给AI喂的数据是从哪来的？企业自建大模型训练数据合规的三个实务判断

　　先说一个正在变得越来越常见的场景。一家做企业服务的公司，为了提升智能客服的回答质量，把过去三年积累的客服工单、用户上传的合同附件和内部知识库文档打包，交给外部团队做模型微调；为了让语料"更丰富"，技术团队又顺手抓取了一批公开的行业网站内容，还把HR系统里的简历数据挪去做简历筛选模型的测试集。项目上线，效果不错，直到有一天收到用户的删除请求，或者监管部门来问一句："你们训练用的这批数据，是从哪里来的，有没有合法依据？"团队才发现，除了几份技术文档，几乎拿不出任何能证明数据来源的东西。

　　这类问题的棘手之处在于，它不像传统合同纠纷那样有清晰的双方和标的。AI训练数据是一条很长的链条：数据从哪来、经过谁的手、加工成什么、又喂给了谁，每一环都可能埋着合规义务。而《生成式人工智能服务管理暂行办法》第七条已经把这条链条的第一颗扣子扣死了——提供者开展预训练、优化训练等训练数据处理活动，应当使用具有合法来源的数据和基础模型，涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形。很多企业误以为这条只管"大厂服务提供者"，与自己无关，但只要你把AI能力用于对外服务、或纳入自身经营流程，数据来源的合法性问题就会以监管检查、民事索赔或用户投诉的形式找上门。下面三个判断，建议企业在立项、采集、上线三个阶段各走一遍。

#一、"合法来源"不等于"公开可抓"：网页、语料与开源模型的边界

　　训练数据来源大体分几类：自行采集、用户提供、第三方采购、开源数据集，以及公开信息抓取。企业最容易踩坑的，正是最后一类——把"能在浏览器里看到"直接等同于"可以拿来训练"。

　　规则层面有两条线需要同时看。《个人信息保护法》第十三条第六项、第二十七条允许在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，个人明确拒绝的除外；但如果对个人权益有重大影响，仍然要依照该法取得个人同意。也就是说，公开信息并非无条件可用，"合理范围"和"重大影响"是两个随时可能收紧的闸门。同时，《生成式人工智能服务管理暂行办法》第七条第一项、第二项要求数据来源合法、涉及知识产权时不得侵害他人合法权益。抓取行为本身还可能违反目标网站的服务协议或技术访问规则，进而牵出反不正当竞争层面的争议。

　　风险在于，企业往往把抓取等同于"技术中立"。一旦被抓取内容包含个人信息、他人享有著作权的作品，或者目标平台明确禁止抓取，风险就从技术问题变成法律问题：用户主张删除、权利人主张侵权、平台主张不正当竞争。更麻烦的是，这类风险有很强的滞后性——训练时无人在意，模型上线、产生收益之后才被追责。

　　实务上，建议把"来源合规"做成一道可核查的前置工序。自行采集的，保留采集范围、授权凭证和目的说明；用户提供的，在协议中明确约定可用于模型训练并取得相应授权；第三方采购的，审查供应商的权利链条和来源承诺，把"数据来源合法、不侵害第三方权益"写成可追责的陈述与保证；开源数据集和基础模型，逐一核对许可证类型与使用限制，尤其是能否商用、能否再训练。对于公开信息，优先选择明确允许使用、不含个人信息或已做匿名化处理的来源，并对抓取范围、频次和字段做出记录。路径选择的差别很明显：自采与采购，前期成本高但链条清晰、可举证；公开抓取，短期成本低、语料量大，但风险敞口最大，事后几乎无法补证。

#二、训练数据里的个人信息：同意、"单独同意"与"匿名化"的真实门槛

　　即使数据来源本身合法，只要其中包含个人信息，处理规则就会显著加重。这是企业AI项目里最容易被低估的一环。

　　《个人信息保护法》划定了几道硬门槛。首先是目的限制：第十四条第二款规定，处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意——把为提供服务而收集的客服对话、工单记录转用于模型训练，通常就属于目的变更。其次是告知与同意：第十七条要求处理前向个人告知处理目的、方式、种类和保存期限；第二十三条对向其他处理者提供个人信息，要求告知并取得单独同意，这意味着把语料交付外部团队微调，往往不是一句"委托处理"就能带过。再次是敏感个人信息：第二十八条列举了生物识别、医疗健康、金融账户、行踪轨迹等信息，第二十九条要求处理敏感个人信息取得单独同意。人脸、人声这类生物识别信息一旦进入训练，标准会明显抬高；《互联网信息服务深度合成管理规定》第十四条第二款还专门提示，提供人脸、人声等生物识别信息编辑功能的，应当提示使用者依法告知被编辑的个人，并取得其单独同意。

　　风险有三种典型形态。第一，目的外使用。员工、用户的对话数据被"顺手"用于训练，属于未经同意的二次利用，而这类证据（原始日志）恰恰掌握在企业自己手里，一旦用户主张，很难抗辩。第二，把"去标识化"当"匿名化"。《个人信息保护法》第四条把匿名化处理后的信息排除在该法所称"个人信息"之外，但匿名化的门槛很高——仅仅删除姓名、手机号等标识之后的去标识化数据，通常仍属于个人信息，不能因为"看不出是谁"就绕过同意与告知义务。第三，撤回同意的处理缺失。个人撤回同意后，企业若无法定位并停止使用相关数据，就会持续处于违法状态。

　　实务上，建议按数据敏感度分级管理。一般个人信息，尽量通过服务协议取得覆盖训练目的、可追溯的同意；敏感个人信息，单独取得同意并做个人信息保护影响评估；确实希望降低同意成本的，就走真正的匿名化路线，并保留匿名化方法与验证记录，而不是停留在"打码"。同时建立"可撤回"机制：能被识别、定位、隔离的数据，才谈得上停止使用和删除。值得强调的是，模型参数再大也不构成免责理由——数据删不掉，义务就还在。

#三、留痕、影响评估与合规审计：出了事谁拿得出证据

　　前两个判断解决"能不能用"，第三个判断解决"用了以后能不能证明自己合规"。这一节最容易被当成行政负担，实则是企业在监管、诉讼和用户争议中唯一的护身符。

　　《个人信息保护法》第五十一条要求处理者采取内部管理制度、分类管理、加密去标识化、权限管理、应急预案等措施；第五十四条要求定期对处理个人信息遵守法律、行政法规的情况进行合规审计；第五十五条、第五十六条要求在敏感个人信息处理、利用个人信息进行自动化决策、委托处理或对外提供、向境外提供等情形下，事前进行个人信息保护影响评估，并对处理情况进行记录，评估报告和处理情况记录至少要保存三年。与此同时，《生成式人工智能服务管理暂行办法》第十七条规定，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并履行算法备案手续；《人工智能生成合成内容标识办法》第九条则要求，向用户提供不含显式标识内容的，依法留存相关日志不少于六个月。

　　难点在于举证责任的实际分配。监管问询、用户投诉、民事索赔发生时，企业需要说明"用了什么数据、依据是什么、采取了什么措施"。这里最常见的失败不是"没做"，而是"做了没留痕"：训练数据版本迭代多次，却说不清某一次训练用的是哪批数据；采集过授权，但协议散落在不同部门；做过影响评估，报告却找不到或超过保存期限。数据链条一旦断裂，事后补证几乎没有可能。

　　实务上，建议把训练数据管理做成一条可回溯的台账：数据来源、授权依据、入库时间、处理方式、是否含个人信息或敏感个人信息、匿名化或去标识化情况、使用范围、销毁记录，逐项留底；对影响评估报告和审计记录设定明确的保存周期与责任人；对具有舆论属性或社会动员能力的服务，按期完成安全评估与备案。对多数企业而言，较稳妥的路径是"先分类、再评估、后训练"：低风险数据（公开且不含个人信息、权利链条清晰的语料）按简化流程处理；高风险数据（含敏感个人信息、来源存疑、抓取所得）必须完成影响评估并取得授权后再入库，宁可少用、慢用，也不要留下无法解释的数据。相反，抱着"先训练、出问题再说"的心态推进，看似省了前置成本，实则把风险推迟到自己已经产生收益、最难下决心回退的阶段。

#四、律师视角：把训练数据合规嵌进合同与流程

　　对企业来说，训练数据合规不是发一篇内部通知就能解决的问题，它需要在立项、采购、开发、上线四个节点嵌入法律动作。立项阶段，先画一张数据地图，标明拟用数据的来源、类型和权利状态，据此判断哪些数据能用、哪些必须先解决授权；采购阶段，在与数据供应商、模型服务商的合同中，写入来源合法性陈述与保证、知识产权与个人信息侵权赔偿条款、审计配合义务和退出后的删除义务；开发阶段，把个人信息保护影响评估、匿名化与去标识化验证、日志留存做成可交付的工程文档，而不是停留在流程表的打勾；上线阶段，结合服务是否具有舆论属性或社会动员能力，判断是否需要安全评估与算法备案，并同步完善用户协议中关于数据使用与标识的约定。

　　对已经上线、历史数据来源存疑的项目，现实的处理顺序通常是：先停止使用风险最高的数据，再对存量做一次盘点与分类，能补授权的补授权，不能补的做删除或隔离，同时固定现有合规证据。这类"补课"虽然被动，但比起在纠纷发生后被动应诉，成本要低得多。

　　回到最初那个场景：企业真正需要的，不是一句"我们的数据都是合法的"这样的结论，而是一条经得起追问的证据链。数据从哪里来、有没有授权、包含了谁的信息、做过什么处理、留没留下记录——这些问题的答案，决定了AI项目在监管和诉讼面前是站稳还是塌方。

　　训练数据合规的本质，是把AI的"原料"当成一种需要确权的资产来管理。谁在源头把这件事做扎实，谁的AI才能走得更远。

---

需要专业帮助？预约测绘，帮你梳理AI训练数据来源、个人信息处理与合规留痕的证据链。