

或将允许AI使用个人数据训练？GDPR新提案公布！

ACG法实务

2025-11-20

导读：10月底，欧盟提出Digital Omnibus 立法计划，宣称目的是简化 GDPR、AI Act 等数字法规、为中小企业减负。

作者丨威理扬法律团队

编辑丨小威

主编丨林娜

事件梳理

10月底，欧盟提出Digital Omnibus 立法计划，宣称目的是简化 GDPR、AI Act 等数字法规、为中小企业减负。

11 月12日， Netzpolitik（德国数字权利媒体）公布的两份内部草案显示，内容包含多项被指违反 GDPR 核心精神的重大修改，引发激烈争议。

草案一方面拟在GDPR 中为“开发和运营 AI 系统（包括模型训练）”增设以“正当利益”为基础的处理路径，允许AI公司以“正当利益”为由使用个人数据进行模型训练，明显扩大AI 平台使用个人（包括敏感）信息进行训练和运行的合法空间；另一方面，通过收窄“个人数据”概念、弱化数据主体权利。

11 月 19 日欧盟委员会公布的Digital Package提案虽然措辞更为温和，但在方向上基本延续泄露草案的风向，即放宽 AI 使用个人数据训练的限制，并调整个人数据定义和特殊类别数据规则，为大规模数据抓取与 AI 训练的合法化奠定基础。

提案中重点修改条款

从提案看，可以发现草案针对个人数据、合法利益以及特殊类别数据的修改其实构成了一个高度连贯的整体设计。

首先，通过重新定义“个人数据”和“特殊类别数据”，缩小 GDPR 保护的数据边界。其次，将“开发和运营 AI”确立为一项“合法利益”，并赋予训练、测试、运营阶段广泛的敏感数据处理空间。最后，对数据主体权利进行限制，使得大规模 AI 训练在法律上更易被包装为“合规”。

1. 合法利益可成为AI使用个人数据训练模型的正当理由。

现行GDPR 下，AI 训练可以援引的法律基础一直存在解释争议。根据泄提案，GDPR 或将明确允许控制者以“正当利益”（legitimate interests）作为法律依据，将个人数据用于训练AI 模型；同时在敏感数据条款中新增专门例外，允许在特定条件下为“AI 系统/模型的开发和运行”处理特殊类别数据。

（欧盟委员会提案原文，机翻）

2. 个人数据定义被“主观化”。

第二个关键修改是对“个人数据”的重新界定。GDPR第4 条第 1 款将个人数据定义为“可识别自然人有关的任何信息”，根据Breyer v. Germany（C-582/14）判例，欧盟一直倾向于广义理解“可识别性”，只要存在合理可能性能够通过某数据结合其他附加信息识别出特定自然人，该数据即落入GDPR 适用范围。提案文本实际上把原本“客观”的个人数据定义改成“平台视角能否识别“的个人数据，允许企业以“我无法识别”为由，把大量使用 ID、Cookie等表面去标识、实际高度可还原的数据认定为“非个人数据”，从而绕开访问、更正、删除等权利。这会让监管机关和数据主体在实践中很难判断GDPR 是否适用，执法空间被严重压缩。

（欧盟委员会提案原文，机翻）

3. 敏感个人数据保护明显收缩

在定义层面，GDPR第九条第9 条中的“揭示（revealing）”在Lindqvist（C-101/01）案中被理解为广义上的“揭示”，认为只要某些信息在内容、目的或效果上足以让人推断出健康状况、政治倾向、性取向等敏感特征，就应被视作第9 条意义上的特殊类别个人数据并享有更高保护。但是，提案中拟将此条改为仅在个人数据“直接揭示”相关特征时才出发特殊类别保护，并在新的序言中明确排除通过“比较、交叉、推断”等间接手段得出的敏感信息，实质性的收窄了第九条的适用空间。

（欧盟委员会提案原文，机翻）

目前进展

就目前立法进程而言，这一切仍然只是委员会层面的提案，后续还要经过欧洲议会与理事会的完整立法程序，而且来自议会中左翼与绿党阵营的反对声音已经非常明确，民间组织也在推动撤回或大幅修改。因此，虽然短期内它对现行GDPR 合规要求还没有直接法律效力，但从监管风向和产业游说力量看，它释放出一个清晰信号：面对 AI 的竞争压力，欧盟正在“个人数据保护”与“科技发展”之间犹豫。

威理扬简评

对于出海欧盟的提供AI生成服务的企业和相关产品而言，这是一个极为关键的风向变化，一旦草案在理事会和议会中通过，欧盟市场的数据利用与模型训练将拥有更宽松的空间。

但不意味着相关企业能够在合规上放松警惕，若此提案未能通过，依旧需要遵守GDPR在个人数据、隐私保护、数据跨境传输等方面的严苛要求。

可以在遵循现行GDPR的基础上，提前在合法利益评估、伪匿名化治理、训练数据合规策略和数据主体权利机制上做好落地准备，这种策略或将帮助出海企业更从容的应对监管的不确定性，并提升自身的业务竞争力。

★

精彩继续，敬请关注

★

一、诉讼与维权

1. 擅用版权歌词训练，德国法院裁定OpenAI 侵犯著作权。

2. Gemini被控未经许可收集用户通信数据，谷歌被提诉。

3. 北京互联网法院审理AI 声音侵权案，聚焦授权链合规与责任划分。

二、行政动向

4. 网信部门整治AI仿冒名人直播营销，处置1.1万账号，将压实平台责任。

5. 爱尔兰数据监管机构附条件许可LinkedIn用公开数据训练AI。

三、立法

6. 英国新法打击AI 生成儿童性虐内容，最高可判10年。

四、行业动向

7. “温峥嵘”被盗脸，曝光AI换脸黑灰产。

👇扫描下方二维码，最新资讯马上送达！📧

（请注明：邮箱、单位、职位及姓名）

声明

本文章所载内容仅供参考之用，并不代表威理扬法律团队及律师的意见。如需更多信息，请联系我们。

关于我们

垦丁北京所威理扬法律团队，骨灰级二次元迷汇集地、产品经理型律师团队。专注游戏、动画、漫画、人工智能、IoT产业全生命周期法律合规。威理扬法律团队为诸多头部二次元厂商提供专业法律服务。业务领域包括出海法律合规（含日本、美国、欧盟、东南亚等国）、国内研运各阶段法律风险梳理及评估、数据合规、知识产权及诉讼纠纷等。

联系方式：156 1168 0945