君合法评丨人工智能监管前沿：中、美、欧及全球其他地区趋势洞察

作者：董潇 郭静荷 史晓宇 张续耀 陈超 栗晔

2024年，生成式人工智能成为我国人工智能监管规制重点。算法备案流程在落地两年后已成为常态化合规义务，生成式人工智能大模型备案规则在2024年进一步明晰，大模型备案数量显著增加。立法层面，尽管未出台法规层面新的立法，多项标准、指南或其征求意见稿发布，进一步针对安全评估、内容标识、数据训练安全、应急响应等等亟待监管的领域提出细化规则。人工智能侵权判例及执法活动也不断增加。

在激烈的人工智能产业国际竞争格局中，世界各个法域也逐渐展示不同的偏重及路径：

中国人工智能治理最新进展

对于具有舆论属性和社会动员能力的生成式人工智能服务，我国已建立算法备案、大模型备案双备案机制。算法备案与大模型备案在适用范围并无实质差别，但相较算法备案，大模型备案要求更为复杂。多个地方网信办于2024年首次公开发布了受理生成式人工智能服务备案的公告，对适用范围、主体、材料提交、咨询方式等进行了说明。并明确对通过API接口或其他方式直接调用已备案大模型能力、且面向境内公众提供具有舆论属性或者社会动员能力的生成式人工智能服务开展登记工作。

对于算法备案，自2022年8月起截止2024年12月，国家网信办已发布了10批算法备案清单（包含个性化推送类、信息检索类、调度决策类） ³ 及9批深度合成类算法备案清单 ⁴ 。对于大模型备案，截至2024年12月31日，共302款生成式人工智能服务在国家网信办完成备案，其中2024年之前仅有64例，2024年新增238款备案。对于通过API接口或其他方式直接调用已备案模型能力的生成式人工智能应用或功能，2024年共105款生成式人工智能应用或功能在地方网信办完成登记 ⁵ 。预计未来大模型备案工作将进一步深化。

2024年全国网络安全标准化技术委员会发布了《网络安全技术 生成式人工智能服务安全基本要求（TC260-003）》，从语料、模型、安全措施等多个维度明确了大模型备案的评估方法、评估指标以及需要达到的合规要求，是进行大模型备案安全评估的重要依据。

工业和信息化部发布了《国家人工智能产业综合标准化体系建设指南（2024版）》，提出了人工智能标准体系结构及框架。为厘清数据训练安全、数据标注、应急响应等亟待规制的问题，一系列征求意见稿尚在制定中，可能将在未来一年进一步落地，包括在内容标识、数据标注、训练数据、安全应急响应等各方面均有相应标准筹备。

2024年涌现了诸多针对人工智能的知识产权侵权诉讼案例。在伴心案 ⁶ 中，法院认可将人工智能生成物作为作品进行登记。在“奥特曼”案中 ⁷ ，法院判决AIGC平台生成物存在著作权侵权：被告运营网站提供AI绘画生成服务，其所生成的奥特曼形象与原告奥特曼形象构成实质性相似。最终法院裁判被告网站生成的案涉图片，部分或完全复制了“奥特曼”，构成对原告作品的侵权。在“某颜AI”案 ⁸ 中，被告通过“一键换脸古风汉服”板块制作宣传图片，但此模板基于原告视频模板，通过局部替换合成新的内容，形成的图片与原告作品存在实质性相似。法院判决被告构成著作权侵权。大量涉及大模型训练数据著作权侵权尚在诉讼过程中，例如绘画大模型训练著作权侵权案 ⁹ 。

人格权侵权案例也并不鲜见，例如AI生成声音人格权侵权案 ¹⁰ 、AI换脸肖像权侵权案 ¹¹ ，相应的判例也保护了被AI产品所侵权个人的相应权利。

2024年，各地网信办已开展多项针对生成式人工智能的执法活动，例如（1）重庆市网信办就某AI写作网站运营主体未尽到审核管理义务、履行主体责任不到位的行为，作出了责令整改、并责令停止相关服务的处罚；针对某AI网站未经安全测评备案、违规提供生成式人工智能服务问题，对负责人进行了约谈，并责令停止相关服务。（2）南昌市网信办针对某AI网站内容审核管理不严、主体责任落实不到位等问题，责令相关主体立即关停相关服务，加强信息内容审核管理。（3）西安市网信办针对某科技有限公司在未经备案的情况下，违规集纳提供境外生成式人工智能服务程序，未使用合法来源的数据和基础模型，向未进行真实身份信息认证的深度合成服务使用者提供信息发布服务等违法行为，作出了立即停止服务功能的处罚。

2024年11月，国家网信办联合工信部等部门开展“清朗·网络平台算法典型问题治理” 专项行动，主要打击“信息茧房”和诱导沉迷、操纵榜单、侵害新劳动者权益、大数据“杀熟”等问题，并要求优化面向未成年人、老年人的算法推荐服务，落实算法安全主体责任。

欧洲人工智能路径——发展与信任的双重目标

2024年8月1日《人工智能法案》正式生效。《人工智能法案》采取基于风险的方法对人工智能进行管理，将人工智能系统区分为不可接受的风险的人工智能系统、高风险的人工智能系统、特定风险/有限风险的人工智能系统和最小风险的人工智能系统。例如对于高风险人工智能系统，涉及的义务包括建立风险管理系统、数据治理相关义务、建立技术文件、日志记录、透明度义务、人类监督等。对通用人工智能模型和其他人工智能模型，《人工智能法案》单独设置不同的合规义务。其同时规定了较高的罚则（违反禁用AI系统相关规则的企业的罚款将高达全球年营业额的7%）。未来，欧盟《人工智能法案》将采取分阶段、循序渐进的方式在三年内逐步落地。欧盟委员会已经开始根据《人工智能法案》着手起草相关的细节行为准则，各成员国也开始陆续建立国内的人工智能监管机构体系。

作为人工智能法律体系的重要部分，修订后的《欧盟产品责任指令》于12月8日正式生效。该指令覆盖了欧盟《人工智能法案》中定义的软件、人工智能系统或与此类产品相关的数字服务等。软件开发商和生产商被视为制造商，通过软件更新或人工智能学习修改的产品同样适用于该指令。

2024年，多个互联网公司更新了其隐私政策，以使用用户公开个人数据进行算法训练。对此欧洲各个数据保护机构采取较为审慎的态度。爱尔兰、意大利、荷兰等多个欧盟成员国的数据保护监管机构认为包括OpenAI、X、谷歌、Meta、LinkedIn在内的多个互联网企业使用其平台的公开个人数据开展算法训练不符合GDPR关于个人数据处理的要求，要求其暂停开展相关活动。例如，Meta因隐私政策中未向用户对使用其个人数据开展算法训练进行充分告知，而被欧盟境内的隐私保护权利组织NOYB在欧盟境内的11个成员国国家投诉，爱尔兰个人数据保护委员会宣布要求Meta暂停在欧盟/欧洲经济区使用其平台上的公开数据来训练其大型语言模型的计划，最终导致其不得不暂停算法训练计划。早在2023年3月，意大利数据保护局（“GPDP”）就宣布暂停ChatGPT服务，并要求OpenAI在告知要求，用户拒绝、纠正的权利，个人数据处理的合法性基础，建立年龄验证系统等方面开展整改。虽然此后OpenAI完成整改后恢复上线，但是GPDP一直没有完全停止针对ChatGPT的进一步调查。2024年12月20日，基于数据处理的法律依据不足、缺乏透明度和年龄验证机制存在缺陷等原因，OpenAI最终被决定处以1500万欧元的罚款。

不过值得注意的是，虽然英国信息专员办公室曾对Meta使用公开的个人数据进行人工智能训练提出质疑，但双方于2024年9月达成一致，支持Meta公司基于“合法利益”这一法律依据使用某些第一方数据来训练AI模型，体现了与欧盟国家不同的立场。

2024年12月欧盟数据保护委员会发布关于使用个人数据开发和部署人工智能模型的指导意见，提供了基于合法利益使用个人数据开展算法训练的要件，即须经过“三步测试”，向用户履行必要的告知，并采取适当的风险缓解措施。未来欧盟执法机关是否会基于此意见对算法训练的立场有所松动值得持续跟踪。

美国人工智能路径——敏捷、渐进治理，负责任地创新

美国尚未形成联邦层面的综合性隐私保护立法。对于美国互联网公司单方面更新隐私政策、使用用户公开个人数据进行算法训练的操作，不同于在欧洲受到多个数据保护机构的频繁约谈与叫停，这些公司在美国尚未受到实质性的法律挑战，但监管部门可能已开始评估相关风险。FTC在一篇官网blog中提到：“公司采用更宽松的数据实践，例如与第三方共享消费者的个人数据，或者将这些数据用于人工智能训练，但仅通过秘密的、事后修改其服务条款或隐私政策的方式告知消费者，这可能是不公平或具有欺骗性的。” ¹³ 未来，美国监管部门如何平衡产业数据需求与消费者隐私保护将值得持续关注，特朗普政府上台后似乎更倾向于为技术发展扫清道路的监管方向。

此外，产业界也不断探索通过差分隐私、安全计算等技术实现大数据训练与隐私保护双重目标，希望减少隐私问题与创新的对立 ¹⁴ 。

人工智能技术作为两用技术，在国防安全方面的应用受到重视。美国国防部等部门已投入多年，在美国国家安全生态系统中使用和开发人工智能。

美国在人工智能领域的优势地位也是美国政府关注重点。2024年10月，拜登政府发布《美国总统关于推进美国在人工智能领域的领导地位、利用人工智能实现国家安全目标以及促进人工智能的安全、安保和可信性的备忘录》。该备忘录提出将美国将注重半导体行业以确保人工智能相关的基础设施能够快速发展，注重情报工作避免领先人工智能技术遭到窃取等。美国意识到开放的竞争市场才是人工智能发展的最佳环境。同时，美国也认为过早的制定政府框架可能会导致国家无法及时利用最新发展的人工智能技术，导致落后于其他竞争国家，因此会采取更加渐进式的、迭代的AI标准开发方法。