我们的亚美尼亚工程师能否在客户项目中使用人工智能工具？合同、数据和采购

通常情况下是的，但需在客户合同规定的范围内，然后亚美尼亚法律才会介入：如果合同将源代码视为机密信息，并对分包商或工作地点进行限制，那么向服务提供商服务器发送提示的AI编码助手在第一次请求时就可能违反合同。亚美尼亚法律在此基础上增加了两层规定：版权规则决定AI辅助代码是否可以拥有和转让，而个人数据规则则在客户数据到达该工具的那一刻起生效。

客户合同中关于人工智能编码助手的条款

2023年之前签署的大多数发展协议都没有提及人工智能，仍然通过四项普通条款对其进行规范。

保密协议

包含客户代码的提示信息会发送给人工智能提供商（第三方）。如果该代码属于合同规定的保密信息，则构成信息泄露。亚美尼亚民法也持相同观点：根据工作合同，承包商未经客户同意不得披露从客户处收到的技术信息；出于商业价值而保密的信息则作为商业秘密受到保护。特定上传是否违反这些规则，取决于发送的内容以及提供商的条款。

Express AI条款和供应商政策

大型买家正越来越多地将人工智能规则纳入供应商计划。以下三个已发布的案例展示了这些规则的范围：

• 英特尔的生成式人工智能供应商政策（2023 年 7 月）禁止将英特尔的机密信息（包括软件代码）和个人数据输入生成式人工智能工具。
• 思科的供应商人工智能政策（2025 年 4 月）规定，在使用思科的受保护数据来训练、重新训练或改进人工智能模型之前，必须获得思科的许可；许可通常有效期为一年。
• 微软的《供应商数据保护要求》第 12 版（2026 年 3 月）要求事先通知分包商，批准微软个人数据的国际传输，并为使用或提供人工智能系统的供应商增加了一个单独的章节。

这些是客户要求，仅对签署同意书的供应商具有约束力。它们能可靠地预示您的客户将会提出的问题。

分包商

人工智能供应商是否属于分包商，取决于合同中对该术语的定义。如果合同中明确规定供应商属于分包商，通常情况下，转包条款会要求供应商接受至少与贵方条款同等的保护性条款，而大型人工智能供应商很少会签署定制条款。因此，在认定该工具不属于分包商范畴之前，请务必仔细阅读合同定义。

允许的地点

允许在亚美尼亚进行开发的条款涵盖了您的工程师的办公地点。人工智能提供商会在其自身的数据中心处理并可能存储提示信息，这些数据中心通常位于美国或欧盟。这是两个独立的问题，第二个问题是客户安全团队现在所关注的。

使用工具的许可和将客户信息输入工具的许可也是两回事。供应商承诺不根据提示进行训练，这是您与供应商签订的许可协议中的一项条款。您对客户负有的保密义务，可以通过客户的同意或允许使用该工具的合同条款来满足。

为每个客户构建权限矩阵

每份客户合同都会产生不同的结果，因此该工具为每个客户设置一行，内容根据合同及其包含的任何供应商政策填写。以下是一个简化版本：

每当您添加工具、提供商更改其模型或其子处理器，或者团队开始将 AI 用于新任务（例如生成测试数据）时，都需要审核该行。这些操作都可能超出最初设置所获批准的范围。

已批准工具政策：应该包含哪些内容

该矩阵定义了每位客户的权限范围。该策略指导工程师如何在其中开展工作：

• 工具层级： 已批准的企业帐户、仅允许用于内部或开源工作的工具，以及被禁止的工具，包括任何服务上的个人帐户。
• 数据类： 哪些信息可能永远不会出现在提示信息中（客户个人数据、凭证、密钥、标记为机密的代码），哪些信息可能会出现在提示信息中，取决于客户在矩阵中的行。
• 帐号设定： 培训退出选项、保留期限和地区由中央配置，因此单个工程师无法更改它们。
• 审批途径： 谁负责添加工具，谁负责在项目开始前检查矩阵。
• 输出结果审核： 代码审查和许可证扫描，以便人工智能提供建议，因为助手可以复制第三方代码。
• 事件： 工程师粘贴错误后该如何处理，以及由谁决定应该告知客户还是有关部门。

为了约束员工，请将该政策制定为内部雇主文件，并要求每位工程师以书面形式确认；我们的雇佣合规工作涵盖内部规则的引入方式。如果工程师是通过记录雇主 (EOR) 聘用的，则 EOR 是他们的法定雇主，因此该政策必须通过EOR 安排及其与您签订的合同送达给他们。

谁拥有人工智能辅助输出的所有权？

根据亚美尼亚版权法（HO-142-N），作者是指创作作品的自然人，计算机程序只有在是作者原创创作成果的情况下才受版权保护。该法明确排除未经人类创造性活动而通过技术手段获得的结果。因此，完全由人工智能工具生成的代码不享有版权，也不可转让版权；而工程师使用人工智能工具编写的代码则可以受到版权保护。至于人工智能输出的代码在多大程度上会受到提示、选择或编辑而成为受保护的代码，目前尚无定论：尚未找到任何关于人工智能生成作品的亚美尼亚法院判例或官方指南。

对于受保护的代码，适用通常的所有权链：

• 员工人数： 除非合同另有规定，否则在雇佣关系存续期间所创造的经济权利归雇主所有。精神权利归工程师所有，不得转让。
• 承包商： 法律上没有任何规定。你需要一份书面授权。如果没有明确的措辞，根据《民法典》签订的许可协议是非排他性的，仅适用于亚美尼亚，并且如果未明确规定期限，则有效期为五年。
• 报酬： 作者放弃获得报酬权利的条款无效。

客户的知识产权转让条款只能转让贵公司拥有的知识产权。如果交付物包含机器生成的代码，或者助理从第三方项目中复制的代码，即使每位工程师都签署了相关文件，合同中的所有权保证也可能存在问题。我们的软件知识产权所有权审计方案阐述了如何核查从工程师到公司的知识产权链条。

个人数据：亚美尼亚法律新增内容

如果提示包含客户个人数据（用户记录、包含姓名或电子邮件的日志、用作测试数据的生产数据库摘录），则《个人数据保护法》（HO-49-N）适用于上传。

你的角色和职责

根据客户指示处理数据的亚美尼亚公司通常被视为“授权人”，类似于GDPR下的“数据处理者”。客户的授权必须以书面形式作出，并明确法律依据、处理目的、数据类别和数据主体、可能的接收者以及保护措施。如果授权不符合法律规定，公司必须拒绝授权并以书面形式警告客户。如果授权中未提及将数据上传至人工智能工具，则数据处理将超出授权范围。

法律依据和最小化

处理数据需要获得数据主体的同意、法律规定的推定同意情形，或明确的法定理由。亚美尼亚法律没有普遍的合法利益依据，数据不得用于与收集目的不同的用途。如果使用匿名数据即可完成任务，则禁止处理可识别数据；仅删除姓名可能无法使记录匿名化，因为该记录仍能间接识别某人。

向国外人工智能提供商转移资金

将个人数据传输到亚美尼亚境外的服务器属于跨境传输。如果目的地通过国际条约提供充分的保护，或列入个人数据保护局的合格国家名单，则无需获得许可。否则，传输必须事先获得该机构的许可，并签订经该机构批准的包含保障措施的合同。申请须在传输前以书面形式提出，并注明国家/地区、接收方、数据和传输目的；该机构将在30天内作出决定。数据主体的同意不能取代此项许可，人工智能提供商的标准数据处理附加条款也不等同于该机构的批准。

该机构于 2025 年 12 月批准了其充分性清单。该清单涵盖哪些国家，特别是它如何对待美国（大多数 AI 编码助手都在美国处理提示），目前正在根据该机构已公布的决定进行确认，因此在依赖该清单之前，请先核对提供商的处理区域是否在当前清单中。

安全与事件

法律要求您销毁或屏蔽不再需要的数据，使用加密技术保护数据，限制只有授权用户才能访问，并在雇佣期间及离职后对数据保密。如果数据从电子系统泄露，数据处理者必须立即公开宣布，并同时向警方和相关机构报告；没有72小时的宽限期，也没有风险阈值。一旦发现非法数据处理行为，必须在3个工作日内予以纠正，否则必须销毁数据并通知数据主体。未经授权将数据粘贴到人工智能工具中究竟属于数据泄露还是非法数据处理，目前尚未有定论。

《网络安全法》（HO-442-N）自2026年1月4日起生效，对包括IT和数字基础设施在内的关键行业的运营商规定了义务，但通常不包括微型和小型企业，除非它们运营关键基础设施。该法并未全面禁止向人工智能服务发送代码。如果您的客户数据包含欧盟居民的数据，则《通用数据保护条例》（GDPR）可能与亚美尼亚法律同时适用。

采购回应的证据

安全团队会要求提供文件。以下文件集可以回答大多数人工智能问题：

• 已批准工具政策和正在使用的工具注册表，包括帐户类型和设置；
• 权限矩阵中客户的行，以及它所依赖的任何书面批准；
• 员工培训和政策确认记录；
• 人工智能提供商的合同条款涉及训练、保留和处理地点，以及任何机构对传输的许可；
• 数据流图，显示网络中哪些数据会离开以及数据会去向哪里；
• 您的分包商名单和事故记录；
• 如果您持有 ISO 27001 证书，则可以提供该证书。例如，微软仅接受有效的 ISO 27001 证书来替代其安全部分的要求；其数据处理和人工智能方面的要求仍然适用。

更详细的问卷内容包含在我们的亚美尼亚供应商安全问卷清单中。首先根据每位客户的合同构建其对应的矩阵行；只有在填写完该行且所有必要的审批文件都已存档后，才能启用该客户项目的工具。

常见问题

上次更新时间：13年2026月XNUMX日