从原则到实践：在动态监管环境下负责任的人工智能

由云安全联盟大中华区发布了《从原则到实践：在动态监管环境下负责任的人工智能》这篇报告。以下是对该报告的部分摘录，完整内容请获取原文查看。本文围绕人工智能和生成式人工智能（GenAI）的法律和监管环境论述。主要强调了生成式人工智能在复杂多变的环境中面临的挑战，这些挑战源于生成式人工智能自身的多样化应用、全球监管机构采取的不同监管方法，以及对现有规定的延迟适应。

1. 生成式人工智能法律和监管的重点领域

1.1 数据隐私和安全

生成式人工智能在数据隐私和安全领域存在独特的挑战，能够从大量数据中学习，从而引发了人们对在整个人工智能开发和部署生命周期中如何收集、存储、使用、共享和传输个人信息的关注。包括《通用数据保护条例(GDPR)》、《加州消费者隐私法案(CCPA)》、《加州隐私权法案(CPRA)》和《医疗电子交换法案(HIPAA)》在内的多项现行法律法规，旨在保护个人隐私和数据安全，具体如下：

1.2 通用数据保护条例(GDPR）（欧盟）

适用范围：《通用数据保护条例》适用于在欧洲经济区(EEA)内处理个人数据的任何组织。  主要条款: ○ 处理的合法依据、公平性和透明度：组织处理个人数据必须有合法依据（如用户同意、正当利益等）。它要求向个人明确提供关于数据收集和处理目的的具体的信息。 ○ 数据最小化：将个人数据的收集和保留限制在所述目的所规定的范围内。 ○ 数据主体的权利：授予个人对其个人数据的各种权利，包括访问、更正、删除和限制处理的权利。 ○ 安全措施：要求组织采取适当的技术和措施来保护个人数据免遭未经授权的访问、披露、更改或破坏。 ○ 自动化个体决策制定，包括画像：对于包括画像的自动化决策制定，必须征得数据主体的明确同意（《通用数据保护条例》第22条）。 

生成式人工智能的《通用数据保护条例》合规性：欧盟《通用数据保护条例》 要求在处理个人数据（包括用于人工智能系统的数据）时必须征得数据主体同意。此外，数据保护的要求意味着系统必须遵守《通用数据保护条例》原则，如合法性、公平性、透明度、目的限制、数据最小化、准确性、存储限制、完整性和保密性。

1.3 《加州消费者隐私法案》/《加州隐私权法案》(CCPA/CPRA)

适用范围：适用于在加州开展业务且符合其他要求（如全球年收入超过2500万美元）的营利性企业。该法案赋予加州居民了解收集其个人信息目的的权利，并有权要求删除或更正信息以确保信息准确性。企业必须将收集和处理个人信息的范围限制在披露目的所必需的范围内。《加州消费者隐私法案》的适用范围还包括依赖于这些数据的人工智能/机器学习系统，要求企业确保这些系统在涉及加州居民个人信息的训练和输出生成过程中遵守隐私要求。企业在利用加州居民的个人信息开发和部署生成式人工智能模型时，必须绝对遵守《加州消费者隐私法案》的义务。

主要条款: ○ 知情权：允许消费者要求了解所收集的个人信息的类别和具体内容。○ 删除权：赋予消费者要求删除企业收集的个人数据的权利。○ 退出权：赋予消费者拒绝其个人信息被出售的权利。注：《加州消费者隐私法案》和《加州隐私权法案》对消费者数据的定义比常用的“个人可识别信息”(PII)更为宽泛。因此，本文采用“个人信息”(PI)这一术语，以确保与《加州消费者隐私法案》的范围保持一致。个人可识别信息通常指的是可以直接识别个人身份的具体数据，如姓名或社会保险号。然而，《加州消费者隐私法案》对个人信息的定义涵盖了更广泛的数据内容，包括浏览历史记录、IP地址或地理位置数据等，这些数据本身不足以识别个人身份，但在与其他信息结合后可用于识别个人身份。因此，“个人信息”更准确地反映了《加州消费者隐私法案》有关消费者数据隐私的意图。

生成式人工智能对《加州消费者隐私法案》/《加州隐私权法案》合规性：虽然《加州消费者隐私法案》/《加州隐私权法案》没有直接针对生成式人工智能提出技术要求，但《加州消费者隐私法案》/《加州隐私权法案》对个人数据权利的关注可能会给生成式人工智能带来重大的数据管理挑战，需要生成式人工智能采取谨慎的做法确保自身的合规性，并注意可能影响模型的性能和功能。

2. 如何应对生成式人工智能的幻觉对数据隐私、安全和伦理的影响

幻觉是指人工智能系统根据其所训练的模式和数据生成逼真但与事实不符或捏造的输出，如图像、视频或文本。这些幻觉引起了人们对关于数据隐私和安全相关立法和法规的极大关注。 生成式人工智能幻觉影响的一个关键领域是数据隐私。当生成式人工智能模型被输入敏感数据时，有可能产生无意中泄露个人或组织的私密信息，这给一些监管框架（如《通用数据保护条例》或《加州消费者隐私法案》/《加州隐私权法案》）带来了巨大挑战，因为这些法规要求采取严格措施保护个人数据免遭未经授权的访问或披露。人工智能生成内容的出现模糊了真实信息与捏造信息之间的界限，使有效执行数据隐私法的工作变得更复杂。

生成式人工智能的幻觉还为监管环境带来了安全风险。恶意行为者可能会利用人工智能生成的内容，如捏造的图像或文本，欺骗或操纵个人。这对数据系统的完整性和安全性构成了直接威胁，要求监管机构调整现有的网络安全法规，以应对人工智能生成内容带来的独特挑战。随着生成式人工智能技术的发展和模型能力的进步，确保符合安全标准可能会变得越来越复杂，尤其是在生成输出的真实性仍然不确定的情况下。 政策制定者和监管者在努力治理生成式人工智能的同时，还必须面对幻觉带来的伦理影响。除了遵守法律之外，伦理考量对于制定生成式人工智能治理的监管框架也至关重要。围绕负责任地开发和使用生成式人工智能模型的问题，包括幻觉内容对个人权利、自主性和福祉的潜在影响，都需要仔细斟酌。监管举措必须在促进创新和维护社会价值观之间取得平衡，确保生成式人工智能治理框架优先考虑透明度、问责制和包容性等伦理原则。

要解决人工智能产生幻觉的问题，必须持续评估人工智能的输出结果，从多个可信来源核实信息，并在评估内容的准确性问题上采用人类判断。此外，提供明确的提示和使用精心收集的训练数据可以从一开始就降低出现幻觉的可能性。 ©2025 云安全联盟大中华区版权所有 37生成式人工智能的幻觉对人工智能治理的现有立法和监管框架带来了挑战，特别是在数据隐私、安全和伦理等方面。应对这些挑战需要政策制定者、监管机构、行业利益相关者和伦理学家通力合作，共同制定全面的治理机制，有效管理与生成式人工智能相关的风险和机遇。