部文件不夠。
離職後的部分則是另一套規則。《勞動基準法》第 9 條之 1 的競業禁止有四個要件，其中第二款正是「勞工擔任之職位或職務，能接觸或使用雇主之營業秘密」。沒有先把營業秘密界定清楚，這一款也撐不住。
全面禁止為什麼行不通
有些公司的作法是一律禁止使用 AI。
這通常擋不住，只會讓使用轉入地下：員工改用自己的手機、自己的帳號、自己的免費版本。結果是公司完全沒有紀錄，而第 12 條第 2 項第 10 款要的正是「使用紀錄、軌跡資料及證據保存」。
比較務實的作法是劃清界線再提供出口：哪些資料不能貼、哪些可以、公司認可的工具是哪一個、要用別的工具要跟誰說。
員工通常沒有惡意。他只是想把報價單寫得漂亮一點、把會議紀錄整理一下。動機是把事做好，結果是資料離開了公司的控制範圍。用「防止洩密」的框架去處理這件事，方向從一開始就偏了。
四種讓保密措施失效的作法
把保密措施當成加分項。第 2 條第 3 款是要件。沒做，那份資料不受營業秘密法保護。
規定寫在資訊部的公告裡。懲處要有工作規則當依據，而且保密措施要能證明員工知悉。公告通常沒有簽收紀錄。
只寫原則，不寫清單。「機密資料不得外流」把判斷責任丟給員工，而判斷錯的成本由公司承擔。
沒有留存取紀錄。三倍賠償的前提是證明損害額，而損害額要從紀錄推。
從盤點一張表開始
- 列一張表：公司有哪幾類資料屬於營業秘密，各由誰保管
- 那幾類資料現在有沒有分級標示與權限控管
- 保密義務有沒有寫進勞動契約或工作規則，員工有沒有簽收
- 工作規則裡的紀律條款，有沒有涵蓋外部 AI 的使用
- 有沒有一份「不得貼入外部 AI」的具體類型清單，而不是原則
- 公司認可的 AI 工具是哪一個，跟服務商的合約有沒有寫資料不用於訓練
- 存取與外傳的紀錄留在哪裡，留多久
- 員工個資與客戶名單的安全維護事項，對得上個資法施行細則第 12 條那十一款嗎
先讓資料變成營業秘密
回到開頭那份報價單。
它算不算營業秘密，不是出事之後由法院決定的，是出事之前由公司決定的。決定的方式靠的是那十一款裡面的動作，不是宣示：界定範圍、寫進規定、告知員工、留下紀錄。
第 2 條第 3 款那句「所有人已採取合理之保密措施者」，決定的不只是這一件事，而是往後每一次類似爭議的起點。
而這件事現在做，比出事之後才做，便宜非常多。
常見問題
員工把報價單貼進 ChatGPT，公司能追究嗎？
要先看那份報價單算不算營業秘密。營業秘密法第 2 條有三個要件：非一般涉及該類資訊之人所知、因秘密性而具有實際或潛在經濟價值、所有人已採取合理之保密措施。前兩個多數公司撐得住，卡住的幾乎都是第三個。
沒做保密措施會怎樣？
那份資料根本不受營業秘密法保護，而不是保護得比較弱。第 2 條第 3 款是要件不是加分項，這是很多人讀錯的地方。
什麼叫「合理之保密措施」？
營業秘密法沒有給清單。實務上可以借個資法施行細則第 12 條第 2 項的十一款「技術上及組織上之措施」當盤點架構，其中對 AI 情境最關鍵的四款是：界定資料範圍、內部管理程序、認知宣導及教育訓練、使用紀錄與軌跡資料保存。
員工沒有惡意，也會有刑責嗎？
營業秘密法第 13 條之 1 的要件包含意圖為自己或第三人不法之利益，或損害營業秘密所有人之利益。員工為了把工作做好而使用 AI，通常構不上這個意圖。刑責不是這個情境的主要風險，管理才是。
營業秘密的刑責有多重？
第 13 條之 1 是五年以下有期徒刑或拘役，得併科 100 萬元以上 1,000 萬元以下罰金。第 13 條之 2 加重境外使用：意圖在外國、大陸地區、香港或澳門使用者，處一年以上十年以下有期徒刑，得併科 300 萬元以上 5,000 萬元以下罰金。第 13 條之 3 第 1 項則規定第 13 條之 1 之罪須告訴乃論。
民事可以求償多少？
營業秘密法第 13 條給了兩種計算擇一：依民法第 216 條請求，或請求侵害人因侵害行為所得之利益。同條第 2 項規定侵害行為如屬故意，法院得酌定損害額以上之賠償，但不得超過已證明損害額之三倍。前提是證得出損害額，所以紀錄很重要。時效在第 12 條第 2 項：知悉時起二年，行為時起十年。
貼客戶名單進 AI 有什麼問題？
牽涉個資法，而且這條線的責任跟營業秘密無關。個資法第 20 條之 1 第 1 項規定，非公務機關保有個人資料檔案者應辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。這一條沒有但書也不分規模。
違反個資法的安全維護義務罰多少？
個資法第 48 條第 3 項是兩段式：先由主管機關處 2 萬元以上 200 萬元以下罰鍰並令限期改正；屆期未改正者，才按次處 15 萬元以上 1,500 萬元以下罰鍰。所以致命的不是第一張罰單，是不改正。
該先立哪一條規定？
明確列出不可以貼進外部 AI 的資料類型，而且要具體到員工不必自己判斷。寫「機密資料不得外流」，員工要自己判斷；寫「報價單、成本結構、客戶名單、未公開合約條款、員工個資與薪資資料不得貼入外部 AI」，就沒有判斷空間。
規定寫在資訊部的公告裡夠嗎？
不夠。懲處要有依據，依據要在工作規則裡：勞基法第 70 條第 11 款規定工作規則應訂立應遵守之紀律，第 12 條第 1 項第 4 款則是違反工作規則情節重大得不經預告終止契約。而且保密措施要能證明員工知悉，公告通常沒有簽收紀錄。
全面禁止使用 AI 可行嗎？
通常擋不住，只會讓使用轉入地下，變成完全沒有紀錄。而個資法施行細則第 12 條第 2 項第 10 款要的正是使用紀錄、軌跡資料及證據保存。建議改為劃清界線並提供公司認可的使用方式。
離職後的保密怎麼處理？
那是另一套規則。勞基法第 9 條之 1 的競業禁止有四個要件，其中第二款是「勞工擔任之職位或職務，能接觸或使用雇主之營業秘密」。沒有先把營業秘密界定清楚，這一款也撐不住。
