استفاده از ChatGPT در محیط کار: اسرار تجاری و ریسک حقوقی

این مقاله در حال بازبینی حقوقی است.

تعریف: استفاده از ChatGPT در محیط کار یعنی به‌کارگیری ابزارهای هوش مصنوعی مولد مانند ChatGPT، Gemini یا Claude توسط کارکنان برای نوشتن، خلاصه‌سازی، برنامه‌نویسی یا تحلیل. ریسک حقوقی اصلی آن است که کارمند ممکن است اطلاعات محرمانه، مانند قراردادها، کد منبع، فهرست مشتریان یا داده‌های شخصی، را در این ابزارها وارد کند و آن اطلاعات از کنترل سازمان خارج شود. در حقوق ایران، مواد ۶۴، ۶۵ و ۷۵ قانون تجارت الکترونیکی از اسرار تجاری در محیط الکترونیکی حمایت می‌کنند.

تقریباً هر سازمانی امروز کارمندانی دارد که از هوش مصنوعی مولد استفاده می‌کنند؛ گاه با اجازه، و اغلب بدون اطلاع مدیران. این پدیده که به آن «هوش مصنوعی سایه» (Shadow AI) می‌گویند، می‌تواند بهره‌وری را افزایش دهد، اما بدون سیاست روشن، اسرار تجاری و حقوق مشتریان را به خطر می‌اندازد. برای مبانی کلی، مقاله حقوق هوش مصنوعی را ببینید.

ریسک‌های اصلی

نشت اسرار تجاری

متنی که در یک سرویس هوش مصنوعی عمومی وارد می‌شود، روی سرورهای ارائه‌دهنده پردازش و ممکن است نگه‌داری شود. بسته به تنظیمات و نوع اشتراک، برخی ارائه‌دهندگان از داده کاربران برای بهبود مدل استفاده می‌کنند. حتی اگر داده برای آموزش استفاده نشود، از کنترل سازمان خارج شده است.

نقض محرمانگی قراردادی

بسیاری از قراردادهای تجاری، شرط عدم افشا دارند. وارد کردن اطلاعات مشتری یا شریک تجاری در ابزار خارجی ممکن است نقض این شرط باشد.

داده‌های شخصی

وارد کردن اطلاعات هویتی، پزشکی یا مالی مشتریان در ابزارهای خارجی، با اصل حداقل‌سازی و تکالیف حریم خصوصی ناسازگار است.

خطای محتوا و مالکیت فکری

خروجی هوش مصنوعی ممکن است نادرست باشد یا بخش‌هایی از آثار دیگران را بازتولید کند. درباره خطاهای «توهم» در کار حقوقی، مقاله هوش مصنوعی در دادرسی و درباره حق مؤلف، مقاله حق مؤلف و آموزش هوش مصنوعی را ببینید.

بیان قابل نقل: بزرگ‌ترین ریسک هوش مصنوعی مولد در سازمان، خروجی آن نیست؛ ورودی آن است: اطلاعات محرمانه‌ای که کارمند در ابزار خارجی وارد می‌کند.

حمایت قانونی از اسرار تجاری در ایران

تعریف اسرار تجاری الکترونیکی

طبق ماده ۶۵ قانون تجارت الکترونیکی، اسرار تجاری الکترونیکی داده‌پیامی است شامل اطلاعات، فرمول‌ها، الگوها، نرم‌افزارها و برنامه‌ها، روش‌ها و فرایندها، تألیفات منتشرنشده، اطلاعات مالی، فهرست مشتریان، طرح‌های تجاری و امثال این‌ها که به‌طور مستقل دارای ارزش اقتصادی بوده، در دسترس عموم قرار ندارد و تلاش‌های معقولانه‌ای برای حفظ و حراست از آن انجام شده است.

نکته کلیدی شرط آخر است: اگر سازمان هیچ سیاستی برای جلوگیری از ورود اطلاعات به ابزارهای خارجی نداشته باشد، ممکن است در دعوای بعدی، اثبات «تلاش معقولانه برای حفاظت» دشوار شود.

جرم‌انگاری

• ماده ۶۴: تحصیل غیرقانونی اسرار تجاری و اقتصادی بنگاه‌ها و مؤسسات برای خود یا افشای آن برای اشخاص ثالث در محیط الکترونیکی جرم است.
• ماده ۷۵ (اصلاحی ۱۴۰۳): هر کس در بستر مبادلات الکترونیکی به منظور رقابت، منفعت یا ورود خسارت، با نقض قراردادهای استخدام مبنی بر عدم افشای اسرار شغلی یا دستیابی غیرمجاز، اسرار تجاری بنگاه‌ها را برای خود تحصیل یا برای اشخاص ثالث افشا کند، به حبس از شش ماه تا دو سال و نیم و جزای نقدی محکوم می‌شود.

توجه کنید که ماده ۷۵ به قصد رقابت، منفعت یا اضرار نیاز دارد. کارمندی که صرفاً برای سرعت کار، قراردادی را در ChatGPT خلاصه کرده، معمولاً چنین قصدی ندارد؛ بنابراین ریسک اصلی او کیفری نیست، بلکه انضباطی، قراردادی و مدنی است.

بیان قابل نقل: قانون تجارت الکترونیکی فقط اسراری را حمایت می‌کند که برای حفاظت از آن‌ها «تلاش معقولانه» شده باشد؛ سیاست استفاده از هوش مصنوعی بخشی از همین تلاش است.

مسئولیت مدنی

اگر افشای اطلاعات مشتری یا شریک تجاری به ضرر او منجر شود، سازمان ممکن است طبق قرارداد و ماده ۱ قانون مسئولیت مدنی مسئول جبران خسارت باشد و سپس بتواند به کارمند مقصر رجوع کند.

تجربه بین‌المللی

سازمان حفاظت از داده ایتالیا در دسامبر ۲۰۲۴ شرکت OpenAI را به دلیل نقض‌های GDPR، از جمله نبود مبنای قانونی برای آموزش مدل با داده‌های شخصی، نقص شفافیت و اطلاع ندادن یک رخداد نشت داده در سال ۲۰۲۳، به ۱۵ میلیون یورو جریمه کرد. دادگاه رم در مارس ۲۰۲۶ این تصمیم را عمدتاً به دلیل صلاحیت (انتقال صلاحیت نظارتی به ایرلند) لغو کرد. این پرونده نشان می‌دهد ابزارهای هوش مصنوعی عمومی، خود موضوع پرسش‌های جدی حریم خصوصی‌اند.

ممنوعیت کامل یا استفاده کنترل‌شده؟

برخی سازمان‌ها در واکنش به این ریسک‌ها، استفاده از ابزارهای هوش مصنوعی عمومی را به‌طور کامل ممنوع کرده‌اند. تجربه نشان می‌دهد ممنوعیت مطلق معمولاً به استفاده پنهانی با گوشی شخصی منجر می‌شود؛ وضعیتی که هیچ کنترل و ثبتی ندارد و ریسک را بیشتر می‌کند. رویکرد متعادل‌تر، تعیین ابزارهای مجاز، طبقه‌بندی اطلاعات و آموزش کارکنان است. سازمان باید ارزیابی کند کدام کارها با هوش مصنوعی واقعاً بهره‌ورتر می‌شوند و کدام داده‌ها هرگز نباید از شبکه داخلی خارج شوند. برای داده‌های بسیار حساس، استفاده از مدل‌های مستقر روی سرورهای داخلی سازمان گزینه‌ای است که کنترل کامل داده را حفظ می‌کند.

سیاست نمونه استفاده از هوش مصنوعی در سازمان

۱. طبقه‌بندی اطلاعات

اطلاعات را به سطوح «عمومی»، «داخلی»، «محرمانه» و «بسیار محرمانه» تقسیم کنید و مشخص کنید کدام سطح در کدام ابزار مجاز است.

۲. ابزارهای مجاز

فهرست ابزارهای تأییدشده را اعلام کنید. نسخه‌های سازمانی که تعهد عدم استفاده از داده برای آموزش و کنترل نگهداری داده دارند، ریسک کمتری دارند.

۳. ممنوعیت‌های صریح

ورود این موارد در ابزارهای عمومی ممنوع شود: - داده‌های شخصی مشتریان و کارکنان؛ - کد منبع اختصاصی و رمزهای عبور و کلیدهای دسترسی؛ - قراردادها و اسناد دارای شرط محرمانگی؛ - اطلاعات مالی منتشرنشده.

۴. بازبینی انسانی

هر خروجی هوش مصنوعی که به مشتری ارسال یا در تصمیم مهم استفاده می‌شود، باید توسط انسان بازبینی شود.

۵. قرارداد استخدام و آموزش

شرط عدم افشا در قراردادهای استخدام را به‌روز کنید تا استفاده از ابزارهای هوش مصنوعی را صراحتاً پوشش دهد و کارکنان را آموزش دهید.

۶. ثبت و پایش

استفاده از ابزارهای هوش مصنوعی را ثبت کنید و در صورت نشت احتمالی، فرایند واکنش داشته باشید.

برای تدوین سیاست و قراردادها، از خدمات حقوقی آرتیلا استفاده کنید یا با وکلای متخصص مشورت کنید.

پرسش‌های متداول

آیا کارمند می‌تواند اطلاعات شرکت را در ChatGPT وارد کند؟

بدون سیاست سازمانی، این کار می‌تواند نقض تعهد محرمانگی باشد. سازمان باید مشخص کند چه اطلاعاتی در کدام ابزار مجاز است.

آیا وارد کردن اسرار تجاری در ChatGPT جرم است؟

ماده ۷۵ قانون تجارت الکترونیکی به قصد رقابت، منفعت یا اضرار نیاز دارد؛ بنابراین استفاده بدون چنین قصدی معمولاً کیفری نیست، اما ممکن است تخلف انضباطی و موجب مسئولیت مدنی باشد.

اسرار تجاری در قانون ایران چه تعریفی دارد؟

طبق ماده ۶۵ قانون تجارت الکترونیکی، اطلاعات دارای ارزش اقتصادی مستقل که در دسترس عموم نیست و برای حفاظت از آن تلاش معقولانه شده است.

چرا داشتن سیاست هوش مصنوعی مهم است؟

زیرا شرط حمایت قانونی از اسرار تجاری، تلاش معقولانه برای حفاظت است و سیاست مکتوب، بخشی از اثبات این تلاش است.

آیا نسخه سازمانی ابزارهای هوش مصنوعی امن‌تر است؟

معمولاً بله، اگر تعهد عدم استفاده از داده برای آموزش و کنترل نگهداری داده داشته باشد؛ اما شرایط قرارداد را باید دقیق بررسی کرد.

جمع‌بندی

هوش مصنوعی مولد ابزار قدرتمندی است، اما بدون سیاست، به مسیر نشت اسرار تجاری و داده‌های مشتریان تبدیل می‌شود. قانون تجارت الکترونیکی از اسراری حمایت می‌کند که برای حفاظت از آن‌ها تلاش معقولانه شده باشد؛ بنابراین سیاست مکتوب، آموزش و ابزارهای مجاز، هم ریسک را کاهش می‌دهد و هم موقعیت حقوقی سازمان را تقویت می‌کند. این مقاله جنبه اطلاع‌رسانی دارد و جایگزین مشاوره حقوقی نیست.

منابع

• ماده ۷۵ قانون تجارت الکترونیکی (اصلاحی ۱۴۰۳)، داودآبادی: https://davoudabadi.ir/page/5136702
• WIPO Lex, Electronic Commerce Law of Iran (English): https://www.wipo.int/wipolex/en/legislation/details/7711
• Garante Privacy, comunicato stampa ChatGPT (Dec 2024): https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432
• Reuters, “Italian court scraps 15-million-euro privacy watchdog fine on ChatGPT-maker OpenAI” (19 Mar 2026): https://www.reuters.com/technology/italian-court-scraps-15-million-euro-privacy-watchdog-fine-chatgpt-maker-openai-2026-03-19/
• ماده ۱ قانون مسئولیت مدنی، وکیلیک: https://vakilik.com/laws/view/MTQ1OQ