2026年10月，北京市朝阳区人民法院审结的一起劳动争议案件经媒体报道后，在数据合规与劳动法两个方向上都引起了讨论。案件事实不复杂，争点却相当集中。
吴某在某保险公司法律合规部担任法务主管，负责合规稽查、风险核查。2024年7月，为提升PPT制作与数据分析效率，她将自行整理加工后的公司稽核问题数据表上传至第三方AI平台。据主审法官介绍，该表格是一份汇总性质的Excel表，以简短文字概括公司可能存在的问题，未展开问题详情。一个月后，公司以“严重违反规章制度”为由出具《解除劳动合同告知书》。吴某申请仲裁，仲裁裁决撤销解除决定、要求继续履行；双方均不服，诉至法院。一审法院依据《劳动合同法》第四十八条认定公司违法解除，判决撤销解除决定、双方继续履行劳动合同，并由公司支付年终奖差额、绩效工资、工资损失共计四万六千余元。公司不服一审判决提起上诉，二审法院维持原判，目前判决已生效。
案件真正的问题不是员工能不能用AI，而是当企业已有保密制度、信息安全管理规定和保密协议，却没有针对AI使用场景的行为规则时，事后能否直接适用最严厉的处分。
一、法院审查的三个层次
（一）主观上是否存在故意
公司作出处分所依据的内部条款，以劳动者存在主观故意泄密为适用前提。法院查明，吴某上传的是本人整理加工后的汇总表，目的在于完成本职工作、提高效率；使用AI工具在公司内部并非个例，公司领导在沟通中亦曾提及可借助AI处理工作。在这一背景下，难以认定其具有泄露公司秘密的故意。
（二）制度依据是否明确
公司制定了保密制度、信息安全管理规定，也与员工签署了保密协议，但所有现行制度均未明确禁止员工使用第三方AI工具辅助办公，未针对AI办公场景制定专项规范，也未开展专项培训、告知行为红线。法院据此认为，公司无权在事后单方认定员工行为违反规章制度。概括的保密义务与具体的禁止性规则不是一回事，前者不足以支撑解除劳动合同这一最严厉的处理措施。
（三）损害后果能否举证
公司未能证明吴某上传的文件属于法定或制度界定的核心保密资料，也未能证明该行为造成信息外泄、经济损失或商誉受损。仅以AI平台会留存用户数据用于模型迭代这一通用规则推定存在泄密风险，不足以认定“严重违反规章制度”。
三个层次之外，还有两个容易被忽略的问题。
一是程序。《劳动合同法》第四条要求，直接涉及劳动者切身利益的规章制度应经职工代表大会或全体职工讨论、与工会或职工代表平等协商确定，并应当公示或告知劳动者。第三十九条第二项是解除权的实体依据，但制度本身若未履行民主程序与公示程序，即便内容合理，在解除争议中也未必能够援引。
二是比例原则与诚信原则。法院在裁判解析中指出，即便认定员工使用第三方AI工具存在合规瑕疵，公司也应先采取提示、告诫、限期整改、补充培训等梯度措施，而非径行解除；事前未立规则、事后以最重处分追责，亦与诚实信用原则不符。
二、同一个“上传”动作的另一重评价
在劳动法上，这一行为是违纪认定问题；在数据法上，还可能有另一套评价。
员工将业务数据输入境外大模型，通常会被认定为数据出境。按照《个人信息保护法》第三十八条，向境外提供个人信息需落入安全评估、标准合同或个人信息保护认证三条路径之一，分别对应《数据出境安全评估办法》《个人信息出境标准合同办法》和2026年1月1日施行的《个人信息出境认证办法》。经匿名化处理且不能复原的信息已不属于个人信息，不在上述路径之内；但若涉及重要数据，仍需另行判断。此外，2024年《促进和规范数据跨境流动规定》对若干场景设置了豁免，具体适用需要先看数据性质、数量和接收方。
需要说明的是，本案裁判并未涉及平台服务器位于境外、进而构成数据出境的问题，上述讨论属于对同一行为的延伸分析。
真正的困难在于适用单元。法律要求的是以场景、制度、数据规模为单位作出安排，而员工日常、分散的模型使用是逐次发生的。要求每一次粘贴都对应一次申报或一份标准合同，在操作上并不可行。
执法层面已有参照。2026年6月，上海市网信办依据《个人信息保护法》，对携程未落实数据出境安全评估、违法出境个人信息的行为罚款1000万元。2026年9月，国家网信办公布的执法典型案例中，亦有一例为企业未依法申报数据出境安全评估即向境外传输个人信息而被处以罚款。
合规重心因此需要从逐笔申报转向制度化管控：明确哪些工具可以使用、哪些数据可以输入、什么条件下需要审批、使用行为如何留痕。这与劳动争议中法院追问的内容高度重合——劳动法问的是制度有没有，数据法问的是制度够不够。同一个缺口，产生两种法律后果。
三、制度中应当写明的四项内容
如果要补全这份制度，以下四项是上述两条风险线共同指向的最低配置。
第一，涉密信息负面清单。 制度不宜只写“注意保密”，而应列明禁止输入公共AI平台的数据类型，例如客户个人信息、未公开财务数据、合同与报价内容、源代码、未公开经营数据等，并对每一类标注处理方式。2026年10月29日，深圳市市场监督管理局（知识产权局）发布《人工智能工具应用中的商业秘密保护指引》，这是全国首个专门针对AI工具应用的商业秘密保护指引，虽不具行政强制力，但附录所附涉密信息上传负面清单按核心、普通、日常三档，分别对应禁止上传、审批后脱敏上传、脱敏后可上传，可作为起草参照。
负面清单的作用有两层：在劳动争议中，把概括的保密义务转化为可逐条对照的行为规则；在数据出境管理中，作为判断是否触发审批或禁止的第一道过滤。
第二，工具白名单与场景分级。 至少区分境内模型与境外模型。二者在数据出境定性上适用不同分析框架，不宜混同管理。白名单的意义在于，将“使用未经审批的工具”本身识别为违规行为，而不必等到数据已经出境后再去追问主观故意。
第三，审批与留痕规则。 对可能触发数据出境或涉及高敏感数据的场景，设置事前审批节点，保留审批记录与使用日志。这些记录在劳动争议中可用于证明用人单位已尽管理义务，在数据出境监管中可作为已建立合规管控的佐证。
第四，后果条款的分层衔接。 制度应区分违规程度设定不同后果，避免将所有AI使用违规一律归入“严重违反规章制度”。朝阳法院这起案件的教训在于：如果制度没有为“未经审批但无泄密故意”与“故意向境外传输敏感数据”设定不同的后果梯度，解除劳动合同的严重性论证就容易落空。
江苏耀时律师事务所系江苏省首家获上海数据交易所认证的律师事务所，现已取得上海、南京、无锡、昆明四地数据交易所数据合规评估服务商认证，并入选江苏数据交易所首批服务商，多名律师持有首批“数据交易师”证书、入选数据交易专业人才库，是省内少数兼具数据交易与跨境数据合规服务能力的律师事务所。本所可提供数据出境路径评估与实施（安全评估申报、标准合同备案、个人信息出境认证），数据分类分级与涉密信息清单编制，AI工具准入与供应商审查（含境外模型服务条款、数据留存条款审查），以及数据合规评估。
