GDPR下AI训练数据的匿名化与假名化边界

GDPR 下的人工智能训练数据：匿名化还是假名化？

“我们去掉了姓名，所以已经是匿名化了，GDPR 不再适用”——这是关于训练语料库最致命的一项声明，因为如果成立，整个法规就失效了；如果不成立，则该处理行为从未经过任何评估。判断这一点的标准，与删除了哪些字段无关。

GDPR 划定的界限

假名化（Pseudonymisation）在第 4 条第 5 款中的定义是：以可识别特定数据主体身份的方式处理个人数据，但须借助额外信息且该额外信息单独保存，并受到确保不可归因的技术和组织措施约束。假名化数据仍然是个人数据。第 4 条第 5 款放在定义部分，正是因为假名化是一种安全和最小化措施——第 25 条第 1 款将其列为措施示例之一，而非退出适用范围的手段。

匿名信息在第 26 条考虑意见中处理，其中指出数据保护原则不适用于与可识别或已识别自然人无关的信息，也不适用于以数据主体不可或不再可识别的方式匿名化的个人数据。同一条考虑意见设定了判断标准：确定自然人是否可识别，应考虑控制者或他人可能合理使用的所有手段，包括直接或间接识别人所需的技术手段，并综合客观因素，包括识别所需的成本和时间，以及处理时可用的技术和技术发展情况。完整文本见 EUR-Lex，法规（EU）2016/679。

某一特定数据集是否匿名，是对该数据集的事实和法律评估，这不是一般性页面能替你做出的结论。本文不构成法律意见；声称语料库为匿名状态是你可能需要为之辩护的主张，在依赖之前应当进行评估并存档。

搞错这个问题的实际影响是全局性的，而非渐进式的。如果语料库是个人数据，你需要合法依据来创建它，第 13 条和第 14 条规定的透明度义务随之附加上，数据主体权利适用于它，保留限制适用于它，传输它则涉及第五章。而如果是真正的匿名数据，以上皆不适用。没有中间选项。

可能合理使用的手段

该标准的首要权威案例是 C-582/14 案（Breyer），2016 年 10 月 19 日判决，欧洲法院认定网站运营者持有的动态 IP 地址就其自身而言属于个人数据，只要其拥有法律手段能够通过互联网服务提供商持有的额外信息来识别访问者——详见 curia.europa.eu 的 C-582/14 判决。由此得出两点结论。标准是相对的：它询问的是该持有者可用的手段，而非形而上学的可能性。而且它不局限于持有者自身的数据：通过第三方可获取的手段也算数，只要获取这些手段是合理可能的，法院将通向该第三方的合法路径视为决定性因素。

相对性方法在 C-413/23 P 案（EDPS v Single Resolution Board）中再次得到审视，欧洲法院就来自普通法院在 T-557/20 案中的判决于 2025 年作出上诉裁决。诉讼涉及传输给不持有再识别密钥的接收者的假名化评论，以及这些评论在该接收者手中是否构成个人数据。案卷见 curia.europa.eu 的 C-413/23 P。推理过程比任何一方的摘要都更为审慎，依赖该案例的人应当阅读判决原文而非他人描述；特别是，评估可识别性的视角与评估控制者自身透明度义务的视角未必相同。

关于可识别性的判例法正在发展中。在依赖此处总结的立场之前，请核实 C-413/23 P 和任何后续参考的当前状态，并阅读判决原文。

单独识别、关联性、推断

监管者适用的操作标准来自第 29 条工作组关于匿名化技术的意见 05/2014，该意见对任何声称已匿名的数据集提出三个问题，对其中任何一个问题回答"是"都对该主张构成致命打击。

单独识别。是否可能从数据集中隔离出部分或全部可识别个人身份的记录？注意，这并不要求知道这个人是谁。一个语料库中有一条记录可以区分出属于某个个人，即使整个语料库中没有任何名字出现，也未能通过此测试。

关联性。是否可能将至少两条涉及同一人的记录关联起来，无论是在数据集内部还是在两个数据集之间？两张可识别为同一客户的支持对话记录是可关联的。

推断。是否可能以显著概率从其他属性值推断出某一属性的值？这是即使删除最激进的字段仍然存在的风险，因为它根本不依赖于标识符。

将上述标准应用于训练语料库而非数据库表，结果令人不安。自由文本是三种测试中最难通过的情况：一份描述特定订单、特定投诉和特定位置的支持工单，即使不包含姓名也能单独识别其作者，而写作风格本身也是跨文档的关联向量。从自然语言中移除直接标识符降低了风险，但远未达到第 26 条考虑意见设定的标准，而被描述为"去标识化"的语料库几乎总是属于第 4 条第 5 款意义上的假名化——这意味着它仍然是个人数据，训练数据的保留限制和目的问题仍然适用于它。

欧洲数据保护委员会（EDPB）于 2025 年 1 月发布了关于假名化的指南草案供咨询，可从 EDPB 文件登记处获取；请核查是否已最终确定，因为最终版本可能改变上述分析的侧重点。

模型本身是否包含个人数据

比语料库更进一步的问题是，训练后的权重是否构成个人数据。这直接关系到：如果构成，删除请求将延伸至权重，模型传输即构成数据传输。

欧洲数据保护委员会在 2024 年 12 月应爱尔兰监管机构请求通过的关于人工智能模型背景下个人数据处理某些数据保护方面的意见 28/2024 中对此进行了回应。其立场是，在个人数据上训练的人工智能模型并非在所有情况下都可视为匿名；匿名性必须逐案评估；对于一个模型被视为匿名，需要直接提取用于训练该模型的个人个人数据的可能性，以及通过查询获取此类数据的可能性都微不足道——使用可能合理使用的手段进行评估。这是对特定模型的事实测试，而非非此即彼的分类答案。

有一种值得了解的反对该框架的理由。汉堡数据保护局于 2024 年发布了一份讨论文件，认为大型语言模型本身并不以相关意义存储个人数据，因为权重编码的是令牌之间的统计关系而非关于个人的记录——依此观点，义务附属于训练处理过程和输出，而非模型本身。该立场未被 EDPB 采纳，也未被法院驳回。

悬而未决的问题，以及能够解决这些问题的是什么

这里有三个真正悬而未决的问题，如果一个页面将它们呈现为已解决，那比毫无用处更糟。

如上所述，大型模型的权重是否构成个人数据，监管机构之间存在争议。解决该问题需要欧洲法院的裁决，最有可能是通过对针对模型提供商的删除或访问请求案件提起的初步裁决。在此之前，EDPB 的逐案测试是监管机构最可能适用的立场，而记忆化和提取文献将是该测试所针对的证据。

一个在非法处理的数据上训练的模型是否可以合法部署，也悬而未决。意见 28/2024 涉及开发阶段非法处理对后续部署阶段的后果，其给出的答案很大程度上取决于模型是否真正匿名，以及部署实体是否与开发实体相同。这不是一条干净的规则，将其应用于特定商业模型需要关于训练的事实，而部署者通常并不掌握这些事实。

由个人数据生成的合成数据集是否匿名，根本没有确定的答案。它显然可能无法通过推断测试，也显然可以构建成能够通过测试的样子；个别生成器落在何处，是关于该生成器的经验问题。合成数据匿名的声明应该经过检验而非断言，声明应连同检验结果一起存档，因为根据第 5 条第 2 款，主张者承担问责责任。在训练模型中访问请求实际上能触及什么的邻近问题，可在针对训练模型的访问请求中探讨；最初构建语料库的基础问题则在人工智能训练的合法利益评估中。

相关文章链接：

Can You Get "Your Data" Out of a Trained Model? Article 15 Access Requests

Retention Limits for AI Training Datasets Under GDPR

Writing a Legitimate Interest Assessment for AI Training