作者：王红燕 沈杨雨岚 汪媛雅 刘珂诗 章雨璐
《中国人工智能企业出海百问百答》第五及第六部分
四十九、在海外进行软件著作权登记，是否有必要？对维权有何帮助？
【风险等级提示：绿线问题】
一、确权与证据效力层面
海外诉讼的首要环节是证明原告为合法的著作权人。在未登记的情况下，企业需要提交极其庞杂的研发底稿、Git提交记录、劳动合同、第三方开源授权协议及早期发布凭证等，不仅举证链路冗长，且极易被被告以“权属瑕疵”提出异议。而在美国等主流司法管辖区，在规定时间内取得的版权登记证书具有“初步证据”（Prima Facie Evidence）效力[2]。法庭将直接推定登记证书上记载的权利人和作品信息真实有效，举证责任随之转移给被告。被告若想否认，必须承担反证责任，这直接降低了原告的举证难度与诉讼成本。
二、诉讼程序与立案门槛层面
在部分核心海外市场，版权登记不仅是证据，更是启动诉讼程序的法定前置条件。以美国联邦法院为例，根据美国最高法院在Fourth Estate案[3]中确立的立案规则，原告在提起版权侵权诉讼前，必须已经获得版权局颁发的最终登记证书或收到拒绝登记通知。如果企业在发现侵权后才临时补办登记，通常需要等待数月甚至支付高额加急费，极易错过申请临时禁令（TRO/PI）和证据保全的黄金时机。
三、赔偿救济与维权成本层面
海外（特别是欧美国家）的版权诉讼律师费用高昂，若无法在判决中追回律师费，企业常面临“赢了官司赔了钱”的困境。《美国版权法》第412条规定[4]，只有在侵权行为发生前完成版权登记，或在软件首次出版后三个月内完成登记，原告方可在诉讼中主张“法定赔偿”（Statutory Damages）与“追偿律师费”（Attorney’s Fees）。其中，法定赔偿无需证明实际经济损失，法官可直接根据侵权情节判定每件作品最高15万美元的赔偿额。若未及时登记，原告仅能主张举证难度极大且金额往往较低的“实际损失”或“被告侵权所得”。
四、平台维权与行政执法层面
软件出海高度依赖 Apple App Store、Google Play、Steam 等线上渠道。当遭遇代码抄袭或换皮侵权时，最快捷的救济手段是向平台发起基于《数字千年版权法》（DMCA）的下架通知[5]。平台合规团队在审核争议时，官方版权登记证书是最具说服力的直接凭证，能显著缩短平台的审核周期。此外，对于软硬件一体化或嵌入式软件企业，向海关与边境保护局（如美国CBP）进行版权登记备案，还能促使海关在边境查验并扣留搭载侵权软件的进出口硬件产品。
综上，海外软件著作权登记并非“必要”，但对于具有较高商业价值、计划长期经营且存在跨境侵权风险的软件，建议提前布局。出海企业无需盲目进行“全球全覆盖登记”，而应采取“重点市场优先、时间节点优先”的策略，优先布局诉讼成本高且登记效力强的国家；务必把握在软件首次公开出版后三个月内的黄金登记窗口期；同时可利用主流国家允许提交遮蔽源代码的规则，在实现版权确权的同时保障商业秘密安全。
五十、如何处理因模型蒸馏或知识蒸馏可能引发的知识产权争议？
【风险等级提示：绿线问题】
模型蒸馏常见做法是让学生模型反复学习教师模型的输出，而不是直接拿走权重或源代码。[6]因此，判断是否侵权，不能只看两个模型表现得像不像，还要看教师模型如何访问、输出如何取得、训练时具体用了什么，以及学生模型是否对原有服务形成替代。仅凭相似回答、相同拒答或同类错误，通常不足以证明复制。
著作权问题要落到具体的“表达”上。若训练中批量保存教师模型生成的代码、图片或较有独创性的文本，或者学生模型能够稳定复现特定作品，风险就会明显增加。模型能力、事实知识、解题方法或表达风格，一般不能直接作为作品受到保护。[7]需要注意，中国法上的合理使用有明确适用范围，不能简单照搬美国的四因素分析；在欧盟开展业务，还应核查权利人是否以机器可读方式声明保留文本与数据挖掘权利。[8]
实务中，最先被拿出来主张的往往是服务条款。API协议若已明确禁止批量提取、绕过限流、多账户调用或利用输出训练竞争模型，企业即使对著作权问题有抗辩空间，仍可能面临违约责任。不过，格式条款是否充分提示、相关限制是否合理，也需单独判断。[9]若调用还伴随盗用账号、虚假身份、电子侵入或规避技术措施，则可能进一步涉及商业秘密和数据不正当竞争。至于一般的“搭便车”，不能只看是否节省成本，还要结合手段、规模、替代效果和实际损害判断。[10]
更稳妥的做法，是在研发开始前留存教师模型版本、许可条款和账号主体，记录提示词、调用量、输出用途及训练集版本；尽量使用自有或已获授权的数据，做好受保护表达过滤、去重和记忆复现测试，并禁止团队接触来历不明的权重、泄露资料或离职人员带出的保密信息。第三方参与时，应在合同中写明数据和模型来源保证、审计、删除及赔偿责任。[11]收到投诉后，先保全日志、数据及模型版本，再核对条款是否成立、访问是否合规、是否存在具体复制和市场替代，不宜直接承认“蒸馏即侵权”。
五十一、 欧盟GDPR与美国CCPA/CPRA的核心差异是什么？AI企业应优先遵循哪个标准？
GDPR与CCPA/CPRA均是全球具有重要影响力的数据隐私立法，但两者在个人信息处理规则、适用范围、消费者权利及执法机制等方面存在明显差异。GDPR自2018年5月25日起适用，CCPA自2020年1月1日起生效，并经CPRA修订后自2023年1月1日起实施。[12、13]
核心差异。GDPR以个人数据处理的合法性为基础，企业处理个人数据须具有相应的合法性基础，包括同意、合同履行、法定义务、合法利益等；在以同意作为处理依据的情况下，须事先取得符合GDPR要求的有效同意，即采取“opt-in”机制。CCPA/CPRA则总体采取“opt-out”机制，企业在满足法律规定的前提下可以收集和使用个人信息，但消费者对于个人信息的出售（sale）、共享（sharing）以及敏感个人信息的特定使用享有选择退出或限制处理的权利。因此，GDPR更加侧重于企业处理个人数据的合法性基础和事前合规判断，而CCPA/CPRA更加突出消费者对个人信息商业化使用的事后控制权。对于AI企业而言，这一差异直接影响隐私政策设计、同意机制、数据收集流程及用户权利响应机制。
适用范围。GDPR具有较强的域外适用效力：除在欧盟设立机构的企业外，位于欧盟境外的企业向欧盟境内个人提供商品或服务，或者对其在欧盟境内的行为进行监测，也可能适用GDPR。CCPA/CPRA同样具有一定的域外适用性，其适用并不以企业是否在加州设立实体为限；位于加州以外的企业，如属于CCPA/CPRA规定的“business”并达到相应适用门槛，且处理加州消费者的个人信息，同样可能受到其约束。目前主要门槛包括年度总收入达到2662.5万美元、每年买卖或分享10万名以上消费者或家庭的个人信息，或者年度收入50%以上来自出售或分享个人信息等情形。[14]因此，AI企业开展跨境业务时，应结合企业所在地、目标市场、用户所在地及具体数据处理活动分别判断两套法律的适用性。
消费者权利。GDPR赋予数据主体访问、更正、删除、限制处理、数据可携、反对处理以及不受特定自动化决策约束等权利。CCPA/CPRA则赋予消费者知情、访问、删除、更正、选择退出出售或共享、限制敏感个人信息使用等权利，并针对自动化决策技术（ADMT）逐步增加相关保护机制。[15]在权利响应期限方面，GDPR原则上要求在一个月内作出回应，必要时可延长两个月；CCPA/CPRA原则上要求在45个日历日内回应，必要时可延长45日。[16]
处罚与执法。GDPR行政罚款最高可达2000万欧元或企业上一财年度全球营业额的4%，以较高者为准。CCPA/CPRA则主要通过加州监管机构执法，并针对特定数据泄露事件赋予消费者私人诉权。[17]2025年9月，CPPA因Tractor Supply违反CCPA相关隐私政策、消费者权利及全球隐私控制（GPC）等要求，对其处以135万美元罚款，体现了加州监管机构对企业消费者隐私合规的持续强化。[18]
合规实践。对于同时面向欧盟和加州市场的AI企业，可在统一隐私治理体系的基础上，以GDPR的个人数据处理合法性、数据主体权利、安全保障及跨境传输等要求作为整体合规框架，并结合CCPA/CPRA进一步完善出售和共享的选择退出、GPC、敏感个人信息限制及ADMT等加州特有要求。对于仅面向美国市场且不触发GDPR的企业，则应以CCPA/CPRA及其他适用的美国联邦、州级隐私法律为主要合规依据。需要注意的是，GDPR与CCPA/CPRA的适用范围和具体义务并非完全重合，企业不能简单以一套隐私政策或合规机制替代另一套制度，而应根据不同市场的法律要求进行针对性调整。
五十二、我们的AI产品处理个人数据，法律依据是“同意”还是“正当利益”？如何选择更稳妥？
中国《个人信息保护法》没有一般性的“正当利益”依据。AI产品使用用户输入、日志或人工标注结果训练时，应先看是否属于履行合同所必需、履行法定义务、紧急保护，或者合理使用已经合法公开的信息；这些情形都不适用时，通常仍需取得同意。[19]公开信息也不能随意使用：个人已经明确拒绝，或者处理会对其权益产生重大影响的，应停止处理或另行取得同意。[20]如果产品属于拟人化互动服务，将敏感聊天用于模型训练，还应取得单独同意。[21]
但“同意”也并不等于风险结束。大模型训练用途复杂，隐私政策写得再长，也未必能让用户真正理解。[22]若非必要功能也以同意为使用条件，或告知中没有说明训练目的、数据类别、保存期限和退出方式，同意可能难以成立；用途、处理方式或数据种类发生变化，还要重新征求同意。[23]实务中，不建议把服务所必需的数据和“改进产品、个性化、模型训练”一次性打包授权，至少应分别说明，并为非必要用途设置独立开关。
在欧盟，正当利益可以考虑，但也不是比同意更省事。企业需要留下一份经得起审查的判断记录：所追求的利益是否具体、现实，使用这些数据是否确有必要，是否存在侵扰更小的替代方案，以及用户权利是否应当优先。[24]对网络抓取尤其要谨慎。公开可访问不等于用户同意，能否依赖正当利益，还要看抓取规模、信息敏感性、是否涉及未成年人、用户的合理预期及保护措施。[25]
落地时，可以按具体用途建一张台账，写清数据从哪里来、用来做什么、依赖哪项法律依据。中国场景下，不要把“正当利益”写进隐私政策充当兜底；欧盟的反欺诈、安全检测或有限产品改进，可以在完成评估后再决定是否采用。上线前还应完成个人信息保护影响评估，控制敏感信息和未成年人数据，落实去标识化、最短留存、撤回和删除入口，并准备模型遗忘或输出抑制措施。[26]真正稳妥的标准不是取得一次授权，而是随时能够说明为什么需要这些数据、为什么不能少用，以及用户如何有效退出。
编辑|王佳佳
[1]《伯尔尼保护文学和艺术作品公约》（Berne Convention）第5条第（2）款；
[2]参见《美国法典》第17卷第410条(c)款（17 U.S.C. § 410(c)）；
[3]参见美国联邦最高法院判例 Fourth Estate Public Benefit Corp. v. Wall-Street.com, LLC, 139 S. Ct. 881 (2019)；
[4]参见《美国法典》第17卷第412条（17 U.S.C. § 412）；
[5]参见美国《数字千年版权法》（Digital Millennium Copyright Act, 17 U.S.C. § 512）；
[6]李宗辉、文捷：《大模型知识蒸馏版权侵权之否定》，载《南京邮电大学学报（社会科学版）》2026年；
[7]《中华人民共和国著作权法》第3条、第10条、第24条。另参见林秀芹：《DeepSeek模型蒸馏的著作权法正当性重勘》，载《知识产权》2025年第4期（主张模型参数具有功能性、蒸馏原则上不构成著作权侵权）；顾萍、徐世达：《守护AI的灵魂：如何防范大型语言模型及其蒸馏模型知识产权风险》，中伦视界，2025年4月15日；
[8]美国《版权法》17 U.S.C. §107以使用目的及性质、作品性质、使用数量及实质性、潜在市场影响四项因素判断合理使用；欧盟《数字化单一市场版权指令》（Directive (EU) 2019/790）第4条允许对合法可访问作品进行一般文本与数据挖掘，但权利人可依第4条第3款以适当方式保留权利，在线内容的保留通常应采用机器可读方式。欧盟《人工智能法》（Regulation (EU) 2024/1689）第53条第1款(c)、(d)还要求通用目的AI模型提供者制定遵守欧盟版权法、特别是识别并遵守该权利保留的政策，并公开训练内容的充分详细摘要。
[9]《中华人民共和国民法典》第465条、第496-498条、第577条；
[10]《中华人民共和国反不正当竞争法》（2025年修订）第2条、第10条、第13条第3款、第39条；最高人民法院指导性案例262号“某科技有限公司诉某文化传媒有限公司不正当竞争纠纷案”（2025年8月28日发布）。另参见詹韫如：《反不正当竞争法下知识蒸馏违法性的认定》，载《知识产权》2025年第11期（主张反不正当竞争法仅应有限介入，并区分不正当获取商业秘密与合法反向工程、普通搭便车）。
[11]薛熠：《中立技术、技术剽窃或是技术霸权？“蒸馏”动了谁的蛋糕（下篇）》，中伦视界，2026年7月21日
[12]Regulation (EU) 2016/679 (General Data Protection Regulation), Arts. 3, 6, 7, 12–22 & 83, https://eur-lex.europa.eu/eli/reg/2016/679/oj
[13]California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., as amended by the California Privacy Rights Act of 2020, https://oag.ca.gov/privacy/ccpa.
[14]California Privacy Protection Agency (CPPA), Updated Monetary Thresholds in CCPA, effective January 1, 2025, https://cppa.ca.gov/regulations/cpi_adjustment.html.
[15]California Privacy Protection Agency (CPPA), California Consumer Privacy Act Regulations, https://cppa.ca.gov/regulations/consumer_privacy_act.html.
[16]Regulation (EU) 2016/679 (General Data Protection Regulation), Art. 12(3); California Consumer Privacy Act of 2018, Cal. Civ. Code § 1798.130.
[17]California Consumer Privacy Act of 2018, Cal. Civ. Code § 1798.150.
[18]California Privacy Protection Agency (CPPA), Nation's Largest Rural Lifestyle Retailer to Pay $1.35M Over CCPA Violations (Sept. 30, 2025), https://cppa.ca.gov/announcements/2025/20250930.html.
[19]《中华人民共和国个人信息保护法》第13条第1款、第2款；《生成式人工智能服务管理暂行办法》第7条第（三）项。另参见王苑：《人工智能预训练中大规模抓取个人信息的合法性困境与出路》，载《中国法律评论》2025年第5期，第66-78页。
[20]《中华人民共和国个人信息保护法》第27条。
[21]《生成式人工智能服务管理暂行办法》第7条；《人工智能拟人化互动服务管理暂行办法》（国家网信办等五部门令第21号）第2条、第16条。后者仅适用于持续性的情感互动服务，不包括不涉及此类互动的智能客服、知识问答、工作助手等一般服务。
[22]吕炳斌：《数字时代个人信息同意规则的解释论修正》，载《比较法研究》2026年第2期，第118-134页。
[23]《中华人民共和国个人信息保护法》第14条、第15条、第17条。
[24]Regulation (EU) 2016/679 (GDPR), arts. 5(2), 6(1)(f), 21; European Data Protection Board, Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models, adopted 17 Dec. 2024, paras. 60, 66-72, 77-97。
[25]European Data Protection Board, Guidelines 03/2026 on Web Scraping in the Context of Generative AI, Version 1.0, adopted 7 July 2026, paras. 43—65。
[26]《中华人民共和国个人信息保护法》第6条、第19条、第28-30条、第55-56条；GDPR, arts. 5(1)(b)-(e), 25, 35。另参见EDPB《第28/2024号意见》第96-97段及《第03/2026号指南》第65段以下关于数据源排除、过滤、匿名化/假名化、权利行使和防止模型记忆、复现等缓解措施。
本文版权归「科技法全球合规观察」所有，如需转载，请联系下方秘书号洽谈授权。
如果您有相关法律咨询需求，
欢迎添加团队秘书号：
