大模型训练数据的隐私合规：PIPL框架下的数据训练合法性基础
作者：王冠 律师 | 企业常法与人工智能和数字经济
2024年，全球生成式人工智能市场迎来爆发式增长。以ChatGPT、通义千问、文心一言为代表的大语言模型在短短两年时间内完成了从技术突破到商业落地的跨越。然而，在这场技术狂欢的背后，一个根本性的法律问题始终悬而未决——大模型的训练数据究竟如何合法取得？
OpenAI、Google、Meta等科技巨头在全球范围内遭遇了数十起与训练数据相关的集体诉讼，涉及版权侵权、隐私侵犯、肖像权滥用等多个法律领域。在中国，《中华人民共和国个人信息保护法》（以下简称"PIPL"）自2021年8月施行以来，已经成为约束AI训练数据处理行为的核心法律框架。本文将系统分析PIPL对AI训练数据的合规要求，深入探讨告知同意原则、匿名化处理、最小必要原则等关键制度在AI训练场景中的适用困境，并提出企业合规实操建议。
一、个人信息保护法对AI训练的核心约束
（一）PIPL的域外效力与适用范围
PIPL第3条确立了广泛的域外适用效力：在中华人民共和国境内处理自然人个人信息的活动适用本法；在境外处理中华人民共和国境内自然人个人信息的活动，若以向境内自然人提供产品或者服务为目的，或者为分析、评估境内自然人的行为，亦适用本法。这意味着，全球任何AI企业只要将中国自然人的个人信息纳入训练数据集，就可能受到PIPL的管辖。
从适用对象看，PIPL将个人信息处理者分为两类：一类是"个人信息处理者"——独立决定处理目的和处理方式的组织、个人；另一类是"委托处理方"——按照个人信息处理者的指示处理个人信息。在AI训练场景中，模型开发者通常属于个人信息处理者，而数据标注服务商、数据清洗服务商则可能属于委托处理方。两类主体的合规义务存在差异：个人信息处理者承担全面的合规主体责任，而委托处理方主要通过合同约束履行义务。
2024年，国家互联网信息办公室发布的《个人信息保护合规审计管理办法》进一步强化了对个人信息处理活动的监管力度，要求处理超过100万人个人信息的处理者应当每年开展一次合规审计。这一要求对拥有海量训练数据的AI企业影响深远。
（二）PIPL确立的核心处理原则
PIPL在第5条至第9条确立了个人信息处理的基本原则，这些原则构成了AI训练数据处理的基本遵循：
合法、正当、必要和诚信原则。数据处理应当具有明确、合法的目的，不得通过误导、欺诈、胁迫等方式获取数据。在AI训练场景中，这一原则要求数据处理者有明确的合法性基础，不得"先收集、再想用途"。
目的限制原则。处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关。AI训练数据的收集目的在数据采集之初就应当明确界定，后续对数据的再利用不得超越原定目的范围。
公开透明原则。个人信息处理者应当公开个人信息处理规则，明示处理的目的、方式、范围。对于AI训练而言，透明度要求意味着数据主体有权知晓其个人信息是否被用于AI模型训练。
数据质量原则。处理者应当保证个人信息的准确性、完整性。在AI训练场景中，低质量的训练数据不仅影响模型性能，还可能因数据错误导致决策偏差，进而产生法律责任。
二、告知同意原则在AI训练场景的适用困境
（一）"告知—同意"作为核心合法性基础
PIPL第13条列举了个人信息处理的七类合法性基础，其中"取得个人同意"被列为首位。在AI训练场景中，"告知—同意"原则面临的挑战最为突出：
第一，数据规模的不可兼容性。大模型的训练数据通常达到数十亿甚至数万亿级别，涉及数以亿计的个人信息主体。逐一取得每位数据主体的"明确同意"在操作层面几乎不可行。即便采取"选择加入"（opt-in）机制，极低的同意率也将导致训练数据规模严重不足，进而影响模型质量。
第二，数据再利用的目的限制困境。大量训练数据来源于公开数据集、网络爬虫和历史积累数据。在原始数据采集时，数据主体并未被告知其信息将被用于AI模型训练。PIPL第14条要求，处理目的、处理方式和个人信息种类发生变更的，应当重新取得个人同意。这一规定从文本上与AI训练对海量数据的需求形成了结构性矛盾。
第三，同意撤回的技术障碍。PIPL第15条赋予数据主体撤回同意的权利。但在大模型训练完成后，已训练的数据对模型参数的影响已经固化，从模型中"删除"特定数据在技术上极为困难甚至不可能。这一"数据遗忘"的技术难题在实践中导致了个人的撤回权形同虚设。
（二）替代合法性基础的适用探讨
鉴于"告知—同意"在AI训练场景中面临的根本性困境，学界和实务界开始探索替代合法性基础的可能。
履行合同所必需。PIPL第13条第1款第2项规定，为订立、履行个人作为一方当事人的合同所必需，可以处理个人信息。这一基础是否适用于AI训练？通常认为，AI模型训练与用户使用AI服务之间的合同关系并不直接相关，不宜作为训练数据处理的合法性依据。但在某些场景中——例如AI根据用户的历史使用数据优化个性化推荐——这一基础可能具有适用空间。
法定职责或法定义务。PIPL第13条第1款第3项规定，为履行法定职责或法定义务所必需，可以处理个人信息。AI企业通常并不承担特定的法定数据处理义务，这一基础适用于AI训练的可能性较低。
公共利益。PIPL第13条第1款第4项规定，为应对突发公共卫生事件或在紧急情况下保护自然人的生命健康和财产安全所必需。AI在公共卫生监测、疾病防控、灾害预警等场景中的训练数据处理，可能援引公共利益基础。但这一宽泛的条款在严格解释下，难以作为商业AI模型训练的普遍合法性依据。
有学者提出，应当在PIPL框架下增设"科学研究或统计目的"作为独立的合法性基础，为AI模型的训练数据使用提供明确的法律依据。这一建议已得到立法部门的关注，2024年公布的《人工智能法（学者建议稿）》中即包含类似条款。
合理使用。参考著作权法中的"合理使用"制度，有观点主张在AI训练场景中引入"数据合理使用"概念，将非商业性的、不影响数据主体权益的小规模数据处理排除在合规红线之外。但这一建议在国际上争议极大，欧洲数据保护委员会（EDPB）在2024年发布的AI训练数据指南中明确拒绝了"合理使用"的广泛适用。
三、匿名化处理的合规要求
（一）匿名化与去标识化的法律区分
PIPL第73条明确区分了"匿名化"和"去标识化"两个概念：匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程；去标识化则是指在不借助额外信息的情况下无法识别特定自然人的过程。两者的核心差异在于"可复原性"——匿名化的数据不可复原，不属于个人信息；而去标识化的数据仍属于个人信息，受到PIPL的全部约束。
这一区分对于AI训练具有决定性意义：如果训练数据实现了真正的"匿名化"，则不再受PIPL的规制，数据处理者可以自由使用。但问题的关键在于——在AI训练场景中，真正的匿名化是否存在？
（二）匿名化在AI场景中的技术挑战
近年来，多项研究表明仅去除姓名、身份证号等直接标识符并不足以实现匿名化。在AI训练场景中，匿名化面临以下技术挑战：
关联攻击风险。通过多个数据集的交叉比对，可以从看似匿名的数据中重新识别出特定个体。2023年，德国某研究团队通过分析某大语言模型的训练数据，成功从匿名化的医疗数据中还原了部分患者的诊断信息。这一案例表明，传统的匿名化技术在大数据环境和AI分析能力面前可能不堪一击。
模型反推风险。即使训练数据本身经过匿名化处理，经过训练的模型仍可能通过成员推断攻击（Membership Inference Attack）等方式，推断出特定数据是否存在于训练集中，甚至部分还原训练数据的内容。2024年，某研究团队成功从开源大模型中提取出了数十万条训练数据中的明文个人信息，引发了全球隐私领域的强烈震动。
这些技术挑战导致各国监管机构对AI训练场景中的"匿名化"保持高度审慎态度。欧洲数据保护委员会明确表示，在当前的AI技术条件下，声称训练数据已经完全匿名化通常难以成立，数据处理者应当承担更重的数据保护义务。
（三）匿名化的合规操作指南
尽管匿名化难以在绝对意义上实现，但企业仍应尽可能采取最高标准的匿名化处理措施，以降低合规风险：
第一，采用差异隐私（Differential Privacy）技术。差异隐私通过在训练数据或梯度更新中添加可控噪声，在保持模型整体性能的前提下，为单个数据记录提供可量化的隐私保护。Apple、Google等企业已在AI训练中广泛应用差异隐私技术。
第二，实施数据屏蔽和泛化处理。对个人信息中的敏感部分进行屏蔽（如将姓名替换为占位符）或泛化处理（如将精确年龄替换为年龄段），增加重识别难度。
第三，建立匿名化效果评估机制。定期对匿名化处理的效果进行技术评估，动态检测匿名化措施是否足以抵御当前技术水平下的重识别攻击。
第四，签署数据处理协议和相关法律承诺。即使经过匿名化处理，数据处理者也应当在法律文件中承诺不再尝试重新识别数据主体，并就此承担严格的违约责任和侵权责任。
四、数据训练中的最小必要原则
（一）最小必要原则的法律内涵
PIPL第6条规定："收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。"这被称为"最小必要原则"。在AI训练场景中，最小必要原则要求数据处理者只能在实现模型训练目的所必需的范围内收集和使用个人信息。
然而，最小必要原则在AI训练中的适用面临一个根本性悖论：大模型的质量与训练数据规模和多样性呈正相关。严格限定"最小范围"可能在客观上降低模型性能，尤其是在需要大量多样化数据来实现泛化能力的场景中。
（二）场景化适用：平衡数据需求与隐私保护
学界和监管机构正在探索最小必要原则在AI训练场景中的场景化适用路径。
第一，目的明确性要求。AI企业应当在训练开始前明确界定模型的预期用途和所需的数据范围，而非"先收集数据，再探索用途"。这一要求与PIPL的目的限制原则相呼应，要求数据处理者建立清晰的数据治理框架。
第二，数据类型最小化。尽量选择对隐私影响最小的数据类型。例如，在可以使用行为数据实现相同训练目的的情况下，避免收集生物识别信息、医疗健康信息等敏感个人信息。
第三，数据量合理化。在保障模型性能的前提下，合理确定所需训练数据的最小规模。这一判断需要技术团队与合规团队的密切协作，通过消融实验等科学方法确定必要的数据量级。
第四，留存期限限制。训练完成后，及时删除原始数据，仅保留必要的模型参数和架构信息。PIPL第19条规定，个人信息保存期限应当为实现处理目的所必要的最短时间。AI企业应当建立数据留存策略，明确训练数据的保存期限和到期处置方案。
（三）敏感个人信息的特殊保护
PIPL第28条至第32条对敏感个人信息设定了更高标准的保护要求。敏感个人信息包括生物识别、金融账户、行踪轨迹、医疗健康、不满十四周岁未成年人个人信息等。AI训练如果需要使用敏感个人信息，需要满足以下条件：
第一，具有特定的目的和充分的必要性。AI企业需要证明使用敏感个人信息对于训练目的的达成具有不可替代的必要性，且在无法通过一般个人信息实现同等效果的情况下方可使用。
第二，取得个人的单独同意。与一般个人信息不同，敏感个人信息的处理需要取得个人的"单独同意"，不能以格式条款方式笼统获取。
第三，进行个人信息保护影响评估。PIPL第55条要求处理敏感个人信息前进行个人信息保护影响评估，并在处理过程中持续监测评估。评估报告应当包括数据处理的必要性、对个人权益的影响、安全风险及应对措施等内容。
2024年，国家网信办在人工智能训练数据合规指引中特别强调，涉及生物识别信息、医疗健康信息等敏感信息的AI训练，应当进行专项评估并向监管部门备案。
五、企业合规实操建议
（一）建立全生命周期的数据治理体系
AI企业应当构建覆盖"数据采集—数据清洗—模型训练—模型部署—数据删除"全生命周期的个人信息保护合规体系。具体措施包括：
- 建立数据分类分级管理制度，明确区分个人信息、敏感个人信息和非个人信息；
- 建立数据来源追溯机制，清晰记录每一条训练数据的来源和合法性依据；
- 设立数据保护官（DPO）岗位，负责训练数据合规的管理和监督工作；
- 制定和发布数据处理规则，向用户明示其个人信息被用于AI训练的实际情况。
（二）多元化合法性基础的构建
鉴于告知同意原则在AI训练场景中的适用困境，建议企业构建多元化的合法性基础体系：
- 对于新增数据，采取清晰的告知同意机制，在用户协议中明确说明数据将被用于AI模型训练，并提供选择退出（opt-out）机制；
- 对于历史数据，评估是否可以在"合理期待"框架下继续处理（即在数据采集场景下，数据主体能否合理预期其数据会被用于AI训练）；
- 对于公开数据集，严格审查数据集的来源合法性、数据主体是否已就被公开处理给予同意；
- 对于合成数据，优先使用完全不包含个人信息的合成数据或差分隐私处理后的数据。
（三）技术性合规措施的落地
法律合规最终需要技术手段来落地实现。建议AI企业投资建设以下技术能力：
- 数据发现与分类引擎：自动识别和分类训练数据中的个人信息和敏感个人信息；
- 隐私增强技术（PETs）：集成差异隐私、联邦学习、安全多方计算等技术，从根本上降低数据隐私风险；
- 数据删除与遗忘工具：建立支持数据主体行使删除权和撤回同意权的技术通道；
- 数据保护影响评估自动化平台：建立数据处理活动的自动记录、评估和审计系统。
（四）跨境训练的特别合规注意
对于涉及跨境数据传输的AI训练场景，企业还需要满足PIPL第三章关于个人信息跨境提供的特殊要求。2024年生效的《促进和规范数据跨境流动规定》对AI训练场景中的跨境数据传输提供了部分豁免安排，但前提条件严格：
- 训练数据应当经过充分匿名化处理；
- 境外接收方应当具备同等级别的数据保护能力；
- 数据处理者应当进行个人信息保护影响评估；
- 涉及重要数据的，还应当按照国家数据安全管理制度进行安全评估。
结语
大模型训练数据的隐私合规问题，本质上是一场法律原则与技术现实之间的"适应性进化"。PIPL作为我国个人信息保护的基本法，其确立的告知同意、目的限制、最小必要、匿名处理等原则，在AI训练场景中固然面临适用困难，但这并不意味着法律应当向技术做出无原则的让步。恰恰相反，一个成熟的法律体系应当既能够为技术创新提供确定性的合规预期，又能够确保个人信息权益不因技术发展而受到系统性侵蚀。
AI企业在追求模型性能和技术领先的同时，必须将个人信息保护嵌入产品设计和运营流程的核心——这不是阻碍创新的法律负担，而是赢得用户信任、构建可持续商业模式的竞争壁垒。在"合规即竞争力"的数字经济时代，率先建立完善的训练数据合规体系的企业，将在全球AI竞争格局中获得无可替代的制度优势。