标准软件合同模板无法覆盖AI项目的特殊风险。AI企业需要在5类核心合同中增加数据训练限制、幻觉责任、模型停更等特殊条款。
一、AI开发协议：8个核心条款
条款清单
| 序号 | 条款 | 核心要点 |
|---|---|---|
| 1 | 知识产权归属 | 明确模型架构、训练参数、衍生作品的权属 |
| 2 | 数据所有权 | 明确客户数据、训练数据、模型输出数据的权属 |
| 3 | 性能指标(SLA) | 定义模型准确率、响应时间、可用性等 |
| 4 | 数据隐私与安全 | 数据处理方式、存储、传输、销毁要求 |
| 5 | 侵权责任 | 模型输出侵权、数据泄露、算法歧视责任归属 |
| 6 | 模型停更/弃用 | 约定模型更新、停更、替代方案 |
| 7 | 合规承诺 | 遵守生成式AI管理办法等法规 |
| 8 | 验收标准 | 交付物标准、验收流程和缺陷处理 |
关键风险点
幻觉责任： AI模型可能输出错误信息（“幻觉”），导致用户损失。开发协议必须约定：
- 幻觉导致的损失由谁承担
- 是否有赔偿上限
- 是否有免责条款
API依赖披露： 深圳中院2025年案例中，软件核心功能调用非开源外部API但未披露，且未提供源代码，被判决解除协议、退还30万元、赔偿损失。
二、模型许可协议：5个关键限制
| 限制类型 | 说明 | 典型案例 |
|---|---|---|
| 商用授权 | 是否允许商用 | Apache 2.0允许；部分许可证限制 |
| MAU门槛 | 月活超过阈值需单独申请 | Llama 3月活超7亿需向Meta申请 |
| 竞品限制 | 禁止用于训练竞争性模型 | Llama 3明确禁止 |
| 衍生命名 | 衍生模型需遵守命名规则 | Llama衍生模型需带"Llama" |
| 背景IP | 供应商背景IP的许可范围 | 需明确期限、是否可转让 |
三、数据处理协议(DPA)：11个必备条款
法规依据
国家数据局、市场监管总局2025版《数据委托处理服务合同》示范文本 + GDPR第28条。
必备条款清单
| 序号 | 条款 | 核心要求 |
|---|---|---|
| 1 | 处理目的与期限 | 明确数据处理目的、范围和期限 |
| 2 | 处理内容 | 列明数据类型、类别、数据量 |
| 3 | 安全措施 | 加密、访问控制、操作留痕 |
| 4 | 人员安全 | 接触数据人员保密义务 |
| 5 | 转委托限制 | 未经同意不得转委托 |
| 6 | 数据返还与删除 | 服务结束后30日内书面确认删除 |
| 7 | 安全事件通报 | 发生泄露立即通报 |
| 8 | 跨境传输 | 依数据跨境法规办理 |
| 9 | 违约责任 | 继续履行、补救、赔偿 |
| 10 | 审计权 | 委托方有权审计 |
| 11 | 数据主体权利协助 | 协助处理数据主体请求 |
四、API使用协议：9个核心条款
| 条款 | 要点 |
|---|---|
| 使用范围 | 调用范围、配额限制、调用频率 |
| 身份认证 | API Key、OAuth2等认证方式 |
| SLA | 可用性、响应时间、故障赔偿 |
| 内容安全 | 内容审核、过滤策略 |
| 数据使用 | API提供方是否使用客户数据训练模型 |
| 知识产权 | API返回结果的权属 |
| 责任限制 | API故障、输出错误导致损失的责任 |
| 终止与变更 | 停更、变更通知期和过渡安排 |
| 合规承诺 | 遵守相关法律法规 |
重要提示： 调用境外大模型API（如OpenAI）面向国内公众服务，不仅需要API协议，还需要算法备案、大模型登记和数据出境安全评估。重庆案例中，直接调用境外API被罚款3-5万元。
五、AI SaaS合同：10个特殊条款
传统SaaS条款无法覆盖AI特殊风险，以下条款必须单独谈判：
| 条款 | 风险 |
|---|---|
| 数据训练限制 | 传统条款中"改进产品"可能被解释为允许使用客户数据训练AI |
| 输出IP归属 | AI生成内容的知识产权归属 |
| 幻觉责任 | 模型输出错误导致损失的赔偿 |
| 模型可解释性 | 要求供应商提供可解释性说明 |
| 偏见与歧视 | 供应商对模型偏见的监控和缓解 |
| 模型停更与替代 | 停更通知期、数据迁移、替代方案 |
| 合规认证 | SOC 2、ISO 27001等 |
| 审计权 | 对数据处理活动的审计 |
| 数据主权 | 数据存储地域、跨境限制 |
| 赔偿上限 | AI特有风险的赔偿条款 |
关键风险
“暗藏训练许可"陷阱： 传统SaaS条款中的"改进产品"“构建"“增强"等表述可能被解释为允许供应商使用客户数据训练AI模型。客户需在合同中明确限制。
六、合同纠纷案例
案例一：AI数字人开发合同纠纷（深圳中院，2025年）
事实： 软件核心功能调用非开源外部API，未披露依赖关系，未提供源代码。 判决： 解除协议，退还30万元，赔偿损失。一人公司股东承担连带责任。
案例二：AI服务器算力买卖合同纠纷（北京怀柔法院，2026年）
事实： 买方支付300万元诚意金后未能支付剩余货款，卖方将服务器运离并出售。 判决： 买方赔偿1640万元。
教训
- API调用必须在合同中明确约定（来源、是否开源、商用授权）
- 源代码交付义务必须明确
- 违约金与赔偿范围需具体约定
- 一人公司股东需注意财产独立性问题
常见问题
Q：标准SaaS合同能不能直接用于AI产品？ A：不能。标准SaaS合同缺少数据训练限制、幻觉责任、模型停更、偏见监控等AI特殊条款。直接使用可能导致客户数据被用于训练供应商的模型。
Q：DPA必须在什么时候签？ A：在数据处理开始前签署。如果涉及个人信息处理，DPA是法定要求，不是可选条款。
Q：调用第三方API，客户数据被用于训练怎么办？ A：在API使用协议中明确约定"API提供方不得将客户数据用于模型训练”。Anthropic等已承诺不对付费服务客户数据进行AI训练。如已发生，可依据合同主张违约。
本文依据国家数据局/市场监管总局2025版DPA示范文本、GDPR第28条及司法案例编写。如需AI企业合同审查或起草服务，请联系 简深律师事务所。