重点议题 · 03
AI 与个人信息、数据合规
贯穿模型预训练、RAG知识库构建及外部API调用全生命周期，严格审查合法性基础、知情同意规范、数据留存周期、出境合规路径与合作退出机制。
业务数据与个人信息输入 AI 模型后，如何防范二次训练与越权滥用？
适用情形
- 员工或业务团队将客户敏感资料、内部文件输入公网大模型
- AI 产品处理敏感个人信息、生物识别特征或开展精准用户画像
- 跨国采购境外商业模型 API、云服务、数据标注及算力托管服务
- 利用生产真实数据开展模型评测、微调优化或算法敏捷迭代
审查重点与准备材料
- 01编制 AI 数据资产清单，厘清数据类型、敏感度、流向及境外接收方
- 02审查供应商服务协议，明确数据训练使用、留存及删除安排
- 03完善隐私政策、告知同意文本与个人信息主体权利响应通道
- 04制定数据安全事件应急预案，明确数据删除、迁移及退出销毁标准
相关案例
案例分析
以下案例涉及不同技术和程序阶段。可结合各案事实比较责任认定与处理结果，并留意其适用范围。
德国
欧盟 SCHUFA 评分案
信用机构自动生成评分并交由银行等客户使用。欧盟法院判断，当评分对第三方决定发挥决定性作用时，该活动可构成受《通用数据保护条例》第二十二条约束的自动化个体决策。
初步裁决判决（欧盟法解释）
- 当第三方在合同决定中关键性地依赖信用评分时，自动生成评分本身属于GDPR第22(1)条的自动化个体决策。
- 该活动原则上被禁止，除非适用第22(2)条例外并满足相应保障；仍须满足GDPR其他要求，不能仅以第6条一般合法性依据代替。
欧盟自动化决策解释案
欧盟法院解释GDPR第15(1)(h)条，要求以简明、透明、可理解的方式说明自动化决定实际采用的程序与原则，使个人能够理解并质疑结果。展示个人数据变化如何改变结果，可以是提供解释的一种方式。
初步裁决判决（欧盟法解释）
- 解释应让个人理解实际采用的程序与原则并能够质疑决定，单独交付复杂公式或列出全部步骤未必满足可理解性要求。
- 展示数据变化如何改变结果是可选解释方法之一，不是每案固定格式，也不等于要求公开完整算法。
荷兰 SyRI 风险画像案
荷兰政府以多部门数据建立社会福利欺诈风险画像。法院认为相关制度缺乏足够透明度和可核查性，对私人生活的干预没有形成合理平衡。
民事一审判决，政府未上诉
- 法院认定SyRI的法定保障不足，未在反欺诈目的与私人生活保护之间达到公平平衡，违反《欧洲人权公约》第8(2)条。
- 法院宣告SUWI法第65条及实施法令第5a章相关规定不具有约束力，不是宣告一切政府数据共享无效。
荷兰 Ola 司机数据案
英国司机要求访问Ola用于评分、反欺诈、收入画像、派单与扣款的个人数据及自动化决定信息。2021年一审部分支持请求；2023年阿姆斯特丹上诉法院进一步认定本案欺诈概率评分、收入画像及派单具有显著影响，要求Ola补充说明。
一审裁定；2023年4月4日上诉部分撤销
- 上诉法院部分撤销一审，认定涉案欺诈概率评分、收入画像和派单属于具有显著影响的纯自动化决定，适用GDPR第22(1)条及第15(1)(h)条。
- Ola应说明相关因素、汇总层面的权重及理解决定理由所需信息；本案Guardian异常提醒未被认定达到相同门槛。
配套专项服务
相关专项服务
适用法规与治理指引
相关法规与治理文件
研究团队