ChatGPT被禁风波：GDPR下的AI合规挑战

ChatGPT被禁风波：GDPR下的AI合规挑战

引用

一财网

等

10

来源

1.

https://www.yicai.com/news/102127863.html

2.

https://sloanreview.mit.edu/article/organizations-face-challenges-in-timely-compliance-with-the-eu-ai-act/

3.

https://privacymatters.dlapiper.com/2024/04/europe-the-eu-ai-acts-relationship-with-data-protection-law-key-takeaways/

4.

https://www.itgovernance.eu/blog/en/summary-of-the-gdprs-10-key-requirements

5.

https://noyb.eu/en/chatgpt-provides-false-information-about-people-and-openai-cant-correct-it

6.

https://gdprlocal.com/how-the-eu-ai-act-complements-gdpr-a-compliance-guide/

7.

https://www.itgovernance.eu/blog/en/summary-of-the-gdprs-10-key-requirements#Data-protection-impact-assessment

8.

https://www.itgovernance.eu/blog/en/summary-of-the-gdprs-10-key-requirements#Data-accuracy--integrity-and-confidentiality

9.

https://www.sciencedirect.com/science/article/pii/S0740624X24000741

10.

https://www.williamfry.com/knowledge/ai-chatgpt-and-the-edpb-regulatory-insights-from-taskforce-report/

2023年3月，意大利数据保护局（Garante）以违反欧盟《通用数据保护条例》（GDPR）为由，宣布暂时禁止使用ChatGPT。这一决定犹如一声惊雷，不仅让OpenAI这家AI领军企业陷入被动，更引发了全球对生成式人工智能服务合规性的广泛关注。

GDPR作为欧盟数据保护的核心法规，其影响力不容小觑。它不仅适用于欧盟境内的企业，也适用于任何处理欧盟公民个人数据的组织。对于AI服务而言，GDPR的以下几点要求尤为重要：

1. 合法性、公平性和透明度：AI服务在处理个人数据时必须具备合法基础，如用户同意或合法利益。同时，必须向用户提供清晰的信息，确保处理过程的公平性。

2. 目的限制、数据最小化和存储限制：AI系统只能为特定目的收集数据，且应将数据收集范围限制在最小必要范围内。对于不再需要的个人数据，应及时销毁。

3. 数据准确性、完整性和保密性：AI系统生成的内容必须准确，用户有权要求更正不准确的信息。同时，企业需要采取技术措施确保数据安全。

4. 数据保护影响评估（DPIA）：对于高风险的数据处理活动，如大规模自动化决策，企业必须进行DPIA，识别和最小化对个人权利的潜在影响。

ChatGPT在欧盟面临的挑战，正是源于其在多个层面与GDPR要求的冲突。

数据收集环节

ChatGPT通过网络抓取大量数据用于模型训练，其中可能包含个人数据，甚至是最敏感的健康信息。根据GDPR，即使是公开的个人数据，也不意味着可以直接使用。企业需要确保数据主体已明确同意将其个人数据公开，并且需要为数据收集设定有效的法律基础。

数据处理环节

ChatGPT的训练过程涉及概率计算，可能导致输出结果存在偏差或捏造。这不仅违反了数据准确性要求，也引发了对算法决策透明度的质疑。GDPR强调，当AI系统用于自动化决策时，必须确保决策过程的可解释性，以便用户理解并挑战可能的错误结果。

用户交互环节

在与用户交互时，ChatGPT需要处理用户的输入数据。然而，OpenAI不能简单地将合规责任转嫁给用户，要求用户对其输入内容负责。相反，OpenAI作为数据控制者，必须确保整个数据处理过程符合GDPR要求。

面对欧盟的监管压力，OpenAI采取了多项措施试图解决合规问题：

1. 更新隐私政策：2023年12月，OpenAI更新了其欧洲隐私政策，试图更好地符合GDPR要求。

2. 设立爱尔兰实体：2024年2月，OpenAI在爱尔兰设立OpenAI Ireland Limited，利用GDPR的单一窗口机制，将欧盟内部的合规事务集中由爱尔兰数据保护委员会（DPC）处理。

然而，这些措施并未完全解决问题。工作组建议各成员国监督机构继续协调执法活动，形成统一的执法标准。OpenAI则需要根据反馈不断改进其技术措施和合规策略。

这一事件凸显了AI服务在欧盟市场面临的重大合规挑战。随着《欧盟人工智能法案》即将生效，AI服务将面临更严格的监管环境。企业需要建立涵盖事前、事中和事后的全链条合规体系，这无疑将增加AI服务的开发和运营成本。

从长远来看，这可能影响AI产品的国际竞争力。然而，正如北京金杜律师事务所合伙人吴涵律师所言，欧盟的数字治理思路是以事前监管为重点，构建全链条监管体系。这种严格的监管框架虽然对企业提出了更高要求，但也有助于推动AI技术在法律框架内健康发展，保护用户权益。

这一事件不仅关乎OpenAI的商业命运，更折射出AI时代数据保护与技术创新之间微妙的平衡。如何在遵守GDPR的同时推动技术发展，已成为全球AI公司亟需解决的重要课题。