入编的那些事儿

    阅读提示：为防止内容获取不全，请勿使用浏览器阅读模式。

意思表示，但通过个人信息保护影响评估能够确认信息处理行为不会带来超出合理范围外的风险，那么可以推定其默示同意。这一做法与美国所采用的“择出式知情同意机制”相类似，即企业在采集用户个人信息时并没有征求同意的义务，只需要在采集行为发生前或发生时向用户进行信息披露。从美国联邦立法到州立法，择出式知情同意机制始终占据主导地位，这一机制更有助于提升用户行为信息的商业化利用效率。需要注意的是，所谓“择出同意”即使信息主体被认定为默示同意，其在信息处理过程中仍享有选择退出的权利，可通过新的意思表示推翻之前的默示同意。在生成式人工智能应用中同样如此，在后续语料库数据存储、语言模型训练等环节用户仍有权撤回（默示）同意。为此，应当要求生成式人工智能技术服务提供者提供便捷的撤回同意的方式，以辅助用户行使这项权利。

    相反，如果评估确认风险等级较高，除了征得信息主体的明确同意之外，生成式人工智能技术服务提供者还应当启动增强性告知程序，充分发挥告知规则在个人信息保护中的风险交流作用。具体来看，除个人信息处理的范畴、类型、目的和必要性等基本内容之外，还应就以下内容进行补充告知：首先，算法逻辑。这要求生成式人工智能技术服务提供者就个人信息与模型训练的相关性进行说明，包括“人机对话即信息收集”这一事实以及个人信息的准确性将影响生成内容质量这些重要事项，以为用户进行风险判断提供指引。其次，次级处理者的名称、处理目的、期限、方式等相关内容。以openAI为代表的生成式人工智能技术服务提供方将其全部或部分处理活动委托给次级处理者，而用户并没有与这些第三方订立任何信息处理协议，这可能会给个人信息保护带来超出预期的风险。因此，在评估确认风险等级较高的情况下，生成式人工智能技术服务提供者应当向信息主体详细披露次级处理者的信息处理情况，使信息主体能够全面了解风险和后果，从而做出决策。

    （二）推进最小必要原则的风险化解释

    与告知同意规则着力于事前保护不同，最小必要原则主要强调信息主体合法权益的事中和事后保护，其通过相关性、最小化、合比例性三方面的要求来规制信息处理行为，在个人信息保护体系中发挥了不可或缺的重要作用。然而，最小必要原则的要求与生成式人工智能实现其主要处理目的之间存在巨大张力：生成式人工智能的运行机制决定了其需要大量数据驱动的模型训练，而这一过程容易导致超出必要范畴收集个人信息、信息处理期限不明、信息用途不清晰等问题，与最小必要原则要求产生冲突，使最小必要原则的应用在实践中受到限制。为化解这一困境，可以采用风险化转型的方式重新解释最小必要原则，即以场景分析下的风险控制为基准，推动最小必要原则向“合理必要”的转变。通过这种方式，可以在保留和承认最小必要原则的前提下，避免其僵化应用对生成式人工智能技术的发展造成限制。

    此时，最小必要原则将被视为一种风险预防和预警机制，要求生成式人工智能技术服务提供者在处理个人信息时，必须将潜在风险控制在合理水平内。这将促使最小必要原则的灵活使用，使其得以更好地适应生成式人工智能的实际应用场景。与我国形成鲜明对比，欧盟法律体系下相关原则更加灵活。例如，欧盟GdpR规定了平衡测试的机制，要求数据处理者在权衡个人信息保护和处理的必要性和合法性时，需要考虑利益平衡和风险评估等因素，以确保个人信息合理利用和保护的动态平衡。实际上，最小必要原则在我国实践中的僵化适用已受到众多学者质疑。有学者认为，应将“禁止过度损害”作为最小必要原则适用的一个重要考虑因素。也有学者提出，在特定情形下应当以“有限性原则”替代最小化原则，这
本章未完，请点击下一页继续阅读》》