动静说法丨员工用AI干活，公司能不能事后翻脸说“你泄密了”？
领导推荐AI提效，员工用第三方AI工具加工工作表格制作PPT，一个月后却收到解除劳动合同通知。近日，北京市朝阳区人民法院审结的一起因AI辅助办公引发的劳动争议案，给不少企业和职场人上了一堂生动的法律课。某保险公司法务吴女士将整理后的公司稽核数据表上传至第三方AI平台辅助制作PPT，一个月后被公司以“严重违反信息安全规定”为由解除劳动合同。
图片由AI生成
法院经审理认为，吴女士无泄露公司秘密的主观故意，不足以认定其严重违反工作纪律应当解除劳动关系。保险公司虽有保密及信息安全制度，但未明确禁止使用第三方AI工具，亦未就AI工具使用开展专项培训与规范指引。公司提交的证据，不足以证明吴女士上传至AI平台的信息属于保密信息，也未能就其上传行为给公司造成的实际损失进行举证。最终，法院判决，保险公司继续履行劳动合同，支付吴女士工资损失、年终奖差额等各种款项共计46000余元。保险公司不服，提起上诉，二审维持原判。
这起案件的核心问题并不复杂：员工用AI干活，公司能不能事后翻脸说“你泄密了”？该案为AI时代职场用工、信息保密划定清晰标尺，释放出多重重要法律信号。针对本案例所涉及的相关法律问题，我们邀请到贵达律师事务所高级合伙人陆顶盘律师进行专业解答。
用AI办公本身不违法，法律看的是往AI里放了什么、拿AI的结果做了什么。吴女士胜诉有特定的事实条件，这份判决不能当成“用AI怎么都行”的护身符。
第一，先看清吴女士凭什么胜诉。从法院披露的情况看，吴女士是在领导推荐下使用AI工具的；上传的是她有权接触、自己整理加工的一份汇总表，只用简短文字概括问题；公司的制度没有明确禁止使用第三方AI工具，也没有做过专项培训，公司据以处罚的条款还以“故意泄密”为前提。依照《最高人民法院关于审理劳动争议案件适用法律问题的解释（一）》第四十四条，因解除劳动合同发生的争议由用人单位负举证责任，公司既证明不了表格属于保密信息，也证明不了造成了损失。法院还明确，仅凭AI平台会留存数据的通用规则推定存在泄密风险，不足以认定员工严重违反规章制度。
条件变了，结果就可能反过来。规章制度经过民主程序制定并已公示，又明确禁止把内部资料传到外部平台，员工明知还去违反、情节严重的，用人单位可以依照《中华人民共和国劳动合同法》第三十九条第二项解除劳动合同。上海市第二中级人民法院2025年审结的一起案件中，一名员工把涉及客户信息、公司业务信息的文件上传到个人云盘，辩称公司员工日常都在用云笔记一类软件，资料也算不上绝密。法院没有采纳，认为这名员工签过保密协议，明知公司的保密制度，擅自上传导致文件脱离公司控制，公司解除劳动合同并无不当。
第二，有三类信息，公司有没有针对AI的专门规定，都不能往公共AI平台上传。
一是国家秘密，机关、国有企业、科研院所的工作人员尤其要注意。《中华人民共和国保守国家秘密法》第三十一条规定，任何组织和个人不得使用非涉密信息系统、非涉密信息设备存储或者处理国家秘密。《中华人民共和国刑法》第三百九十八条规定，故意或者过失泄露国家秘密，情节严重的，要承担刑事责任，“我不是故意的”在这里挡不住责任。国家安全部2025年7月通报，一名科研人员撰写研究报告时为图方便，擅自把核心数据和实验成果上传到AI应用软件，导致涉密信息泄露，受到严肃处理。
二是客户和他人的个人信息，比如身份证号、手机号、银行卡号、病历、保单。《中华人民共和国个人信息保护法》第十条规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息。把这类信息交给公司以外的AI平台处理，法律对公司有严格的前置要求，员工个人无权自行决定。
三是公司的商业秘密和未公开数据，比如客户名单、报价、财务数据、技术资料。违反保密协议给公司造成损失的，要依照《中华人民共和国劳动合同法》第九十条承担赔偿责任；擅自披露的，还可能构成侵犯商业秘密。
第三，养成几个保护自己的习惯。一是先看单位规定，单位有内部AI工具的，优先用内部工具。二是只传必要的内容，客户姓名、金额、项目名称先做脱敏处理，能不传原件就不传原件。三是留存记录，领导推荐或者同意使用AI的聊天记录、上传前后的文件版本都要保存，发生争议时，这是证明自己没有恶意的关键证据。四是AI给出的数据、条文、案例要逐一核对，交出去的材料出了错，责任在交材料的人。全国网络安全标准化技术委员会秘书处今年8月发布的网络安全标准实践指南《个人用户使用人工智能服务安全指南》也建议，选用已通过生成式人工智能服务备案的大模型，查看用户协议中输入的数据是否会被用作训练数据，输入时防范隐私信息、商业秘密等意外泄露。
在不少公司的制度体系里，“用AI办公”处于规则空白地带，如何制定合理合法规则确保既提高办公效率，又能避免信息泄密？首先，AI办公规则要赶在问题发生之前立起来，而且要具体到员工一看就知道能做什么、不能做什么。这起案件公司败诉，输在三个“没有”：没有明确的禁止性规定，没有专项培训和指引，没有泄密和损失的证据。法官也提示，企业应当摒弃“一刀切禁止”“事后追责”的管理模式。企业可以从三个方面着手。
第一，制度要走合法程序。AI使用规则带有处分后果，属于劳动纪律方面的规章制度。《中华人民共和国劳动合同法》第四条规定，这类直接涉及劳动者切身利益的规章制度，应当经职工代表大会或者全体职工讨论，与工会或者职工代表平等协商确定，并公示或者告知劳动者。《最高人民法院关于审理劳动争议案件适用法律问题的解释（一）》第五十条明确，经过民主程序制定、不违反法律法规、已向劳动者公示的规章制度，才能作为确定双方权利义务的依据。讨论记录、公示记录、员工签收记录都要留存，日后发生争议，这些就是公司的证据。
第二，内容要具体到能执行，至少讲清三件事。
一是哪些工具能用。列出经过评估、允许使用的AI工具，优先采购企业版或者内部部署，写明未经批准的外部平台不得用于处理工作资料。
二是哪些信息不能传。把信息按公开、内部、敏感分级，明确涉密信息、商业秘密、客户个人信息一律不得输入外部AI，内部资料脱敏后才能使用。分级标注本身就是保密措施。《中华人民共和国反不正当竞争法》第十条规定，商业秘密要经权利人采取相应保密措施，公司事先不界定、不标注，事后很难证明员工泄露的是秘密。毕节市中级人民法院2024年审结的一起案件中，一家混凝土企业的现场管理人员在微信群里发了施工单位、项目名称、方量、运输时间等信息，公司以发布生产销售信息违反规章制度为由将其辞退。法院认为，这些信息大多本来就要告知运输司机，施工单位、项目名称、联系方式也不属于商业秘密，公司又没有证据证明群里的人与公司存在竞争关系，最终认定公司违法解除，应当支付赔偿金。
三是违反了怎么处理。按情节分档，区分一般违规和严重违纪，写明哪些情形可以解除劳动合同。不宜只写“故意泄密”一种情形，这起案件中，公司自己的制度把“主观故意”作为认定违规的前提，员工没有故意，处分就失去了依据。处理还要与过错相当，一次无心之失与明知故犯、屡教不改，不能一样对待。
第三，培训、技术和事后处置要跟上。《中华人民共和国数据安全法》第二十七条要求，开展数据处理活动应当建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施。专项培训要做，员工要签字确认。确需借助外部AI处理含个人信息的数据，属于委托处理个人信息或者向其他个人信息处理者提供个人信息，依照《中华人民共和国个人信息保护法》第五十五条，应当事前进行个人信息保护影响评估。给员工配上合规好用的企业版工具，比单纯禁止更管用。银行、保险机构还有行业要求，国家金融监督管理总局今年6月印发的《国家金融监督管理总局关于银行业保险业人工智能安全开发应用的指导意见》提出坚持谁使用谁负责，压实金融机构作为人工智能技术使用方的主体责任，要求对生成式人工智能模型实施准入管理。
出了问题，处理也要讲分寸。发现员工误传资料，先评估信息性质和影响范围，督促删除、联系平台补救，再按制度和情节处理。动辄解除劳动合同，一旦被认定违法，员工要求继续履行的，依照《中华人民共和国劳动合同法》第四十八条，公司应当继续履行，这起案件中的公司就是这个结果。
