国浩视点 | 生成式人工智能“避风港原则”的适用性考察—

国浩律师事务所

2026-07-17

摘要

避风港原则是美国《数字千年版权法》（DMCA）第512条为网络服务提供者设置的版权侵权责任限制机制，其以“通知—删除”规则为核心，本质上是一项“以责任限制换取追责配合”的制度安排。该制度的正当性，建立在服务提供者系被动信息中介、侵权内容以离散形式存储于其系统、并可被迅速定位与移除等一系列技术预设之上。然而当开源大模型试图参照适用避风港原则以限制其侵权责任时，上述预设面临落空的困境。本文即以美国法为视角，循“严格责任之修正—避风港之证成—红旗标准”的教义脉络，深度剖析避风港原则与开源大模型之间存在的法律与工程的双重适配困境，进而主张该原则不宜简单移植于开源大模型的责任限制场景。

目录

一、问题的提出

二、避风港原则的法理基础与适用边界

三、开源大模型参照适用“避风港”的法律困境

四、开源大模型参照适用避风港的工程困境

五、结论

问题的提出

美国《数字千年版权法》（Digital Millennium Copyright Act，以下简称DMCA）第512条(c)款规定，对于“经用户指示而存储于服务提供者所控制或运营之系统或网络上”的侵权材料，服务提供者若能满足法定条件，则不会由此产生版权侵权争议而承担金钱赔偿责任，并在很大程度上能够免于禁令等衡平救济。^[注1]这一责任限制机制被通称为避风港（safe harbor）原则，自1998年确立以来，已成为互联网内容产业得以规模化运行的法律基础设施之一。其制度内核——“通知—删除”（notice-and-takedown）规则——在过去的二十余年间，于平台与权利人之间维系着一种大体可行的利益平衡。

随着开源大语言模型（以下统称“开源大模型”）的兴起，一个亟待回应的问题随之浮现：当大模型的训练数据或其生成内容可能触及他人版权时，模型提供者与下游部署者可否参照适用避风港原则，以“通知—删除”之配合换取自身侵权责任的限制？

本文以美国法为视角，循“严格责任之修正—避风港之立法证成—红旗认知之界定”的脉络对此展开讨论。第二部分系统梳理避风港原则的法理基础与适用边界；第三部分深入论证其参照适用于开源大模型时面临的法律困境；第四部分进而揭示隐藏于法律困境背后的工程困境；第五部分作结。但需说明的是，本文意在厘清既有制度的适配边界，而非建构替代方案的完整图景。

避风港原则的法理基础与适用边界

(一) 从Frena到Netcom：严格责任及其修正

版权法在传统上被理解为一种严格责任（strict liability）制度，侵权人的主观过错原则上不构成侵权成立的要件。在Playboy Enterprises, Inc. v. Frena案中，被告经营一个订阅制电子公告板系统（BBS），其用户在该系统上传并下载了至少一百七十张《花花公子》杂志所享有版权的照片，被原告诉至法庭；而被告对此声称涉案图片系订阅者而非其本人上传来加以抗辩。但最终佛罗里达州中区联邦地区法院仍认定被告直接侵害了权利人的发行权与公开展示权，并明确指出，被告是否知悉或意图侵权“无关紧要”。^[注2]Frena案代表了前互联网时代严格责任逻辑的极致：只要被告的系统参与了未经授权复制件的分发与展示，纵其主观上完全被动，亦难辞其咎。

此种逻辑随即在Religious Technology Center v. Netcom On-Line Communication Services, Inc.案中得到修正。该案中，一名批评者经由Klemesrud运营的BBS将原告享有权利的作品发布至Usenet新闻组，该BBS又经接入服务商Netcom连入互联网；Netcom的系统自动复制并短暂存储相关帖文约十一日。加利福尼亚州北区联邦地区法院在此案中虽承认版权系严格责任，但也强调直接侵权的成立仍须存在某种“意志行为”（volitional conduct）或“因果关系”（causation）要素；若被告的系统仅仅被第三方用以生成复制件，而其自身并无主动作为，则该要素阙如。^[注3]Netcom案由此在“主动复制者”与“仅提供互联网运行所必需之基础设施者”之间划出界限。需强调者，意志行为之要求关乎直接侵权的成立，而“避风港”作为一项责任限制，则预设服务提供者本可能因直接或间接侵权而担责——前者划定侵权之边界，后者限缩责任之范围，二者层层递进，共同构成网络服务提供者责任的分析框架。

(二) “避风港”的立法证成

Frena案与Netcom案所揭示的紧张关系——严格责任可能使纯粹的网络中介承受过重的合规压力——正是国会于1998年制定DMCA第512条的背景。参议院第105-190号报告坦陈了立法的双重忧虑：版权人忧惧互联网导致大规模盗版，网络平台则忧惧因法律的不确定性而为用户行为承担过度的版权责任；国会亦认识到，若强令服务提供者监控全部用户内容，势将妨碍互联网产业的发展。^[注4]为回应这一双重忧虑，国会未对既有责任理论作全面厘清，而是为服务提供者的若干常见活动——暂时数字网络通信、系统缓存、经用户指示之信息存储、信息定位工具——分别设置避风港，并采纳与合理实施针对重复侵权人的政策等为各避风港适用之共同门槛。^[注5]其中第512条(c)款所对应者，正是“经用户指示存储信息”这一活动类型，亦即本文讨论之焦点。

报告进而从正面证成了避风港的必要性：法律必须作出调整，以确保数字网络成为传播和利用版权作品的“安全场所”；通过明确服务提供者的责任边界，可使互联网公司不致因用户行为而被诉讼拖垮，从而持续提升互联网效率、拓展服务的多样性与质量，并促进对信息技术的投资。^[注6]报告尤其强调，服务提供者扮演的是新型“必要基础设施”（信息高速公路）而非传统出版者的角色——其既不主动选择、编辑所传输之内容，亦不对内容主张编辑权——但其日常运营却使其暴露于严重的版权侵权风险之下。^[注7]

由此可见，避风港原则实质上是利益权衡后的结果：服务提供者以对真正侵权人的追责配合，换取自身责任的限制。这一配合通常通过两项机制实现：其一，“通知—删除”规则确保侵权内容得以迅速下架（第512条(c)(1)(C)项、(c)(3)项）^[注8]；其二，权利人可借由法定传票等途径获知实际侵权人之身份，从而向最终侵权人主张损害救济（第512条(h)款）。^[注9]此外，避风港原则的适用还以服务提供者采纳并合理实施针对重复侵权人的账户终止政策为条件，这也再次表明：责任限制始终与服务提供者对侵权治理的实际配合相挂钩。唯有当上述机制均能实际运转时，“以责任限制换取配合”的制度逻辑方能自洽。这一观察对下文的分析至为关键：若其中任何一项在某一情境下结构性失灵，则避风港赖以成立的对价基础即不复完整。

(三) 红旗标准与监控义务的排除

避风港并非无条件的豁免。第512条(c)(1)(A)项设置了认知要件：服务提供者不得对侵权有“实际知悉”，亦不得知悉“使侵权显而易见的事实或情形”（即“红旗”标准）。然而，何种程度的认知方足以触发“红旗”，判例确立了相当严格的标准。在UMG Recordings, Inc. v. Shelter Capital Partners LLC案（即Veoh案）中，第九巡回上诉法院认定：仅仅托管某一类可受版权保护的内容（如音乐视频），并一般性地知悉自身服务可能被用于分享侵权复制件，尚不足以构成第512条意义上的认知；否则，避风港条款将形同虚设。^[注10]法院同时澄清，第512条(c)款“因存储而引起”之表述，涵盖了使被存储材料得以为他人访问的相关功能，从而将典型的托管服务稳妥地纳入避风港的射程之中。^[注11]

第二巡回上诉法院在Viacom International, Inc. v. YouTube, Inc.案中也进一步明确：无论“实际知悉”抑或“红旗”认知，均须指向“具体且可识别的侵权”，而非对侵权活动的一般性知悉。^[注12]法院虽承认普通法上的“故意视而不见”（willful blindness）原则在适当情形下可用以认定认知，但同时重申，第512条(m)款已排除了服务提供者主动监控其服务的一般义务，故“故意视而不见”不得被等同于一项普遍的监控义务。^[注13]

这一严格的认知标准，对评估大模型可否援引避风港原则具有双重含义：一方面，“模型可能再现受版权保护之作品”乃属对侵权风险的一般性认知，依Veoh与Viacom之标准，本不足以剥夺避风港之保护；另一方面，正因“红旗”须指向具体且可识别之侵权，权利人即负有以具体“通知”指明特定侵权内容之负担。至此，美国法上的“避风港”原则呈现出环环相扣的教义结构：它以服务提供者的被动中介地位为前提，以针对具体侵权内容的“通知—删除”为核心义务，以排除一般监控义务为边界，并以对真正侵权人的追责配合为正当性基础。下文将表明，正是这一结构，使避风港原则难以平移适用于开源大模型。

开源大模型参照适用“避风港”的法律困境

(一) “存储”与“生成”的区隔

在进入具体的机制分析之前，有必要先廓清一项更为基础的文义障碍：第512条(c)款所限制的，是服务提供者就“驻留”（residing）于其系统之上的材料所负之责任，而非其系统所“生成”（generate）之内容所生之责任。^[注14]该款的规范对象自始而终都是被动存储的、来源于用户的既存内容，而非由服务本身即时产出的新内容。大模型在用户提示下即时生成文本、图像或代码，此种“生成”在性质上迥异于“存储”：被生成之内容并非预先“驻留”于系统之上、静待被“移除或屏蔽访问”的特定对象。设若模型因“记忆”训练语料而逐字再现某一受版权保护之段落，该再现亦系于推理时即时产出，而非作为离散文件存放于服务器之上。就此而言，凡涉及模型输出端之潜在侵权，恐自始即落于第512条(c)款射程之外，而非仅系适用条件未获满足之问题。这一区隔，构成后文全部分析的逻辑前提。

(二) “经用户指示存储”前提的缺失

纵将视线由输出端移向模型本身，第512条(c)款的文义前提亦难成立。该款以“经用户指示而存储于服务提供者系统上的材料”为起点，蕴含两项前提：存在一个实施存储指示的“用户”，以及一份以离散形式驻留于系统之上的“材料”。在开源大模型的语境下，二者皆难以成立。模型的潜在侵权能力——例如对某一受版权保护作品的高保真再现——并非由某一用户上传并存储的离散文件，而是经由训练过程被吸收、编码进数以亿计的模型权重之中。^[注15]易言之，可能的侵权并非“经用户指示存储”，而是由模型提供者自身的数据策展与训练行为所结构性地塑造。既无实施存储的“用户”，亦无可供指认与移除的“材料”，第512条(c)款赖以启动的事实前提即告落空。

此一前提之缺失，于闭源与开源模型之间程度有别。就经由API集中提供之闭源模型而言，尚或可勉强主张用户之提示“指示”了输出之生成；然纵在此情形，被“指示”者亦系内容之即时生成，而非内容之存储，仍难满足(c)款“存储”之文义。就开源模型而言，连此种勉强之主张亦无从成立：模型权重一经开放发布，即脱离原提供者之控制而由下游主体自行部署，其间既无统一之“用户指示存储”环节，亦无单一之服务提供者可被认定为(c)款意义上的“存储者”。

(三) “通知—删除”与“披露侵权人”机制的落空

即便退一步承认“避风港”在概念上尚可援引，其赖以运转的两项配合机制在开源大模型场景中亦双双失灵。

就“通知—删除”而言，该规则预设侵权内容系可被“迅速移除或屏蔽访问”的特定对象。第512条(c)(1)(C)项要求服务提供者于接获通知后迅速移除或屏蔽涉案材料，此一义务本身即预设了一个既可被托管、又可被单独定位与停用之特定对象。然而，对一个业已训练完成的模型而言，并不存在可供删除的那一份侵权文件；“停用”一项弥散于参数之中的生成能力，并非一个边界清晰的离散动作。欲使模型不再生成特定侵权内容，或须于输出端施加过滤，或须对权重本身予以更改；而后者在现有技术下成本高昂且难以精确（详见第四部分），“删除”在此失去了明确而恰当的作用对象。

就“披露实际侵权人”而言，“避风港”的追责逻辑预设侵权内容可回溯至某一可识别的终端用户，权利人据此得以转向该侵权人求偿。但在训练侵权的语境下，并不存在这样一个“上传侵权文件的用户”；可能的侵权系由模型提供者的训练行为所内生，而非第三方用户的存储行为所致。“披露侵权人”既无对象可供披露，“以责任限制换取追责配合”的对价基础亦随之瓦解。

(四) 被动中介假设的动摇

更为根本者，避风港的正当性建立在服务提供者系“被动中介”这一假设之上——正如Netcom案所言，其作用不过是“设立并运营互联网运行所必需之系统”。^[注16]然而，生成式人工智能从根本上动摇了这一被动中介的预设：模型提供者主动策展训练数据、主动实施训练并主动塑造模型的生成倾向，其行为远非Netcom案中那种“系统被第三方用以生成复制件”的被动情形，反而更接近于Frena案所指向的、对内容具有实质塑造作用的主动参与者。^[注17]一旦被动中介的前提不复存在，避风港据以成立的整个教义大厦便失其根基。

值得注意的是，司法实践处理人工智能版权争议的主战场，并非第512条避风港，而是合理使用（fair use）等其他原则。在Bartz v. Anthropic案中，北加利福尼亚联邦地区法院于2025年6月认定：以合法取得之图书训练大模型以生成新文本，具有“极具变革性”（spectacularly transformative）的性质，构成合理使用；但被告为建立永久性内部图书馆而下载逾七百万册盗版图书，则不构成合理使用，应承担侵权责任。^[注18]该案虽未直接适用避风港，却从侧面印证：训练侵权问题的责任分析，难以纳入以“用户存储—通知删除”为骨架的第512条框架，而须另循他途。

开源大模型参照适用避风港的工程困境

法律困境的背后，是一组深刻的工程约束。这些约束沿着大模型的“供应链”（supply chain）分布，使不同主体的“删除”能力呈现结构性错配，从而使“通知—删除”规则难以在恰当的主体处落地。

(一) 大模型供应链与责任主体的分离

生成式大模型的形成可被刻画为一条供应链：原始数据、第三方数据集与合成数据经清洗、策展形成训练数据集；训练数据集连同基础模型、辅助模型经由训练得到初始模型；初始模型再经后训练（post-training）数据进一步调整为后训练模型；最终，模型之上叠加“护栏模型”（guardian model）等安全组件，对外封装为面向用户的人工智能应用。^[注19]在这条链路上，“训练并塑造模型生成能力的主体”（模型提供者）与“面向终端用户提供服务的主体”（系统提供者或部署者）往往相互分离，侵权责任由是沿供应链分散于“众手”之间，难以归于单一主体。避风港原则所设想的、单一服务提供者既能定位又能移除侵权内容的图景，在此被拆解为多个能力各异、且分属不同主体的环节。

(二) 删除能力的不对称：系统提供者与模型提供者

正是在删除能力上，供应链的不同环节呈现出鲜明的不对称。处于链路末端的系统提供者，可以迅速增设屏蔽词、调整提示词过滤规则或加挂护栏模型，从输出端拦截特定侵权内容。此种干预成本低、粒度细、见效快，在功能上最接近避风港所要求的“迅速移除”；惟其作用仅及于输出通道，对模型本身的生成能力并无触动，故难免有过度拦截或拦截不足之虞。

然而，处于链路上游的模型提供者，却无法对模型权重实施“小批量更新”。受版权作品的影响一旦经训练弥散于海量参数之中，便无法被精确地定位与剔除；所谓“机器遗忘”（machine unlearning）于现有技术下尚不成熟，成本高昂且效果难以保证，而完全重训练则代价极为高昂。^[注20]这意味着：真正“持有”侵权能力的主体（模型提供者）恰恰最缺乏“迅速删除”的手段，而最具删除能力的主体（系统提供者）所持有的却只是末端的输出通道。删除能力与侵权来源在供应链上的此种错配，使“通知—删除”规则难以在恰当的主体处落地。

(三) 开源扩散与“删除”的失效

开源进一步放大了上述困境。一旦模型权重被开放发布，它便可被无数下游主体下载、复制、微调与再分发。由此产生两重后果。其一，权利人无从准确定位全部利用同一模型的服务提供者，“通知”因缺乏明确且穷尽的送达对象而难以奏效；其二，纵使原始模型提供者配合移除或更新，业已扩散至各处的模型副本仍可继续生成侵权内容，单一节点的“删除”无从遏制全局侵权。避风港原则赖以生效的“单一控制节点”假设，在开源扩散的格局下彻底失灵。

此种失效对权利人尤为不利。在传统避风港下，权利人只需向单一平台发出通知，即可使侵权内容于该平台下架；而在开源扩散之格局下，权利人纵已识别侵权，亦须逐一追踪、定位散布各处之部署者，方能寻求救济，其执法成本与侵权扩散之速度间形成显著之不对称。避风港原则原以“迅速制止侵权”为其制度承诺，但在开源大模型场景下，这一承诺恰恰最难兑现。质言之，开源大模型既不存在一个可被有效“通知”的中心，也不存在一个一经“删除”即可止损的支点。

结论

避风港原则是特定技术条件下的产物。它以“通知—删除”为核心，以服务提供者的被动中介地位为前提，以对真正侵权人的追责配合为正当性对价，并由Frena、Netcom以及Veoh、Viacom等判例共同界定其严格责任的修正、认知的门槛与监控义务的边界。这一制度在以离散内容存储为特征的Web 2.0时代运转良好，但当它面对开源大模型时，其每一项预设都遭遇了挑战：输出系即时生成而非既存驻留，故落于(c)款射程之外；侵权能力嵌于权重而非存于文件，故无“材料”可删；侵权由训练内生而非用户上传，故无“侵权人”可披露；模型提供者无法精确更新权重，系统提供者仅掌握末端通道，故删除能力与侵权来源相互错配；权重开源扩散，故既无可通知之中心，亦无可止损之支点。

归根结底，避风港是国会为特定中介架构精心设计的一项立法交易：它以确定的责任限制为对价，换取服务提供者对侵权治理的确定配合。若仅因开源大模型同属“网络技术”便将这一交易类推及之，则可能在无法兑现配合对价之情形下，径予授予责任豁免——其结果是权利人既丧失了向中介追责之可能，又无从向一个并不存在的“终端侵权人”求偿，制度的天平由此失衡。

因此，将避风港原则简单移植于开源大模型的责任限制场景，在法律与工程两个层面均难谓妥当。更为可取的进路，或许并非追问开源大模型能否“挤进”既有的避风港，而是参照其供应链结构，为数据提供者、模型提供者与部署者分别设定与其控制能力相匹配的注意义务与责任安排。^[注21]至于这一新框架的具体构造，已超出本文以美国法为视角所作教义梳理的范围，留待另文专论。

注释及参考文献

上下滑动查看全部

[1] 17 U.S.C. § 512(c)(1) (2018). 该款另要求服务提供者不具备“明知”（actual knowledge）或对使侵权显而易见之事实情形的“应知”（即“红旗”）认知、于获悉侵权后迅速移除相关材料、且未从其有权并能够控制之侵权活动中获得可直接归因的经济利益。第512条(j)款就可获禁令救济之范围另设限定。

[2] Playboy Enters., Inc. v. Frena, 839 F. Supp. 1552, 1556–59 (M.D. Fla. 1993)（认定被告侵害17 U.S.C. § 106(3)规定之发行权与§ 106(5)规定之公开展示权，被告是否知悉或意图侵权在所不问）。

[3] Religious Tech. Ctr. v. Netcom On-Line Commc’n Servs., Inc., 907 F. Supp. 1361, 1369–70 (N.D. Cal. 1995). 法院同时认为，就连带（contributory）侵权尚存事实争议，不宜径作简易判决。

[4] See S. Rep. No. 105-190, at 8 (1998)（说明第512条旨在“为版权人与互联网服务提供者就线上侵权责任提供确定性”）。

[5] See 17 U.S.C. § 512(a)–(d)（分别就暂时数字网络通信、系统缓存、经用户指示之信息存储、信息定位工具设置避风港）; id. § 512(i)（以采纳并合理实施针对重复侵权人之政策、并容纳标准技术措施，为各避风港适用之门槛条件）。

[6] Id. at 8, 20.

[7] Cf. Netcom, 907 F. Supp. at 1372（指出若令此类主体担责，将波及无数仅“设立并运营互联网运行所必需之系统”的当事人）。

[8] 17 U.S.C. § 512(c)(1)(C), (c)(3). 适格通知须满足(c)(3)项关于权属声明、对侵权材料之指认及联系方式等形式要件；第512条(g)款另就被移除内容设有“反通知—恢复”（counter-notification and put-back）程序。

[9] Id. § 512(h)（权利人可申请法院书记官签发传票，命服务提供者披露涉嫌侵权用户之身份信息）。

[10] UMG Recordings, Inc. v. Shelter Capital Partners LLC, 718 F.3d 1006, 1022 (9th Cir. 2013)（仅托管某一类可受版权保护之内容，并一般性地知悉该服务可能被用于分享侵权复制件，尚不足以构成第512条意义上之认知）。

[11] Id.（认定第512条(c)款“因存储而引起”之表述，涵盖使被存储材料得以为其他用户访问之相关功能）。

[12] Viacom Int’l, Inc. v. YouTube, Inc., 676 F.3d 19, 30–31 (2d Cir. 2012)（“明知”与“红旗”认知均须指向具体且可识别之侵权，而非对侵权活动之一般性知悉）。

[13] Id. at 35; see 17 U.S.C. § 512(m)（避风港之适用，不以服务提供者监控其服务或主动查找指示侵权之事实为条件）。

[14] See 17 U.S.C. § 512(c)(1)（责任限制及于“驻留”（residing）于服务提供者系统或网络上之材料）。

[15] 参见 Lee, Cooper & Grimmelmann, supra note 2（论及作品经训练而被模型“记忆”（memorization）所生之逐字复制风险）；亦见 Peter Henderson et al., Foundation Models and Fair Use, 24 J. Mach. Learning Rsch., art. no. 400 (2023)。

[16] Netcom, 907 F. Supp. at 1372.

[17] See Yang Lin & Taorui Guan, From Safe Harbours to AI Harbours: Reimagining DMCA Immunity for the Generative AI Era, 20 J. Intell. Prop. L. & Prac. 605 (2025)（主张生成式人工智能颠覆了避风港所依赖之被动中介假设，现行第512条难以径行适用，应代之以与各主体角色相匹配之义务体系）。

[18] Bartz v. Anthropic PBC, No. 3:24-cv-05417-WHA (N.D. Cal. June 23, 2025)（就合理使用作出部分简易判决：认定以合法取得之图书训练大模型以生成新文本构成合理使用，而为建立永久性内部图书馆下载逾七百万册盗版图书则不构成合理使用）。

[19] 参见 Lee, Cooper & Grimmelmann, supra note 2（系统梳理生成式人工智能供应链各环节之版权决策节点与责任归属，并指出责任由是分散于“众手”之间）。

[20] 同上注（指出模型一经训练，即难以精确“撤销”特定作品之影响）。所谓“机器遗忘”（machine unlearning）于现有技术下尚不成熟，成本高昂且效果难以保证。

[21] See Lin & Guan, supra note 18, at 605, 612（提出以数据来源披露、数据集策展与水印、动态过滤与投诉处理等角色化义务，取代单一的避风港豁免）。Cf. Lee, Cooper & Grimmelmann, supra note 2.