一个花费了一年多时间考虑欧盟数据保护规则如何适用于OpenAI的病毒式聊天机器人ChatGPT的数据保护工作组报告称，初步结论周五发布。主要结论是，由隐私执法者组成的工作组在关键法律问题（如OpenAI处理数据的合法性和公平性）上仍未做出决定。
这一问题至关重要，因为一旦确认违反该地区的隐私法规，罚款最高可达全球年营业额的4%。监管机构还可以命令停止不合规的处理行为。因此——理论上——OpenAI在该地区面临着巨大的监管风险，而此时专门针对人工智能的法律还很少见（而且，即使在欧盟的情况下，距离全面投入运营还有数年时间）。
但是，如果没有欧盟数据保护执法机构对现行数据保护法律如何适用于ChatGPT的明确说明，OpenAI很可能会继续照常经营——尽管其技术违反该地区《通用数据保护条例》（GDPR）各个方面的投诉数量正在不断增加。
例如，波兰数据保护局（DPA）进行的这项调查是在一起关于该聊天机器人捏造个人信息并拒绝更正错误的投诉后启动的。奥地利最近也提出了类似的投诉。
大量的GDPR投诉，却鲜有执法行动
从纸面上看，只要收集和处理个人数据，GDPR就适用——OpenAI的GPT等大型语言模型（LLMs），即ChatGPT背后的AI模型，在从公共互联网抓取数据以训练其模型时，显然正在大规模地进行此类操作，包括从社交媒体平台获取用户的帖子。
欧盟法规还赋予数据保护机构（DPAs）命令停止任何不合规处理的权力。这可能会成为塑造ChatGPT背后的AI巨头在该地区运营方式的一个非常有力的杠杆，如果GDPR执法者选择动用这一杠杆。
事实上，我们去年就看到了这种情形的端倪：当时意大利的数据保护监管机构对OpenAI处以临时禁令，禁止其处理当地ChatGPT用户的数据。该行动依据的是GDPR中包含的紧急权力，导致这家AI巨头在意大利短暂关闭了服务。
ChatGPT在意大利的恢复直到OpenAI根据数据保护机构提出的一系列要求，对其向用户提供信息和控制措施进行了更改之后才实现。但意大利对该聊天机器人的调查仍在继续，包括核心问题，例如OpenAI声称用于最初处理人们数据以训练其AI模型的法律依据是什么。因此，该工具在欧盟仍处于法律不确定性之中。
根据GDPR，任何希望处理个人数据的实体都必须拥有操作的法律依据。该法规列出了六种可能的依据——尽管大多数在OpenAI的背景下不可用。而且，意大利数据保护机构已经指示这家AI巨头，它不能依赖主张合同必要性来处理人们的数据以训练其AI——使其只剩下两种可能的法律依据：要么是同意（即询问用户是否允许使用其数据）；要么是一个广泛的依据，称为合法利益（LI），这需要平衡测试，并要求控制者允许用户反对处理。
自意大利介入以来，OpenAI似乎转而声称其对用于模型训练的个人数据处理拥有合法利益（LI）。然而，在1月，数据保护局（DPA）对其调查的初步裁决发现OpenAI违反了《通用数据保护条例》（GDPR）。尽管尚未公布初步裁决的细节，因此我们尚不清楚监管机构在法律基础问题上的全面评估，但该投诉的最终决定仍在等待中。
为ChatGPT的合法性提供精准的“修复”？
工作组的报告讨论了这一棘手的合法性问题，指出ChatGPT需要为所有阶段的个人数据处理提供有效的法律依据——包括训练数据的收集；数据的预处理（如过滤）；训练本身；提示和ChatGPT输出；以及对ChatGPT提示的任何训练。
所列出的前三个阶段被工作组称为对人们基本权利构成“特殊风险”——报告强调，网络爬取的规模和自动化可能导致大量个人数据被摄入，涵盖人们生活的许多方面。报告还指出，爬取的数据可能包含最敏感类型的个人数据（GDPR称之为“特殊类别数据”），如健康信息、性取向、政治观点等，处理这些数据所需的法律门槛比一般个人数据更高。
关于特殊类别数据，工作组还主张，即使数据是公开的，也不意味着可以视为已“明显”公开——这将触发GDPR中关于处理此类数据需获得明确同意的豁免。（工作组在此写道：“为了援引GDPR第9条第2款(e)项规定的例外，重要的是要确定数据主体是否意图通过明确且肯定的行为，使相关个人数据可被公众访问。”）
一般而言，OpenAI若要以合法利益（LI）作为其法律依据，需要证明其确实需要处理该数据；处理活动也应仅限于满足该需求所必需的范围；并且必须进行平衡测试，权衡其在数据处理中的合法利益与数据主体的权利和自由（即数据所涉及的人）。
在此方面，工作组提出了另一项建议，指出“适当保障措施”——例如采取“技术措施”、定义“精确的收集标准”和/或屏蔽某些数据类别或来源（如社交媒体个人资料），从而在源头上减少数据收集量以降低对个人影响——可能会“使平衡测试的结果有利于控制者”，正如工作组所述。
这种做法可能迫使AI公司在如何以及收集哪些数据方面更加谨慎，以限制隐私风险。
工作组还建议，“此外，应采取措施在训练阶段之前删除或通过匿名化处理通过网页爬取收集的个人信息。”
OpenAI还试图以合法利益（LI）为依据，将ChatGPT用户的提示词数据用于模型训练。对此，报告强调必须让用户“清晰且可证实地知晓”此类内容可能被用于训练目的——并指出这是在进行合法利益平衡测试时考虑的因素之一。
由各个数据保护局（DPAs）评估投诉的人员将决定这家AI巨头是否满足了实际依赖合法利益（LI）的要求；如果无法做到，ChatGPT的制造商在欧盟将只剩下一个法律选择：征得公民同意。鉴于训练数据集中可能包含大量个人数据，这在实际操作中是否可行尚不明确。（与此同时，该AI巨头正迅速与新闻出版商达成协议以许可其新闻报道，但这并不能转化为许可欧洲人个人数据的模板，因为法律不允许人们出售其同意；同意必须自由给予。）
公平性与透明度并非可有可无
在其他方面，关于GDPR的公平原则，工作组的报告强调，隐私风险不能转嫁给用户，例如通过在服务条款（T&Cs）中嵌入“数据主体对其聊天输入负责”的条款来实现。
报告补充道：“OpenAI仍有责任遵守GDPR，不应辩称某些个人数据的输入本身是被禁止的。”
在透明度义务方面，工作组似乎认为，鉴于为训练大型语言模型（LLM）而获取数据集所涉及的网页抓取规模，OpenAI可以利用豁免条款（《通用数据保护条例》第14条第5款(b)项）来通知个人其收集到的相关数据。但其报告重申了告知用户其输入内容可能被用于训练目的的“特别重要性”。
报告还触及了ChatGPT“幻觉”（即捏造信息）的问题，警告称必须遵守GDPR的“数据准确性原则”，并强调OpenAI因此需要提供关于聊天机器人“概率性输出”及其“有限可靠性水平”的“适当信息”。
工作组还建议OpenAI向用户提供“明确提示”，指出生成的文本“可能存在偏见或系捏造”。
关于数据主体权利（例如更正个人数据的权利——这一直是针对ChatGPT的多起GDPR投诉的焦点），报告称确保人们能够轻松行使这些权利是“至关重要的”。报告还指出OpenAI当前做法存在局限性，包括不允许用户更正为其生成的错误个人信息，而仅提供屏蔽生成内容的选项。
然而，工作组并未就OpenAI如何改进其提供给用户的数据权利行使“方式”提供明确指导——它仅提出一项笼统建议，即公司应采取“旨在以有效方式落实数据保护原则的适当措施”和“必要保障措施”，以满足GDPR要求并保护数据主体的权利。这听起来很像“我们也不知道该如何解决这个问题”。
ChatGPT的GDPR执法是否被搁置？
ChatGPT特别工作组于2023年4月设立，紧随意大利对OpenAI引发头条关注的介入之后，旨在简化欧盟对该新兴技术隐私规则的执法。该工作组在一个名为欧洲数据保护委员会（EDPB）的监管机构内运作，负责指导该领域欧盟法律的适用。虽然值得注意的是，数据保护局（DPAs）仍保持独立，并有权在其管辖范围内自主执行法律，因为GDPR的执法是去中心化的。
尽管各数据保护机构（DPAs）在本地执行方面拥有不可剥夺的独立性，但监管机构显然对如何应对像ChatGPT这样新兴的技术感到紧张或倾向于规避风险。
今年早些时候，当意大利数据保护机构宣布其初步决定时，特意指出其程序将“考虑”EDPB工作组的成果。还有其他迹象表明，监管机构可能更倾向于等待工作组发布最终报告（也许在一年左右的时间）后再介入各自的执法行动。因此，工作组的存在本身可能已经通过推迟决策并将投诉调查置于慢车道的方式，影响了针对OpenAI聊天机器人的GDPR执法。
例如，在最近的当地媒体采访中，波兰的数据保护机构表示，其对OpenAI的调查需要等待特别工作组完成工作后才能进行。
当我们询问该监管机构是否因ChatGPT工作组的并行工作而延迟执法时，未得到回应。虽然EDPB的一位发言人告诉我们，工作组的工作“不预断各数据保护机构在其各自ongoing调查中做出的分析”。但他们补充道：“尽管数据保护机构有权进行执法，但EDPB在促进各数据保护机构之间的执法合作方面发挥着重要作用。”
目前看来，各数据保护局（DPAs）对于应多紧迫地就ChatGPT相关问题采取行动存在相当大的观点差异。因此，尽管意大利的监管机构去年因其迅速介入而成为头条新闻，但爱尔兰（现已离任）的数据保护专员海伦·迪克森在2023年的彭博会议上表示，数据保护局不应急于禁止ChatGPT——她认为他们需要时间来弄清楚“如何对其进行适当监管”。
OpenAI去年秋天选择在爱尔兰设立欧盟业务，这恐怕并非偶然。随后在12月，这一举动悄然伴随着其服务条款（T&Cs）的变更——将其新的爱尔兰实体OpenAI Ireland Limited指定为ChatGPT等服务的区域提供商——从而建立起一种架构，使这家AI巨头能够向爱尔兰数据保护委员会（DPC）申请成为其在GDPR监管下的主要监管机构。
这种以规避监管风险为核心的法律重组似乎为OpenAI带来了回报。EDPB ChatGPT工作组的报告表明，该公司已于今年2月15日获得“主要机构”地位——使其能够利用GDPR中称为“一站式服务”（OSS）的机制。这意味着此后产生的任何跨境投诉都将通过其主要所在国的领先数据保护机构（即OpenAI案例中的爱尔兰）进行统筹处理。
虽然这一切听起来可能有些晦涩难懂，但其基本含义是：这家AI公司现在可以规避进一步分散化执行GDPR的风险——如意大利和波兰所见的情况——因为未来哪些投诉会被调查、如何调查以及何时调查，将由爱尔兰DPC做出决定。
爱尔兰监管机构因在对大型科技公司执行GDPR时采取亲商立场而声名鹊起。换句话说，“大型AI”企业可能即将受益于都柏林在解读欧盟数据保护规则书时所展现出的慷慨态度。
我们曾联系OpenAI以获取其对EDPB工作组初步报告的回应，但在发稿时，OpenAI尚未作出回复。
在我们质疑OpenAI如今是否可以利用GDPR的“一站式服务”机制后，代表波兰ChatGPT GDPR调查投诉人的律师事务所GP Partners的Maciej Gawronski对TechCrunch表示：“我们未从任何人那里收到任何信息，表明OpenAI的欧盟办公室拥有GDPR第4条第1款a项所定义的‘对个人数据处理的目的和方式做出决定’的权力。”
他补充道：“鉴于ChatGPT服务的集中性质，不可能将总部设在美国，而将个人数据处理总部设在欧盟。”此外，“我刚刚查看了我在5月24日从OpenAI收到的使用ChatGPT的发票。该发票由位于美国加利福尼亚州旧金山的Open AI LLC开具。”
在进一步的评论中，Gawronski形容EDPB的报告“深奥且肤浅”，并暗示其读起来像是“由爱尔兰[DPC]起草的”。他补充说：“看来EDPB正竭力帮助OpenAI尽可能显得合规。”“我们仍然认为UODO[波兰数据保护局]有权力和义务审查并决定我们的投诉。”
本报告已更新，增加了额外评论