生成式人工智能與服務條款：香港企業必須處理的問題

生成式人工智能與服務條款：香港企業必須處理的問題

在香港部署或使用生成式人工智能工具的企業，面對一系列直接源於這項技術特性的法律風險：輸出可能不準確或具誹謗性；人工智能生成內容的知識產權歸屬在法律上仍不確定；當輸入內容由外部供應商處理時，資料安全及私隱義務變得複雜。然而，大多數企業尚未更新其標準服務條款、僱傭協議或供應商合約，以處理這些特定於人工智能的風險。本文指出使用生成式人工智能所產生的主要法律問題，檢視相關法律框架，並就起草及實施合約保障提供實務指引。

輸出責任：誰要為人工智能說的話負責

生成式人工智能系統可能產生不準確、帶有偏見、具誹謗性或其他有害的輸出。誰要就這些輸出承擔法律責任，對部署人工智能的企業而言往往並不明確。答案取決於具體情境及輸出的性質，但根據香港法律，有幾項一般原則適用。

誹謗責任。在香港誹謗法（主要為普通法，輔以《誹謗條例》（第 21 章））下，任何人發表涉及他人且損害其名譽的虛假事實陳述，均可能需負上誹謗責任。該陳述必須向第三方發布，且必須被理解為涉及原告。

如果企業使用生成式人工智能工具製作向第三方發布的文件或陳述，而該陳述是虛假的且涉及某人，則發布該陳述的企業即可能需負上誹謗責任，不論內容是由人工智能系統生成還是由人類撰寫。人工智能工具本身不是法律上的人，不能被起訴；責任由發布者承擔。

專業疏忽責任。如果企業以提供專業服務（法律意見、財務意見、醫療意見、會計服務等）為名，使用人工智能工具生成提供給客戶的意見，而該意見不準確並導致客戶損失，則企業可能面對專業疏忽責任。謹慎義務適用於所有提供的意見，不因是否使用人工智能工具而改變。

人工智能生成內容的知識產權歸屬

誰擁有人工智能系統生成的文字、圖像、程式碼或其他創作性作品的版權？香港法院尚未就這一問題作出決定性裁決，但現行法例提供了一些方向。

《版權條例》對電腦生成作品的處理。香港《版權條例》（第 528 章）訂有處理電腦生成作品的條文。就由電腦生成的文學、戲劇、音樂或藝術作品而言，「作者」視為就創作該作品作出必要安排的人。這項條文早於生成式人工智能，是針對早期電腦圖形或作曲軟件而起草的，當時由人類就具體創作決定向電腦發出指示。

適用於生成式人工智能時，這項條文存在歧義。在人類創作性投入極少的情況下，生成式人工智能的輸出可能並無版權保護。就版權保護不確定的輸出，企業不應依賴侵權索償來對抗使用類似輸出的競爭對手。

訓練資料來源與侵權風險。生成式人工智能系統在大型資料集上訓練，其中可能包括未經版權持有人許可的作品。當系統產生輸出時，該輸出可能結合或近似訓練資料中的材料，從而產生侵權責任。企業應仔細審閱供應商合約中的侵權賠償條款，並評估自身的風險暴露。

與供應商簽訂的資料處理協議

使用生成式人工智能工具處理個人資料的企業，應與供應商簽訂資料處理協議，訂明：（a）將向供應商提供哪些個人資料；（b）獲允許的用途；（c）資料保留及刪除義務；（d）資料安全要求；（e）對供應商進一步將資料轉移予次處理者的限制；及（f）供應商協助處理《個人資料（私隱）條例》下查閱要求的義務。

若企業使用供應商或雲端服務商的標準資料處理協議，應仔細審閱其資料保障範圍。部分供應商承諾不將輸入資料用於模型訓練，其他則保留預設使用輸入進行訓練的權利。企業應確認供應商的政策，並在必要時要求合約限制。

面向客戶的服務條款

如果企業使用生成式人工智能向客戶提供服務或交付成果，應更新客戶服務條款。主要新增內容包括：

披露人工智能的使用。香港法律目前在大多數商業情境中尚未強制要求披露，但良好實務及聲譽風險管理均支持透明化。明確披露人工智能工具用於生成或輔助生成內容，可讓客戶評估內容可靠性並作出知情決定。

責任限制。條款應明確訂明：（a）人工智能生成的內容按「現狀」提供，可能含有不準確、錯誤或遺漏；（b）企業不保證其準確性或完整性；（c）客戶不應在未經獨立核實的情況下將其用於重要決定；及（d）企業就其不準確之處的責任以指定金額為上限。

輸出的知識產權歸屬。條款應明確訂明提供給客戶的人工智能輸出中，版權歸誰所有。選項包括：（a）企業保留所有權並授予客戶使用許可；（b）客戶擁有輸出；（c）歸屬共享或視客戶客製化程度而定。無論採用哪一選項，清晰訂明尤為重要，以免日後爭議。

專業意見的免責。如果企業提供的內容看似專業意見，條款應明確聲明輸出並不構成專業意見，並建議客戶就重要決定尋求獨立專業意見。

僱傭政策考量

內部部署生成式人工智能工具的企業，應制定清晰的內部政策，涵蓋：（a）員工可以及不可以使用的人工智能工具；（b）禁止將機密公司資料或客戶資料輸入公開的人工智能工具；（c）當人工智能用於起草客戶通訊或交付成果時的披露要求；（d）對結合人工智能的工作成果的質量保證責任；及（e）就人工智能使用相關的私隱及知識產權風險的培訓。

證監會及金管局受監管實體：額外考量

由證監會或金管局發牌的金融機構及投資公司，在部署生成式人工智能時面對額外要求。證監會就中介人使用人工智能的指引，以及金管局就銀行使用人工智能的指引，均涉及管治、模型風險管理及行為要求：

• 用於面對客戶活動的人工智能系統，必須遵守行為要求及合適性義務；
• 人工智能系統必須在部署前經適當測試及驗證；
• 用於重要客戶決定或建議的系統，必須有實質的人類監察；
• 人工智能生成的研究或投資建議必須符合披露要求，且不得就人工智能的參與誤導客戶。

受監管實體應確保其生成式人工智能的實施，以及其服務條款或客戶協議，與這些監管要求一致。

天成律師事務所如何提供協助

天成律師事務所就生成式人工智能的部署為香港企業提供法律意見，包括服務條款及客戶協議的更新、供應商及資料處理協議的審閱與談判、內部使用政策的制定，以及受監管實體的合規安排。

歡迎瀏覽我們的人工智能及代理型經濟法律服務。如需就此對您業務的影響作進一步討論，請與我們聯絡。

本文僅供一般資訊及教育用途，並不構成法律意見，亦不應作為法律意見依賴。法律及監管要求可能有所變更。在採取任何行動或依賴本文任何內容之前，請就您的具體情況尋求獨立法律意見。