国内外人工智能隐私保护法律法规和政策梳理

近年来人工智能在深度学习、人机协同等关键领域呈现出蓬勃的发展态势，但其日益凸显的隐私与安全问题也为人类权益、社会公平和国际格局带来了风险和挑战。

1.国内情况

随着《数据安全法》《个人信息保护法》与《网络安全法》三法的落地实施，我国数据安全领域法律框架基本搭建完毕，在人工智能安全领域，我国目前尚未对人工智能治理进行综合立法，但已有较多针对数据安全与信息保护的专门立法实践。

（1）法律层面。 《个人信息保护法》确立了以“告知-同意”为核心的个人信息处理规则，详细规范了平台企业的大数据使用和用户画像行为，约束处理个人信息的行为。2021 年 1 月 1 日，《中华人民共和国民法典》正式施行，针对人工智能隐私相关问题，《民法典》规定人工智能技术的使用需要遵守相关法律法规，保护个人信息安全，并对其造成的损害承担相应的法律责任。

（2）部门规章层面。 2017 年国务院印发《新一代人工智能发展规划》，其中明确指出要“确保人工智能安全、可靠、可控发展”“形成人工智能算法与平台安全性测试评估的方法、技术、规范和工具集”。2021 年12月，网信办发布《互联网信息服务算法推荐管理规定》，该管理规定主要对各类算法技术的适用场景和企业使用算法时需恪守的强制性义务及违反后的惩罚措施做了详细规定，明确指出算法推荐服务提供者应当建立数据安全和个人信息保护管理制度和技术措施。此外，最高人民法院于 2022 年 12 月发布了《关于规范和加强人工智能司法应用的意见》，要求人工智能建设要确保国家秘密、网络安全、数据安全和个人信息不受侵害。 2023 年 7 月 13 日，国家网信办联合国家发展改革委、教育部、科技部、工业和信息化部、公安部、广电总局发布了《生成式人工智能服务管理暂行办法》。该办法的出台既是促进生成式人工智能健康发展的重要要求，也是防范生成式人工智能服务风险的现实需要。办法明确要求，参与生成式人工智能服务安全评估和监督检查的相关机构和人员对在履行职责中知悉的个人隐私和个人信息应当依法予以保密，不得泄露或者非法向他人提供，且要尊重他人合法权益，不得危害他人身心健康，不得侵害他人隐私权和个人信息权益。

另外，工信部发布了《“十四五”信息化和工业化深度融合发展规划》，对智能产品在工业、交通、医疗、教育等重点行业的应用推广进行了系统性的部署。2021 年 9 月，科技部发布的《新一代人工智能伦理规范》围绕管理、研发、供应、使用和组织五个环节提出了18 项具体规范，将抽象的伦理原则以具体规范的形式融入了人工智能全生命周期，推动形成具有广泛共识的人工智能治理框架和标准规范。市场监督管理总局组织起草的《互联网平台分类分级指南（征求意见稿）》和《互联网平台落实主体责任指南（征求意见稿）》也于2021 年年末开始向社会征求意见，有望通过合理划分平台等级，推动超大型平台承担更多责任与义务，形成更为细致合理的平台责任规范。其他部委如人民银行、人力资源社会保障部、卫健委等也在具体领域积极出台政策文件，共同促进人工智能治理在我国落地生根。

（3）地方层面 。2022 年，上海、深圳等地发布促进人工智能产业发展相关条例，湖北、四川等地发布了省人工智能相关发展规划。2023 年5 月，北京市人民政府印发《北京市加快建设具有全球影响力的人工智能创新策源地实施方案（2023-2025 年）》，提出充分发挥北京市在人工智能领域的创新资源优势，持续提升全球影响力，进一步推动人工智能发展，到 2025 年，人工智能核心产业规模达到3000 亿元，持续保持10%以上增长，辐射产业规模超过 1 万亿元。此外，《深圳经济特区人工智能产业促进条例》于 2022 年 9 月6 日正式公布，《条例》创新性地规定市政府应当设立人工智能伦理委员会，并明确指出从事人工智能研究和应用的组织或者个人，应当遵守人工智能伦理安全规范，不得从事危害国家安全和社会公共利益、侵犯个人隐私和个人信息权益、实施价格歧视或者消费欺诈等七类行为。

从国内的发展情况来看，党和国家高度重视人工智能时代下隐私保护面临的新挑战，近年来人工智能隐私保护相关的法律法规、政策正在紧锣密鼓的制定，步伐夯实稳健，我国人工智能隐私保护顶层设计正在不断构建。

2.国外情况

近年来人工智能在深度学习、人机协同等关键领域呈现出蓬勃的发展态势，但其日益凸显的隐私与安全问题也为人类权益、社会公平和国际格局带来了风险和挑战。为此，世界各地的监管机构持续致力于人工智能系统的规范使用，近年来起草、讨论、通过、发布和生效了大量法律法规、原则性文件与行政命令。

（1）欧盟和英国 。欧盟和英国关于监管人工智能的建议在范围和方法上有明显差异，并考虑了部署人工智能系统的组织可以采取哪些步骤，以确保这些建议从最初阶段能符合 GDPR（通用数据保护条例）。该条例被称为史上最严格的条例，于 2018 年生效，规定了数据控制者和处理者的责任和义务，设立了数据保护官，增大了处罚力度。人工智能的设计和运行需要获取的所有数据，都受到该条例的有效约束。

欧盟选择了一个广泛的立法框架，而英国选择依靠部门监管机构，并将推行一项侧重于促进技术进步和保持人工智能“超级大国”地位的议程。 英国人工智能战略于 2021 年 9 月 22 日公布（《人工智能战略》）。该计划是一项十年计划，英国打算通过该计划“促进人工智能的商业应用，吸引国际投资，培养下一代科技人才”，同时将自己定位为人工智能治理的全球领导者。 根据《人工智能战略》，人工智能代表了“最高水平的经济、安全、健康和福祉优先”。英国政府认为“在人工智能领域保持竞争力对我们的国家雄心至关重要……”，同时，英国人工智能办公室（Office for Artificial Intelligence）打算发布一份关于人工智能促进创新立场的白皮书（人工智能白皮书）。作为人工智能白皮书的前奏，英国政府于 2022 年 7 月 20 日发布了一份题为《建立有利于创新的方法来监管人工智能》的政策文件（《人工智能政策文件》）。这份人工智能政策文件阐述了英国政府的愿景，即建立一个“相称、轻触和前瞻性”的监管框架，使英国能够跟上全球竞争对手的步伐。同时英国中央数字办公室等机构在2021年11月发布算法透明度标准，涵盖了数据要求、透明度模板和行动指南等内容，为政府部门和公共机构利用算法进行决策提供支持。

与英国相反，欧盟选择了广泛的立法方式，正在敲定发布世界首部人工智能法案。作为人工智能监管在全球范围内的“第一推动者”，2021年欧盟继续采用全面立法的方式规范人工智能在各行业的应用，并于 4 月 21 日发布《人工智能法》提案，这是世界范围内首部对人工智能进行综合性立法的法案。该法案将人工智能应用划分为不可接受的风险（Unacceptable risk）、高风险（High risk）、有限风险（Limited risk）和极低风险（Minimal risk）四类。其中，涉及操纵人类行为的“潜意识技术”，利用儿童和残疾人脆弱性或可能影响社会信用评分的人工智能应用被认为具有不可接受的风险，法案禁止该类应用上市；涉及公共基础设施、社会福利、医疗服务、教育培训等领域的人工智能应用被认为具有高风险，法案提出应在其上市前进行充分的风险评估，确保算法偏见最小化、活动记录可追溯，并引入合适的人力监管措施以最大限度地减少风险；聊天机器人等对人类生存安全与基本权利具有有限风险的人工智能应用，法案仅明确了其向用户公开透明的义务；电子游戏和垃圾邮件识别软件等对人类安全与权利不产生影响或者影响甚微的极低风险的人工智能应用，法案并未进行干预。

2019 年 4 月，欧盟委员会发布了正式版的人工智能道德准则《可信 赖 人 工 智 能 的 伦 理 准 则 》 ， 提 出 了 实 现 可 信 赖 人 工 智 能（Trustworthy Al）全生命周期的框架。该准则提出，可信赖AI需满足 3 个基本条件：合法的（lawful），即系统应该遵守所有适用的法律法规；合伦理的（ethical），即系统应该与伦理准则和价值观相一致；稳健的（robust），即从技术和社会发展角度来看，可信赖AI 必须是鲁棒的。2022 年 6 月生效的《数据治理法案》是《欧洲数据战略》框架下的第一份立法草案。《数据治理法案》强调规则创新，鼓励数据共享、提高数据利用效率，进而让数据资源的流转利用服务更高的公共政策目标：一是建立公共部门持有数据的再利用机制，二是建立框架以促进数据中介机构的发展，三是对于数据利他行为做出规范化的引导。2023 年 6 月 14 日，《人工智能法案》授权草案在欧洲议会高票通过，《人工智能法案》授权草案的一个突出特点是注重基于风险来制定监管制度，以平衡人工智能的创新发展与安全规范。草案严格禁止对人类安全造成不可接受风险的人工智能系统，包括部署潜意识或有目的操纵技术、利用人们弱点或用于社会评分的系统，并扩大了人工智能高风险领域的分类，将对人们健康、安全、基本权利或环境的危害考虑在内。

（2）美国。 2016 年 10 月，美国政府发布《国家人工智能研究和发展战略规划》和《国家人工智能研究和发展战略规划》（2016）两项报告，提出实施“人工智能公开数据”计划。2019 年2 月，美国总统特朗普签署《人工智能倡议》发展规划，进一步指示加强联邦政府、机构的数据、算法和计算机处理资源对人工智能研发人员和企业的开放。2019 年 6 月，美国政府发布《国家人工智能研发与发展战略计划》（2019），新版本中要求所有机构负责人审查各自联邦数据和模型，注重保护数据安全、隐私和机密性。2020 年1 月，美国政府发布《人工智能应用监管指南》，要求联邦机构继续促进技术和创新进步的同时保护美国的技术、经济和国家安全、隐私、公民自由和其他美国价值观。

2019 年，美国颁布了《2019 年国防授权法案》，依据此授权法，美国成立国家人工智能安全委员会（National Security Commissionon Artificial Intelligence），研究人工智能和机器学习方面的进展，以及它们在国家安全和军事方面的潜在应用。此外，依据《2019年国防授权法案》，美国国防部创建了联合人工智能中心（JAIC），作为开发和执行总体人工智能战略的责任机构。2021 年1 月，美国正式颁布《2020 年国家人工智能倡议法案》，旨在确保美国在全球人工智能技术领域保持领先地位。该法案强调要进一步强化和协调国防、情报界和民用联邦机构之间的人工智能研发活动；同时，设立国家人工智能倡议办公室，承担“监督和实施美国国家人工智能战略”等职责。2020 年 5 月，《生成人工智能网络安全法案》出台，该法案要求美国商务部和联邦贸易委员会明确人工智能在美国应用的优势和障碍，调查其他国家的人工智能战略，并与美国进行比较；评估找出对应的供应链风险及解决方案，制定国家人工智能战略的建议。2022 年 6 月 3 日，美国参议院和众议院发布了《美国数据隐私和保护法》（the American Data Privacy and Protection Act, ADPPA）的草案，该立法草案是第一个获得两党两院支持的美国联邦全面隐私保护提案。这项具有分水岭意义的隐私保护法案，将为数据隐私保护引入一个美国联邦标准。

2023 年 5 月下旬，拜登政府采取了几项额外措施，进一步明确其人工智能治理方法。同时，美国白宫科技政策办公室（OSTP）发布了修订后的《国家人工智能研发战略计划》，以“协调和集中联邦研发投资”。OSTP 还发布了一份信息征询书，征求关于“减轻人工智能风险，保护个人权利和安全，利用人工智能改善生活”的意见。2023 年 10 月下旬，拜登政府签署了一项旨在改善人工智能安全的行政命令，这是美国迄今为止最全面的人工智能规则和指南，具有里程碑意义。行政令规定了“人工智能安全新标准”、“保护美国公民隐私”等内容，明确要求开发高级人工智能系统的公司应与美国政府分享安全测试结果、加强对隐私保护技术的支持和研究等。

（3）日韩。 2022 年 4 月 22 日，日本政府在第 11 届综合创新战略推进会上正式发布《人工智能战略 2022》，作为指导其未来人工智能技术发展的宏观战略。该战略提出推进数据合作和标准化，防止数据偏差、人工智能技术滥用的风险；确保数据真实性和数据所有人的知情权；构建数据存储的基础设施，确保供应链的安全性。2023 年4 月21日，日本政府决定设立新的“战略会议”及“AI 战略小组”，负责讨论与人工智能相关的国家战略。对于正在迅速普及的聊天机器人ChatGPT 等整个人工智能领域，上述“战略会议”将发挥指挥塔作用，指明政策的基本方向。针对人工智能方面课题，该会议将从促进应用、研究开发和强化规则两方面进行讨论。除精通人工智能技术的学者和研究人员外，法律相关领域的专家和政府相关人士也将加入上述“战略会议”。

2020 年 1 月，韩国科技部公布 2020 年度工作计划，正式启动《人工智能国家战略》，意图推动韩国从“IT 强国”发展为“AI 强国”，计划在 2030 年将韩国在人工智能领域的竞争力提升至世界前列。其中提到发展人工智能，必须对数据进行收集以及利用。数据作为人工智能发展的核心，《人工智能国家战略》表示数据安全具有多种隐患，需要对相关法律法规进行修改。2020 年12 月24 日，韩国科学和信息通信技术部和国家事务协调办公室共同发布了人工智能立法路线图，包括了 11 个领域的 30 项立法任务，旨在奠定人工智能时代的法律基础。韩国认识到，在大力推动人工智能发展的同时，需要尽快推动现有立法的变革。为此，韩国科学信息通信技术部成立了立法研究小组，组织法学、人文、社会科学和哲学等多领域的人员，共同草拟这个立法线路图。算法决策对政治、社会、经济和文化具有重大影响，因此有必要确保算法的透明性和公平性，以建立应用人工智能技术的信任基础。2020 年 12 月 22 日，韩国科学与信息通信技术部发布了《国家人工智能伦理标准》，通过制定人工智能伦理规范，打造安全的人工智能使用环境，为韩国未来人工智能发展和负责任使用提出了方向和指引。

随着人工智能技术的快速发展和应用，个人隐私保护面临着不断演变的挑战。从世界范围观察，近年来各国尤其是发达国家正不断加强人工智能隐私保护法规政策的制定和执行，建立有效的监管机制，以确保个人隐私权得到充分的保护，为人工智能隐私保护相关技术在全球范围内的应用及全球化合作交流提供保障和支持，逐渐在人工智能发展中平衡创新与隐私保护的需求。