香港公司外包軟件開發：知識產權歸屬合約條款指南 2026

委託外包團隊開發軟件時，香港法例的預設是「開發方擁有版權」，而非付錢的一方。要取得知識產權，你必須在合約中以書面明訂版權轉讓（包括未來版權）、開源元件披露、AI 生成程式碼處理，以及源碼與帳戶交付義務。

這一點每年都令不少香港與跨國企業吃虧：專案驗收、付款完成、系統上線，直到要換供應商或要把產品賣給投資方做盡職審查時，才發現手上只有一份「使用權」，甚至連 Git repository 的 admin 權限都不在自己手上。本文以 2026 年的實務環境——跨境交付團隊、大量開源相依、AI 輔助編碼——重寫這份合約檢查清單。

為什麼 2026 年的 IP 條款比五年前更難寫？

三個結構性變化，把原本一段標準條文變成需要專門處理的章節。

第一，開發團隊天生跨境。一個典型的香港電商專案，可能由香港的產品負責人、台灣的前端、越南的後端、菲律賓的 QA 共同交付。每個司法管轄區對「出資聘人完成之著作」的預設歸屬規則都不同，單靠一句「所有成果歸客戶所有」無法穿透多層分包。

第二，程式碼裡的自有比例正在下降。Black Duck（前 Synopsys）的 Open Source Security and Risk Analysis 年度報告長期指出，其掃描的商用程式碼庫中超過 90% 含有開源元件。你買到的「客製系統」，實際自有著作可能只佔一小部分，其餘由數百個第三方授權條款拼合而成。

第三，AI 產出的程式碼歸屬未定。美國版權局（U.S. Copyright Office）在其 AI 著作權登記指引中明確表示，缺乏人類作者參與的內容不具可登記性。當外包團隊用 GitHub Copilot 或 Claude Code 生成大量樣板碼，「客戶擁有全部版權」這句話在法律上會出現空洞地帶。

同時，投入金額在上升。Gartner 的全球 IT 支出預測顯示，整體支出已跨過每年 5 兆美元的量級，其中軟件與 IT 服務是增長最快的分項。金額愈大，盡職審查愈嚴，IP 瑕疵的代價愈高。

香港法律的預設歸屬是什麼？

香港《版權條例》（第 528 章）的核心邏輯要先記住：

1. 作者是版權的第一擁有人。寫程式的人（或其僱主）預設擁有著作權，付錢委託的一方不會自動取得。
2. 僱員在僱傭過程中創作的作品，版權歸僱主。這是重要例外，但只適用於真正的僱傭關係。
3. 委託作品（commissioned works）沒有自動移轉機制。你與外判商簽的是服務合約，不是僱傭合約，因此第 2 點不適用。
4. 版權轉讓必須以書面作出並由轉讓人簽署。口頭承諾、報價單上的一句話、WhatsApp 對話，通常不足以構成有效轉讓。
5. 未來版權可以預先轉讓。條例允許就「將來的版權」訂立轉讓協議，這正是軟件開發合約必須用到的機制——簽約時程式碼還未存在。

把這五點拼起來，結論很直接：沒有寫進合約的東西，你就沒有。 香港知識產權署（IPD）在其中小企指引中亦反覆提醒委託方須以合約明訂歸屬。

專利、商標與商業秘密要分開處理

版權只保護表達，不保護構思。若外包團隊為你設計了一套獨特的物流路由演算法或支付對帳流程，可專利的部分（香港自 2019 年起可循原授標準專利途徑申請）與作為商業秘密保護的部分，都需要在合約中獨立列明歸屬與保密期限。只寫「Intellectual Property」一個籠統名詞，在爭議時往往被限縮解釋。

跨境團隊：各市場預設規則有何不同？

若你的交付團隊分佈在多個亞太市場，合約要處理的是「最弱的一環」。以下為各地委託作品的預設立場概要——這是條款設計的起點，不是法律意見。

台灣

《著作權法》第 12 條：出資聘請他人完成之著作，以受聘人為著作人；著作財產權依契約約定，未約定者歸受聘人享有，但出資人得利用該著作。換言之，不寫合約，你只得到「使用權」。

新加坡

2021 年生效的新《Copyright Act 2021》調整了委託作品規則，一般情況下創作者為預設擁有人（先前部分委託類別歸委託方）。IPOS 建議所有委託關係以書面轉讓處理。

澳洲

《Copyright Act 1968》下，委託作品原則上由作者擁有版權，僅少數類別（如特定用途的攝影、肖像）有例外。軟件開發不在例外之列。

中國內地

《著作權法》委託作品條文：著作權歸屬由委託人與受託人約定；沒有約定或約定不明的，著作權屬於受託人。

越南、馬來西亞、印尼、菲律賓

這些市場多數採「作者/受託人優先」的邏輯，並額外要求書面轉讓。越南 2022 年修訂的知識產權法進一步強化了登記與轉讓的形式要求。

實務結論：不要依賴任何一地的預設規則。用一份以香港法為準據法的主合約，加上要求供應商向下游分包商取得同等權利的「back-to-back」條款，把整條供應鏈鎖住。

合約中必須出現的九條核心條款

以下條文為說明性範本，用作與法律顧問討論的起點，不構成法律意見。

1. 現在及未來版權的全面轉讓

1The Supplier hereby assigns to the Client, with full title guarantee and
2by way of present assignment of present and future copyright, all
3Intellectual Property Rights in the Deliverables, whether existing now
4or created at any time during the Term, throughout the world, for the
5full term of such rights including all renewals and extensions.

中文合約可用「本供應商謹此將交付成果中之一切知識產權（包括現有及將來產生者）全部轉讓予客戶」。關鍵字是 present assignment of future rights——避免只寫 "shall assign"，那只是一項將來義務，供應商倒閉或拒絕配合時你將無法執行。

2. 進一步保證條款（Further Assurance）

要求供應商在轉讓後仍須配合簽署專利申請、版權登記、域名轉移等文件，並授予客戶在供應商不配合時的代簽授權（power of attorney）。這條在做投資盡職審查時經常救命。

3. 精神權利放棄

香港《版權條例》下作者享有署名權與反對貶損處理權。若你打算大幅改寫或白牌轉售，需取得作者書面放棄或不行使的承諾，並涵蓋個別開發人員而非只有公司實體。

4. 背景知識產權（Background IP）的定義與授權

供應商通常會帶入自己的框架、程式庫、腳手架。誠實的做法不是要求他們一併轉讓（多數不會答應，答應了也可能違反其對其他客戶的承諾），而是：

• 在附件中逐項列明 Background IP（名稱、版本、用途）；
• 就這些元件取得永久、全球、免權利金、可轉讓、可再授權的使用授權；
• 明訂未列明者一律視為 Foreground IP，歸客戶所有。

5. 分包與跨境團隊條款

1The Supplier shall procure that each of its employees, contractors and
2sub-contractors (including those engaged through affiliated entities in
3any jurisdiction) has entered into written agreements assigning to the
4Supplier all Intellectual Property Rights in the Deliverables, sufficient
5to give effect to the assignment in Clause X.

6. 開源元件披露與 SBOM 交付

要求每次里程碑交付時附上機器可讀的軟件物料清單（SBOM），並禁止在未經書面批准下引入 copyleft 授權（GPL、AGPL）元件。SPDX 已成為 ISO/IEC 5962 國際標準，Linux Foundation 的 OpenChain 亦已成為 ISO/IEC 5230 合規規範，兩者都可直接寫進合約作為驗收標準。

驗收時可用開源工具自行核查：

1# 產生 SPDX 格式 SBOM
2syft dir:./deliverable -o spdx-json > sbom.spdx.json
3
4# 掃描授權與已知漏洞
5grype sbom:./sbom.spdx.json
6
7# 深度授權掃描（含檔案層級授權標頭）
8scancode --license --copyright --json-pp scan.json ./deliverable

7. AI 生成程式碼條款

2026 年的合約若不處理這一段，等於留下一個黑洞。建議至少涵蓋：

• 供應商須披露使用的 AI 編碼工具（例如 GitHub Copilot、Cursor、Claude Code）及其企業方案設定；
• 保證所用工具已啟用公開程式碼過濾（GitHub 的 Copilot 企業方案提供 duplication detection filter 與 IP 賠償條款，見 GitHub 文件）；
• 就 AI 輔助生成的內容，供應商保證已由人類開發者作實質審閱與修改，並就第三方侵權作出賠償；
• 承認美國版權局立場：純機器生成內容可能無法登記版權，因此關鍵差異化邏輯應由人類撰寫並留下 commit 紀錄。

8. 交付與控制權條款

IP 歸你，但東西不在你手，等於沒有。合約應列明客戶自第一天起即為以下資產的擁有者或 owner 級帳戶持有人：

1. Git repository 組織帳戶（GitHub / GitLab Organization owner）
2. 雲端帳戶（AWS Organization、Azure Tenant、GCP Billing Account）
3. 域名、SSL、CDN、DNS
4. CI/CD pipeline 設定與 secrets 管理
5. 設計檔案原稿（Figma team ownership，而非匯出的 PNG）
6. 資料庫 schema、migration 腳本與環境變數清單
7. 完整的技術文件與部署手冊

9. 源碼託管（Escrow）作為後備

若供應商堅持保留部分平台原始碼（常見於自研 SaaS 模組），退而求其次是第三方源碼託管：約定觸發條件（供應商清盤、重大違約、停止支援）、託管內容須包含建置指令與相依清單，並每季驗證可重建。

資料保護與 IP 不是同一件事

很多合約把「資料歸客戶」與「IP 歸客戶」混為一談。在香港，《個人資料（私隱）條例》下的資料使用者責任不會因外判而轉移；私隱專員公署（PCPD）就外判處理發出的指引要求委託方以合約方式規管資料處理者。若團隊分佈於越南、菲律賓等地，還需處理跨境傳輸安排。至於歐盟客戶的資料，GDPR 第 28 條的處理者條款與標準合約條款（SCC）需與 IP 條款並列，而非替代。

實務上請把三份文件分開：IP 轉讓與授權附表、資料處理協議（DPA）、保密協議（NDA）。三者的存續期、賠償上限與終止效果都不同。

談判時的紅旗清單

看到以下措辭，先停下來：

• 「Supplier grants Client a perpetual licence to use the Deliverables」——這是授權，不是轉讓。
• 「IP shall transfer upon full payment」——本身合理，但要確認「full payment」定義清晰，且不包含未來維護費；否則你會被長期綁定。
• 「Supplier retains ownership of all tools, methodologies and know-how」——範圍過寬時，可能把你的核心業務邏輯歸類為 methodology。要求逐項列舉。
• 報價單附帶的標準條款（Ts&Cs）與主合約衝突，而主合約沒有 order of precedence 條款。
• 沒有任何開源披露義務。
• 供應商拒絕提供 repository 的 owner 權限，只給 write 權限。

一個匿名案例：拆分歸屬比爭奪全部更務實

Branch8 曾協助一家在香港上市的大中華珠寶零售集團，接手一套由前手供應商建置的訂單管理系統。移交時發現，前手合約只寫了「使用權」，而系統中同時混雜供應商自研的 PIM 模組與為客戶客製的分店調貨邏輯。

處理方式不是要求對方交出全部程式碼，而是把資產分層：客製的業務邏輯層以書面轉讓取回；供應商的通用模組改以永久、可轉讓授權加源碼託管處理；同時要求交付以 syft 產生的 SPDX SBOM，逐項核對開源授權相容性。分層之後，換供應商的成本從「重寫全部」降到「重寫一層」。這個做法的代價是談判時間拉長，以及要接受部分模組永遠不會屬於你——但它可以談成，而「全部給我」通常談不成。

把亞洲當作交付樞紐時，如何維持單一 IP 鏈條？

對美、英、歐企業而言，以香港或新加坡為合約與 IP 主體、實際交付分佈於台灣、越南、馬來西亞、菲律賓與澳洲，是常見且有效的結構——時區覆蓋、監管熟悉度、語言能力都是實質優勢，而非單純成本考量。但這個結構有一個前提：IP 鏈條不能斷。

落地做法：

1. 單一簽約主體：與一個實體簽約（例如香港或新加坡公司），由該實體負責向所有關聯公司與個人取得權利，並在合約中作出保證。
2. 準據法與爭議解決：香港法或新加坡法配合 HKIAC 或 SIAC 仲裁，是跨境專案較常見的組合；WIPO 亦提供專門處理科技與 IP 爭議的仲裁與調解中心。
3. 個人層級的轉讓紀錄：要求供應商保存每位參與者的 IP 轉讓確認（包括自由工作者），並在專案結束時交付清單。
4. Commit 身分可追溯：強制使用公司電郵的 signed commits，讓日後盡職審查能對應「誰寫了什麼」。

1# 驗收前快速盤點貢獻者，對照 IP 轉讓名單
2git log --format='%an <%ae>' | sort -u
3
4# 檢查是否有未簽署的 commit
5git log --show-signature --pretty="%h %G? %an" | grep -v " G "

驗收前的最後檢查清單

在付最後一期款之前，逐項確認：

1. 已簽署的 IP 轉讓文件（公司層級 + 個人層級）已收妥。
2. Background IP 附表已填寫並附授權條款。
3. SBOM 已交付，且無未經批准的 copyleft 元件。
4. AI 工具使用已披露，過濾設定有書面確認。
5. 所有帳戶的 owner 權限已在客戶手上，供應商帳號降級為協作者。
6. 源碼可在乾淨環境中依文件重建（實際跑一次，不要只看文件）。
7. 精神權利放棄書已取得。
8. DPA 與 NDA 的存續條款已確認。
9. 若有託管安排，託管內容已完成首次驗證。

這九項全綠，才叫交付完成。

下一步

Branch8 總部設於香港，交付團隊分佈於新加坡、台灣、越南、馬來西亞、印尼、菲律賓與澳洲，長期為亞太、美、英、歐客戶處理跨境軟件交付與供應商接手專案。若你正在準備一份外包開發合約，或需要在更換供應商前釐清現有系統的 IP 與帳戶狀況，歡迎與我們的團隊談談交付結構與技術盤點的做法。（本文為一般資訊，非法律意見；正式條款請諮詢你的法律顧問。）

Sources

• 香港電子版香港法例 — 《版權條例》（第 528 章）
• 香港知識產權署 — Intellectual Property Department
• Intellectual Property Office of Singapore (IPOS)
• 經濟部智慧財產局（TIPO）
• U.S. Copyright Office — Copyright and Artificial Intelligence
• GitHub Docs — GitHub Copilot
• SPDX — Software Package Data Exchange (ISO/IEC 5962)
• OpenChain Project — ISO/IEC 5230
• 香港個人資料私隱專員公署（PCPD）