当AI使用个人信息进行训练,如何界定“合理范围”

上海交通大学凯原法学院副教授沈健州指出，生成式AI需要事先投入大量语料数据进行预训练，从实践情况来看，绝大多数生成式AI的训练语料主要来源于网站上的公开数据，其中可能包含大量个人信息。

有观点认为，利用公开个人信息数据进行AI大模型预训练并不会增加信息主体受损害的风险。

沈健州不认同这种观点。他说：“公开的个人信息通常处于分散、混杂的状态，其受到关注的程度也较低。这意味着，即便个人信息已经公开，信息主体在他人心中面目清晰的程度也是较低的。但生成式AI可以轻易地将原本处于分散、杂乱状态的个人信息高度聚合，从而极大升高信息主体在他人心中面目清晰的程度。生成式AI可以根据公开个人信息，系统梳理某特定主体的行为事迹、既往言论等，从中推测其性格、喜好甚至人际关系，并在此基础上进行详尽的人物综述和性格画像。如此，原本复杂的‘人肉搜索’便可能通过生成式AI一键完成。”

这就涉及对个人信息的保护。

“要使数据不承载个人信息，需要将所有个人信息从数据中完全剔除，这在当下难以实现；而一旦数据承载个人信息，存储和利用数据的行为便属于个人信息保护法所规定的个人信息处理行为，需要逐一取得海量信息主体的同意，这同样存在困难。”沈健州认为，要使生成式AI技术健康有序发展，有必要在个人信息保护与技术发展之间寻求平衡。

“对于个人自行公开的信息，‘合理的范围’应当充分考量信息公开的用途和目的。例如，高校教师在学院官网公开自己的联系方式，通常是为了方便学术交流和教学联络等，而不是为了接收广告，因此通过公开的联系方式发送广告便超出了信息处理的合理范围。”沈健州认为。

北京航空航天大学人文与社会科学高等研究院院长、法学院教授龙卫球对个人信息保护法第二十七条的理解是，应对该条严格解释，不应宽松。因为AI技术本身具有强大的数据和信息聚合能力，能把很多分散的个人信息聚合起来，形成聚合效果——人物画像、人肉搜索可以一键完成，这对个人信息保护带来严峻挑战。鉴于此，AI在需要使用公开个人信息训练时，在个人信息保护法层面还应当同时结合自动化决策条款（第二十四条）对其行为加以规制。

个人信息保护法第二十四条规定：个人信息处理者利用个人信息进行自动化决策应当保证决策的透明度和结果公平公正。

龙卫球补充，对于通用型AI和垂直类AI，适应个人信息保护法第二十七条的原则也不同。他认为几乎找不到通用型AI使用个人信息的合理范围——将个人画像拉入通用AI，使其成为通用能力，开放于所有可能的用途，这样AI的存在本身就是对人的最大威胁。

“合理范围主要出现在特定行业大模型或具体场景应用中，比如，医疗大模型。”龙卫球说。

沈健州认为，个人信息保护法第六十九条明确规定了个人信息侵权适用过错推定责任，其核心原因之一是证据偏在于信息处理者一方。相较于信息主体，信息处理者更清楚个人信息的处理方式和处理过程，因此法律直接推定处理者对于损害的发生存在过错，由处理者自行举证证明自己没有过错。

“但在将个人信息数据用于生成式AI训练的过程中，可能存在技术黑箱的问题。不同于一般场景下的个人信息处理，在将数据投入AI大模型训练时，服务提供者可能也无法全然掌握大模型对个人信息数据的处理方式。”沈健州认为，如果服务提供者实际上没有自证清白的能力，过错推定责任便可能异化为无过错责任，从而无形中加重服务提供者负担。

对此，中国人民公安大学教授苏宇提出，关于“生成式AI服务提供者没有办法证明自己没有过错”这一点，学界有的专家持不同观点，他们认为，科技企业证明自己没有过失并非难事，他们有一整套成熟的合规体系。

有观点提出，应当允许服务提供者以符合行政监管要求作为不承担侵权责任的抗辩事由。但沈健州认为这是两个不同层面的问题：“符合行政监管要求至多说明服务提供者无需承担行政责任，但其是否承担民事侵权责任仍需单独判断。”

“可以考虑的方案是，允许服务提供者以符合行政监管规范作为证明自己无过错的初步证据，但这仍可被相反证据推翻。例如，尽管服务提供者完全符合行政监管规范，但受害人已经就个人信息权益受到侵害的事实通知服务提供者，而服务提供者却未采取必要措施。此时应当认为服务提供者存在过错。”沈健州补充。

沈健州说，在违法处理个人信息构成侵权的情况下，信息主体可以要求处理者删除所处理的个人信息。但在数据投入AI大模型训练之后，现有技术手段很难让大模型精准地遗忘特定内容。无论是分片隔离训练技术，还是基于特征和标签的遗忘方案，目前遗忘效果都不够理想。

当然，重新训练逻辑上可以实现个人信息彻底删除的效果，但代价巨大。这涉及履行费用过高的问题。民法典第五百八十条确立了债务人可以履行费用过高为由抗辩非金钱债务实际履行的规则。尽管个人信息的删除义务不属于债务，但不妨类推适用这一规则，允许服务提供者以履行费用过高为由不实际删除个人信息。

当然，服务提供者仍须采取必要的安全保护措施，并进行损害赔偿，且赔偿数额应当高于已经履行删除义务的情形。

“不过，技术手段发展得非常快。2026年的定向删除技术在表现和成本上都比2025年进步大一些。防止大模型输出个人信息有很多种技术路线：如果模型本身不输出个人信息，而是通过RAG输出的，那很简单，在RAG检索过滤阶段删除或过滤掉就可以了。还有很多别的方式可以实现个人信息的拦截，比如调整采样策略、加入门控旁路等。”苏宇补充说。