最高法首部 AI 司法意见精读：AI 全生命周期合规视角（上）

AI 换脸、克隆声音、以智能问答之名编造"事实"——技术狂奔不会停，争议却早已发生。此刻最该问的是：损害由谁承担？

大模型的诞生从数据训练开始，这是产业发展的基本事实。但是数据从哪里来才算合法，尤其是公开的数据能否直接使用，一直是现实中的难题。

第6条先回答了个人信息使用这一部分。突出的亮点是：明确为训练人工智能模型，在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，个人没有明确拒绝的，一般不认定侵害个人信息权益；处理活动对个人权益有重大影响的，仍然应当依法取得同意。

这条规则给产业留下了数据使用空间。官方《理解与适用》明言：若此类处理一律要求取得个人同意，在技术与商业上均存在巨大障碍，可能影响人工智能技术创新发展。最高法在现有规则的基础上【《个人信息保护法》第13、27条】，将“训练人工智能模型”纳入“合理范围”，一定程度上使争论从“训练是否必须逐一授权”，推进到“何种训练可以免于逐一授权”。

对普通人来说，这条规则仍保留了反制措施：个人可以明确拒绝，以及处理活动如果会对个人权益产生重大影响，仍然要依法取得同意。

第4条则进一步落到姓名、肖像、声音，与第六条结合起来看，若处理公开发布的照片、声音会"生成可识别原权利人的内容"，仍需以权利人同意为前提

特别强调，《意见》并未解决“关于未经许可使用他人作品训练人工智能”这一最具争议的问题。《理解与适用》明确，“起草过程中，此问题亦被纳入视野，但是论证过程中亦存在很大争议……《意见》暂未对此问题作出规定。”

训练环节，关于个人信息的使用，《意见》松了口子、给了确定性；但AIGC可版权性的问题继续悬置，可能需要于司法个案中进一步讨论。

目前的AI 产业不是一家公司可以独立完成的，底层模型、开源代码、数据、应用开发者和最终用户层层连接。不同参与者贡献不同，享有不同的权利；反之如果下游发生侵权，责任也不会都沿着技术栈无限向上追。在此背景下，《意见》第13条、14条、15条、16条对开发链条中的不同主体的责任进行了细化。

1.关于责任

第13条对开源软件采取了有条件的责任安排。其中较为特别的是，开发者免费提供部分代码模块，并公开说明功能和安全风险，法院可以根据个案认定其不承担责任。

《理解与适用》透露，起草时曾考虑过更绝对的开源方免责，最终因开源许可类型多样、法律关系复杂，退回"一事一议"。此条的意义不在解决既有分歧，而在亮明对开源生态的保护态度，即开源方不必再只靠抽象的"技术中立"抗辩。

第15条处理 AI 技术合同。人工智能技术整体较为前沿，最终没有达到理想效果，是否违约还要结合合同约定、技术难度和研发方是否尽到合理努力来认定。

这一规定的基础是《民法典》858条，即技术开发合同因无法克服的技术困难导致失败的，应当按照约定或依法合理分担风险。《意见》的创新之处在于：

• 囊括了涉人工智能技术的“开发、转让、许可、咨询、服务合同”，而不是局限于技术开发。

• 突出了“合理努力”这一判断因素，让法院更明确地审查“开发方究竟做了什么”，而不只争论“技术上到底能不能做成”。

这一规定，在合同约定不清、项目探索性较强、验收指标需要结合技术背景解释时，可能产生更明显的影响。对于企业来说，后续在处理人工智能相关协议时，要把研发目标、准确率口径、数据责任、评测方法、迭代次数、验收和退出机制写清楚。采购 AI 服务的一方也不能只接受“行业领先”这样的表述，具体指标和验证方式才决定交付失败后能否主张权利。

2.关于权利

第16条是AI企业对于训练过程中已经合法取得的数据，可以享有什么权利——答案基本是重申现有法律规定，即可以是著作权、商业秘密或竞争性利益。但有数据优势不能搞垄断，也不能恶意破坏别人的AI系统。

第14条是关于 AI 辅助发明的规则。有意思的是，最高法已经明确把AIGC可版权问题排除出《意见》的范围，理由是在理论和实务上存在很大争议。

但是对于专利，《意见》则明确以自然人对发明创造的实质性特点是否作出了创造性贡献作为判断标准。如有实质性贡献，则应当认定为发明人；如果没有实质性贡献，相关成果甚至无法成为专利法保护的客体。

这一结论无疑比著作权明确很多，至于人的贡献达到什么程度才值得赋予专利权，抱歉《意见》仍然没有答案，仍然需要实践加以探索。

企业要保存"提问题—选方案—实验验证—关键修改"的全过程；研发人员也该明白，单纯操作工具与作出创造性贡献，法律评价截然不同。

研发环节，《意见》的增量是"责任沿技术链下沉、权利按贡献归属"：开源方有了免责通道，合同方有了"合理努力"标尺，专利发明人有了"实质贡献"准绳。

模型能力增长很快。换一张脸、克隆一段声音、生成一个数字人，在技术上已经很容易。企业接下来的诱惑，是把能做的能力尽快封装成产品。人格权和消费者权益的风险，常常就发生在这一步。

1. AI 换脸换声、AI复活逝者和虚拟数字形象

第4条把人格权相关内容放在一起，基本是目前已有的裁判规则的聚合，强调的是最终是否生成了可识别到特定自然人的结果，以及是否对自然人（死者情况下指的是特定近亲属）的尊严、名誉造成了损害。对于AI“撞脸”这种偶然造成的相似如何处理，则没有明确结论。

第5条专门规制 AI “网络开盒”和“人肉搜索”。亮点是明确以刺探隐私为目的，利用AI技术追踪公开信息而泄秘的，仍然可能构成隐私权侵害。

以上两条规定，一定程度上强调了AI产品的技术和工具属性。根据损害后果讨论责任，而不对技术本身作出评价。于企业而言，则需要重点把住两道关：使用真人形象、声音前，确认授权明确覆盖AI生成及具体用途；利用AI分析个人信息前，确认目的合法、范围必要，避免从公开信息中挖掘隐私。同时，将上述要求纳入业务审批和供应商管理，确保发现侵权风险后能够及时停止使用和传播。

2.定价、营销和自动驾驶

第10条回应了大数据杀熟和 AI 仿冒带货。动态定价本身并不当然违法。法院关注的是企业是否利用消费者偏好、支付意愿、支付能力和交易习惯，对特定消费者设置不合理条件，进而损害知情权、自主选择权和公平交易权。

第9条和第11条针对的是AI的产品责任（即因产品本身的缺陷和质量问题造成的责任），且有两个较大的亮点：

• 明确人工智能产品应当限定为以实物为载体的产品，如具身智能机器人、自动驾驶汽车等，而不包括纯软件或者一般生成式 AI 服务。主要是避免使产品责任这一无过错责任泛化，不利于产业发展。

• 人工智能产品的缺陷认定，需要考虑其自主学习能力、与环境的复杂交互以及其决策过程的不透明性。

产品环节，风险在于产品怎么用。人格权看后果、定价看手段、产品责任看实物载体与缺陷特殊性。企业最该做的，是把合规审查前置到产品设计与营销环节，而非事后补救。