企业泄密不只来自内部员工，更多发生在合作边界：代工厂留了完整设计图，外包团队拷走算法，标注公司拿到原始训练集，远程开发把代码传私人云盘，跨境协作把未公开模型权重发到境外服务器。2026年《商业秘密保护规定》已把数据、算法、计算机程序、代码纳入技术信息，把经营数据纳入经营信息，并针对远程办公、跨境协作提出权限分级、数据脱敏、操作日志留痕等要求。 这类场景要控住，得让商业秘密律师把“合同+权限+销毁”做成一条线。

先定什么能给对方。很多企业和代工方只写“不得泄露技术资料”，没列可接收范围，纠纷时既说不清给了什么，也说不清对方超范围用了什么。律师会按密点白名单披露：生产端只给制造必需图纸，不给完整设计源文件；给工艺参数但剥离核心配方比例；给测试用例但不给原始训练集；给集成文档但不给未公开架构决策。对AI项目，训练数据分“原始数据、清洗规则、标注规范、特征工程、模型微调策略”五层，外包只拿脱敏样本和标注手册，核心特征规则留内部。 这样即使合作方换人，也不会把最值钱部分带走。

合同层要做附属技术附件。主保密协议写保密范围、使用目的、禁止反向工程、禁止二次披露、项目结束返还销毁；技术附件写可接收文件清单、版本号、字段范围、服务器地址、访问人。对云服务商、算力供应商、标注外包，加数据脱敏、加密传输、隔离环境、操作日志留存、审计权条款。对供应商、经销商，限制其把采购价格、成本结构、未上市产品计划用于自身或其他客户。市监新规把教唆、引诱、帮助他人侵权，以及第三人明知或应知仍获取、披露、使用秘密纳入规制，所以合同还要约束“接受方再转分包”的保密责任。

远程和跨境是重点红线。律师会要求远程研发走企业VPN和私库，禁止个人邮箱、私人网盘、个人电脑本地长期存原文件；敏感字段脱敏，所有clone、pull、download、print留账号和时间戳；跨境协作先做接收方尽调，看当地保密义务可执行性、是否能接受中方审计。重要模型权重、未公开临床数据、核心工艺参数原则上不出境；确需联合开发，采用脱敏样本、最小化字段、同态或联邦等受限方案。新规还明确，未经授权进入办公系统、服务器、邮箱、云盘，或擅自把商业秘密下载、传输至权利人控制范围之外，可构成不正当手段。 这和《数据安全》《个人信息保护》交叉，律师会把“纯商业秘密”“含个人信息数据”“重要数据”三张清单分开，避免把受个人信息保护义务约束的数据误当普通秘密外发。

供应链保密还要有退出机制。项目结束不是发个“谢谢”就完事：律师会列交接单，要求合作方返还或出具销毁证明，删除其服务器和笔记本中的原文件，收回API密钥和数据库账号；一定期限内保留审计权。若发现代工方用相同工艺接竞品、外包方把标注规范用于其他客户，可先发律师函要求停止，再按合同违约、民事商业秘密侵权并行处理；涉及系统入侵、批量拷贝的，向市监举报或评估刑事路径。

数字资产时代，商业秘密律师的工作不只是写NDA，而是把“披露可控制、使用可追踪、泄露可举证”放进研发和供应链流程。企业做代工、外包标注、远程开发、出海联合研发前，先让律师出一份保密矩阵和密点表，比事后追损失成本低得多。