个人数据与人工智能：监管边界

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

人工智能对海量个人数据的大规模应用，带来了亟待解决的监管难题，企业、政府和公民都需要格外重视。

现状：个人数据是人工智能的“原料”

如今，人工智能系统每时每刻都在处理数量惊人的个人信息。从数字平台上的推荐算法，到金融机构和公共机关使用的预测分析工具，个人数据已经成为驱动各类计算模型的主要“燃料”，而这些模型正在影响人们的日常决策。在这样的背景下，值得探讨的是：监管边界该如何跟上技术变革的速度，才能确保基本权利不会以创新之名被牺牲。

《通用数据保护法》（LGPD，第13.709/2018号法律）为巴西的个人数据处理确立了一套完备的规范框架，其中包括目的、适当性、必要性和透明度等原则。然而，将这些要求与人工智能系统的实际运作相对照，就会发现这些原则在落地时面临不小的障碍。例如，机器学习模型往往像一个“黑箱”，很难向数据主体解释自动化决策的依据，而LGPD第20条恰恰对此作出了规定。

在国际层面，监管动向值得关注。欧盟通过了《人工智能法案》（AI Act），按风险等级对人工智能系统进行分类，并对每一类别施加相应的义务。这种基于风险的思路与个人数据保护直接相关：被归为“高风险”的系统（用于招聘、信贷、医疗和公共安全等领域）须满足严格的透明度、人工监督和影响评估要求。可以看到，欧洲的这一监管趋势已经影响到多个国家的立法讨论，巴西也不例外。

数据尽职调查：一项战略需要

数据尽职调查（due diligence）是一个系统化的过程，用于核查、评估并梳理组织内部个人数据的收集、存储、处理和共享做法。放在人工智能的语境下，这项分析的复杂程度更高：不仅要审查数据本身，还要审查处理这些数据的算法、算法训练所针对的目的，以及可能产生的歧视性影响。

在巴西的企业环境中，数据尽职调查已成为并购、融资和战略合作中不可或缺的一环。投资人和商业伙伴在签约之前，越来越多地要求企业拿出符合LGPD的具体证明。使用人工智能却没有一套规范的尽职调查流程，企业将面临显著的法律、财务和声誉风险，其中包括巴西国家数据保护局（ANPD）施加的行政处罚，罚款最高可达企业在巴西营业额的2%（每次违法行为上限为R$ 50 milhões）。

就人工智能而言，一套有效的数据尽职调查流程至少应包含以下内容：对用于模型训练和运行的数据集进行完整盘点；核查支撑每项处理活动的法律依据；分析同意机制（如适用）；评估算法偏见与歧视风险；记录自动化决策的流程；以及梳理数据的跨境流动，当人工智能模型部署或训练于境外服务器时，这一点尤为重要。

应用于人工智能的数据尽职调查，不只是一道法律手续，更是一种战略性的治理工具：它帮助组织防范日益增多的监管风险，也增强消费者和商业伙伴的信任。

此外，尽职调查还应对人工智能系统的安全性进行技术评估，包括防范对抗性攻击、训练数据泄露，以及可能借助推断技术从所谓已匿名化的数据中重新识别出数据主体的情形。近期研究表明，大型语言模型在某些情况下可能复现其训练数据集中包含的个人数据片段，这就引出了关于责任归属和合规的复杂法律问题。

监管边界：正在构建中的巴西法律框架

巴西目前尚无一部专门且全面规范人工智能的法律，不过国会中已有多项法案正在审议。第2.338/2023号法案旨在为该国人工智能确立监管框架，市民社会、学术界、私营部门和政府各方对此展开了激烈讨论。各方的讨论焦点在于，如何在促进技术创新与保护基本权利（包括隐私和个人数据保护）之间取得平衡，这一点备受关注。

在这一法律框架尚未确立之前，LGPD仍然是规范人工智能系统处理个人数据的主要法律依据。LGPD第20条保障数据主体有权要求对仅基于自动化处理作出的决定进行复核，是这一领域最重要的规定之一。ANPD若对该条款出台实施细则，有望为算法透明度和自动化决策的可解释性划定更明确的标准。

近年来，ANPD发布了若干指导性文件，涉及数据保护与人工智能的关系。其中值得一提的是《学术目的及开展研究的个人数据处理指导指南》，该指南探讨了涉及人工智能的研究项目中数据使用的相关问题。同时可以看到，ANPD也在努力与其他国家的监管机构及国际组织展开对话，以协调各方的监管思路。

在行业层面，一些专门的监管机构已经对人工智能和个人数据的使用提出了要求。巴西中央银行通过有关网络安全政策以及数据处理和存储服务外包要求的规范，规定了一系列义务，对将人工智能用于信贷分析、欺诈防范和客户服务的金融机构产生影响。国家补充健康监管局（ANS）和联邦医学委员会（CFM）也对医疗领域使用人工智能系统表明了立场，既肯定其益处，也承认处理患者敏感数据所伴随的风险。

具体风险与缓解措施

个人数据与人工智能的交汇所产生的风险，已不限于传统意义上的隐私侵害。例如，算法偏见可能延续并放大历史上存在的、与性别、种族、年龄和社会经济状况相关的歧视。如果用于筛选简历的人工智能系统是用反映过往歧视模式的数据训练出来的，那么自动化决策往往会大规模地重现这些偏差，损害弱势群体的基本权利。

另一项值得关注的风险是对公民自由的所谓“寒蝉效应”（chilling effect）。人工智能系统无处不在的监控，如公共场所的人脸识别或通信监测，会让人们感到时刻被注视，从而抑制其正当行使言论、集会和结社等自由。这一现象需要我们在监管层面深入思考，究竟应当如何界定公共安全机关和私营部门使用人工智能的限度。

为降低这些风险，建议组织采取数据治理和人工智能治理措施，包括：按照LGPD的规定定期编制《个人数据保护影响报告》（RIPD）；开展算法影响评估，识别并衡量潜在的歧视性影响；对高影响的自动化决策引入人工监督机制；持续对技术团队和法务团队开展关于人工智能使用的监管影响方面的培训；以及建立有效的渠道，让数据主体能够行使自己的权利，包括获取有关自动化流程运行逻辑的清晰信息。

未来展望与实务建议

未来几年，个人数据与人工智能的监管环境仍将快速演变。全球趋势显示，数据保护监管与人工智能专门监管正在走向融合，形成一套整合的规范体系，这要求组织以整体性的思路来应对合规。可以看到，提前投入数据治理和人工智能治理项目的企业，在竞争中更占优势：既降低了风险，又能凭借向市场传递的信任创造价值。

就巴西而言，人工智能监管框架的通过将是一个分水岭。无论最终采用哪种监管模式（基于风险、基于权利，还是混合模式），可以预见，与LGPD的衔接将成为新法的核心支柱之一。已经建立起成熟LGPD合规体系的组织，将拥有适应新要求的坚实基础。

建议管理者和法律从业者密切关注这一领域的立法和监管进展，投入多学科的技术能力建设，并以积极主动的姿态应对合规。应用于人工智能的数据尽职调查，不应被视为一项成本或官僚主义的障碍，而应被视为对组织可持续性和韧性的战略性投资。为即将到来的监管边界做好准备，现在正是时候，而不是等到处罚已经落下之后。

这一话题与人工智能与监管直接相关，我们已在专文中对此作过探讨。

为了便于您进一步阅读，本所另有一篇文章可供参考，主题是人工智能如何。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.