ChatGPT在欧洲“被禁”的法律逻辑

文/李汶龙、尚博文

本文只讲法律逻辑，不论国际政治。想了解欧盟监管如何整治美国企业的在这里找不到思路。

这篇小文展开四个问题：(1) 这一语境下的“禁令”是什么意思；(2) 如何看待意大利监管机关Garante的举措，随后是否会出现多米诺效应？(3) ChatGPT在GDPR合规问题上究竟面临着哪些挑战，以及 (4) ChatGPT最终是否会被禁，以及基于什么法律理由/基础？

一

说ChatGPT“被禁”有些哗众。文章标题中将被禁打上双引号，是因为国内媒体和个人字面意义上的解读存在误解。ChatGPT并没有在欧洲被禁止使用，监管机关也没有得出这一科技完全无法合规的结论。目前所有欧盟国家中仅有意大利使用的是“禁止”这个概念，且是临时性的。好比几年前关于生物识别技术/人脸识别的全球治理。乔治城的两位学者Jameson Spivack和Clare Garvie在AI Now出品的报告中梳理了美国各州的立场，形成了一个分类系统。[1] 其中禁用是最为严格的，也是没有附加条件的。除此之外，中止令 (moratorium)的出现频率最多，也有不同形式。意大利此次针对ChatGPT的行动最多只能算作是一个有时间期限的中止令。

有趣的是，说到中止令 (moratorium)，冲到最前面推崇的人竟然是Elon Musk。[2] 不过，这与Musk本人长期宣传AI恐惧论的商业逻辑一脉相承，只不过是一种变向的商业广告。关于大模型测试中止令的讨论很快引发了讨论。机器学习界的两大巨擎——Meta首席科学家、法国人Yann LeCun，以及斯坦福大学计算机科学系教授Andrew Ng（吴恩达）——就很快站出来，直指限制技术本身发展是本末倒置。[3][4]

二

意大利数据保护监管机关Garante是第一个站出来主动挑战ChatGPT，背后并没有消费者投诉等事由推动。那么，会不会有其他机关选择效仿，最终形成多米诺效应？

的确，意大利的做法引发欧洲多国的讨论和表态。包括德国BfDI、法国CNIL、西班牙AEPD、挪威Datatilsynet等国的数据保护机关都明确表达了关注、意愿甚至立场。我们基于既有公开信息对既有立场和措施进行了梳理（见表1），得出三点观察：

首先，多个国家都表示不排除进行跟进或采取措施，但相关行动不会像Garante这样匆忙。

其次，是否会选择中止令这种规制形式，不同国家表达了不同立场。德国联邦数据保护专员在表态中明确使用了 temporary blocking的概念 [5]，但绝大多数国家都没有意愿照猫画虎。法国监管机关CNIL表示将要求Garante提供信息共享，以进一步判断行动的方向和采取的措施。

第三，由于OpenAI未在欧盟设立机构，GDPR中相关的协同和合作机制无法生效。早在ChatGPT之前出现过“中原逐鹿”的局面：Clearview AI需要面对28个国家独立的调查和处罚。根据Politico的梳理，谷歌、TikTok也是分别在法国、荷兰受到处罚并面临后续独立监管行动，才先后在欧盟（爱尔兰）设立机构的。[6] 虽然OpenAI与Clearview AI，以及早期的Google/TikTok非常类似，但我们判断最终不会形成出现割裂执法的局面。一方面，自2022年开始EDPB已就协同和一致性问题进行了充分的反思和讨论，形成了更为明确的协同意愿和落地机制。另一方面，包括西班牙AEPD、比利时APD-GBA，以及爱尔兰DPC在内的多个机构都在表态中明确提到，ChatGPT的监管应当在欧盟层面统一展开，而不是各自为战。为此，EDPB已就相关问题形成了专门的工作组 (taskforce)，以促进各成员国监管机关的联合行动。[7]

三

无论最终结局如何，此轮监管是欧盟第一次系统性思考GDPR如何适用于大模型，以及会产生怎样的规制效果。如未来隐私论坛VP Gabriela Zanfir-Fortuna所言，数据保护监管机关开始慢慢发现，它们本质上是AI监管者。[8]

GDPR在大模型上的合规执法是一个复杂议题，目前欧盟既有的调查、投诉、学术讨论中也只是触及棱角，并不全面。我们观察到的数据保护法律议题有如下几种。（见表3）其中，Garante向OpenAI提出的合规清单列举的问题最为丰富[9][10]，其他介入的监管机关的焦点相对单一。

合法性基础（同意）是出现频率最高的一个问题。Garante在向OpenAI提出的合规指引中着重强调了算法训练的合法性基础，指出只有同意和正当利益是有效的。OpenAI尤为依赖的合同条款存在合规问题，需要整改。

数据权利行使是另外一个聚焦的合规问题，不同监管机关处呈现出不同的关注点。意大利Garante在数据权利问题上主要关注用户是否可以行使修正权、删除权，以及拒绝权。与此不同，非营利机构Janus International的主席Zoé Vilain向OpenAI行使访问权未果，遂向CNIL投诉。因此，法国CNIL介入之后更为关注的是访问权和透明度。[11]

Garante明确提出了未成年人保护的维度，指出OpenAI缺乏年龄认证机制，要求在5月31日提出方案，9月30日正式启用。年龄认证系统与前述合法性基础问题密切关联。如果个人数据的处理是基于同意，那么根据GDPR必须要求当事人或者未成年人的监护人进行同意。Garante向OpenAI提出的要求是13岁以下的未成年人不得注册，13-18岁区间的未成年人需要监护人同意。

透明度是另一个典型的数据保护合规问题，与数据权利行使，以及未成年人保护关联密切。从措辞上来看，OpenAI在信息提供上明显做得不够充分。

最后，信息准确性也是一个潜在的合规点。GDPR列有“数据准确原则”，要求控制者或处理者对个人数据保持准确，必要情况下需及时更新，对不准确的个人数据采取合理措施（包括删除或者及时修正。Garante在合规指引中对信息准确性问题一带而过，主要是关乎模型对问题胡乱编纂的情形。但是，ChatGPT的使用不一定涉及个人数据，究竟GDPR哪一机制适用这一问题目前尚不明晰。不过，在法国CNIL接受的另一份投诉中，软件开发者David Libeau提到，当自己向ChatGPT咨询时发现处理了自己的个人信息，在进一步追问时ChatGPT开始胡编乱造。[12]

四

如果真的要讨论ChatGPT在欧洲是否被禁这个议题，需要细分法域，逐个分析，不该望文生义。就目前各国数据保护监管机关的举措和表态来看，所谓禁止云云名不副实。

但是，欧盟的数字治理在2023年正式进入转折年：DSA、DMA逐步生效，AIA也正在敲定最终文本。虽说GDPR这一一种粗糙的治理工具足以引发格局变化，而更为精准、更富针对性的新数字立法将如何影响大模型的测试、应用以及发展是更为复杂的议题。这些新的法律规则是否会在事实上形成“禁令”值得更为缜密和细致的分析。

除了上述数据保护执法行动之外，全球视野下还存在若干其他的治理方向。例如Github因公开代码爬取所面临的版权集体诉讼[13]、南非竞争委员会率先针对大模型发起的（反垄断）市场调查[14]等，与数据保护议题同等重要，却未得到相同程度的重视。学界也从不同的视角开始审视大模型的法律治理难题。[15][16][17][18][19][20]未来适当时候，我们会系统展开这一全球治理议题。

[1]https://ainowinstitute.org/publication/regulating-biometrics-global-approaches-and-open-questions
[2]Pause Giant AI Experiments: An Open Letter https://futureoflife.org/open-letter/pause-giant-ai-experiments/
[3]Why the 6-month AI Pause is a Bad Idea https://medium.com/@koza.kurumlu/why-the-6-month-ai-pause-is-a-bad-idea-a6447123c346 
[4]https://www.fastcompany.com/90874897/pov-why-pausing-ai-development-is-a-bad-idea 
[5]Germany may consider blocking ChatGPT over privacy concerns https://www.aa.com.tr/en/europe/germany-may-consider-blocking-chatgpt-over-privacy-concerns/2862941#:~:text=German%20authorities%20may%20follow%20Italy,needed%2C%20says%20data%20protection%20commissioner&text=Popular%20artificial%20intelligence%20chatbot%2C%20ChatGPT,data%20protection%20commissioner%20has%20said. 
[6]https://www.politico.eu/article/chatgpt-world-regulatory-pain-eu-privacy-data-protection-gdpr/
[7]https://www.reuters.com/technology/european-data-protection-board-discussing-ai-policy-thursday-meeting-2023-04-13/
[8]https://www.politico.eu/article/chatgpt-world-regulatory-pain-eu-privacy-data-protection-gdpr/ 
[9]https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870832 
[10]https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9874751#english
[11]https://www.lemonde.fr/pixels/article/2023/04/05/chatgpt-premieres-plaintes-aupres-de-la-cnil-contre-le-logiciel-d-intelligence-artificielle_6168425_4408996.html  
[12]https://www.lemonde.fr/pixels/article/2023/04/05/chatgpt-premieres-plaintes-aupres-de-la-cnil-contre-le-logiciel-d-intelligence-artificielle_6168425_4408996.html  
[13]https://www.theverge.com/2022/11/8/23446821/microsoft-openai-github-copilot-class-action-lawsuit-ai-copyright-violation-training-data
[14] https://www.compcom.co.za/wp-content/uploads/2023/03/Media-and-Digital-Platforms-Market-Inquiry-Draft-Terms-of-Reference-17-March-2023.docx
[15]https://verfassungsblog.de/chatgpt/
[16]https://arxiv.org/abs/2302.02337
[17]https://policyreview.info/essay/chatgpt-and-ai-act
[18]https://www.brookings.edu/blog/techtank/2023/02/21/early-thoughts-on-regulating-generative-ai-like-chatgpt/ 
[19]https://techcrunch.com/2023/01/27/the-current-legal-cases-against-generative-ai-are-just-the-beginning/?guccounter=1&guce_referrer=aHR0cHM6Ly93d3cuZ29vZ2xlLmNvbS8&guce_referrer_sig=AQAAAJW3HAvJK_rDWR9_3kcHblRPaFA3zMXCdjUrVHAWJtdwBAtbZSSy0t71Awsj_WwQb8ESblnWAM3wBqJSRPYEXbqNtdArQq_XiyYMf0JNhLA5C46ewuL0P9anMLenZcbJryML4s87qnujj42CohywSjwcH1DY76dzxCniNEYiS3r7
[20]https://techmonitor.ai/technology/ai-and-automation/this-is-how-gpt-4-will-be-regulated

每天两块钱，实时获取全球数据合规风险预警

👇

招募兼职研究助理：课题组《人脸识别法律治理框架》

• 申请条件：在数据隐私、数据安全及数据治理等方面具有丰富的理论积累或实践经验；并具有全英文写作的能力。
• 优先条件：发表过数据法或科技法相关论文的优先；有英文期刊发表经验的优先。
• 申请方式：请将您的简历和代表作发送到微信：heguilvshi 或邮箱：[email protected]