51、人工智能时代的数据保护：挑战与应对策略

人工智能时代的数据保护：挑战与应对策略

1. 数据转移的全球现状

数据转移在全球范围内受到不同程度的控制。不同国家和地区针对个人数据的转移制定了各自的规则。
- 韩国 ：对个人数据的处理、使用和委托进行了限制。数据主体必须被告知其数据将被转移以及转移的对象公司或实体，还会提供数据接收方的地址、电话号码等联系方式。若数据主体不想转移其个人信息，有撤回同意的方法和程序。数据接收方收到个人信息后，需立即通知数据主体。并且，在因业务转移、合并等原因接收个人信息时，只能将其用于转移前的初始目的。
- 中国香港 ：特定情况下禁止将个人数据转移到境外。除非满足以下条件，否则数据使用者不得将个人数据转移到香港以外的地方：一是该地方在相关通知中被指定；二是使用者有合理理由相信该地方有与本条例实质相似或目的相同的法律；三是数据主体已书面同意转移。此外，若转移是为避免或减轻对数据主体的不利行动，或者无法获得数据主体的书面同意且若能获得其会同意，转移才可进行。不过，相关规定截至目前尚未实施。
- 中国澳门 ：第19条规定个人数据转移到第三国必须有足够的保护水平。需考虑处理操作的目的和持续时间、数据的来源和最终目的地、目的地的法律法规以及专业规则和安全措施等。公共当局有权决定目的地的法律体系是否能确保足够的保护水平。若目的地法律体系不能提供足够保护，在通知公共当局且数据主体明确同意的情况下，转移可以进行；若转移符合数据主体的“重大”利益，或者数据来自依法或行政法规旨在向公众提供信息且公众可查询的登记册，在满足查询条件时，转移也可进行。
- 菲律宾 ：适用第21条，控制器对个人信息的国内和跨国转移负全部责任，责任可委托给组织内的其他人，他们在控制转移的个人信息时承担与控制器相同的责任。并且，菲律宾法律具有域外效力。
- 中国台湾 ：第21条规定，非政府机构将个人数据转移到台湾以外时，中央政府主管部门可对转移施加限制。跨境转移限制适用于涉及重大国家利益或国际条约适用的情况。若接收数据的国家缺乏适当的个人数据保护法规，可能损害数据主体权益，转移可能会受到限制或无法进行。第22条规定，中央政府主管部门或市县政府在必要时或怀疑违反相关法规时，可检查非政府机构的安全控制措施、业务终止时处理个人数据的指南以及跨境转移限制等。

地区	数据转移规定要点
韩国	限制处理、使用和委托，告知数据主体，接收方及时通知，按初始目的使用
中国香港	特定条件下禁止境外转移，需满足指定地方、相似法律、主体同意等条件
中国澳门	确保足够保护水平，公共当局决定，特定情况可转移
菲律宾	控制器负责，责任可委托，法律有域外效力
中国台湾	非政府机构转移受限，考虑国家利益和接收方法规

2. 人工智能带来的挑战

人工智能正日益渗透到社会的各个方面，智能家居技术、儿童玩具、智能服装、个人机器人、无人机等产品的兴起，带来了诸多数据保护和安全问题。
- 数据定义模糊 ：个人数据和非个人数据的界限因聚合数据集的关联和推断而变得模糊。不同国家对个人数据的定义差异很大，例如韩国将个人信息定义为能通过姓名、居民登记号码、图像等识别个人的信息，以及与其他信息结合可识别特定个人的信息；澳门则将个人数据定义为与可识别自然人相关的任何类型信息。此外，敏感个人数据包括哲学或政治信仰、宗教、隐私、种族或民族起源等方面的数据。为调和数据保护、人工智能和网络安全之间的差距，需要统一个人数据的定义，并在定义中加入“人工智能”一词。
- 同意概念复杂 ：同意的定义和应用在不同国家差异很大。在人工智能技术中，实体如何让消费者同意收集和使用个人数据是一个难题。当前的“通知和同意”模式在大数据 - 人工智能环境下是否适用存在疑问。例如，一些智能设备在收集个人数据时，消费者可能并不清楚数据的使用情况。
- 数据质量和透明度问题 ：人工智能依赖大量多样的数据，数据质量至关重要。不准确、不完整或无代表性的数据集会影响人工智能的决策准确性，导致公平性问题。同时，人工智能应用的决策算法复杂，难以完全理解和解释，与数据保护的透明度原则存在冲突。
- 数据存储和保留难题 ：人工智能收集的个人数据的存储和保留时间缺乏明确的法律标准。例如，一个玩具、机器人或其他人工智能系统应该存储个人数据多长时间并不明确，这需要在法律中建立最低标准。
- 责任认定困难 ：在大多数数据保护法律中，组织需要设立控制器或处理器来负责数据的收集、存储和使用。但在人工智能系统中，责任人员的任命和检测变得更加困难。例如，一个智能家居设备收集的数据，其责任归属不明确，是设备所有者、访问技术的组织和个人，还是开发设备的实体，并不清晰。

3. 应对策略探讨

为应对人工智能时代的数据保护挑战，需要多方面的努力和创新。
- 法律改革建议 ：Fred Cate和Rachel Dockery提出数据保护法需要进行五项关键改革，包括从个人同意转向数据管理、将当前的风险管理框架提升为系统性方法、更加关注数据使用者及其影响、建立全面的损害框架以及增强框架的透明度和补救措施。
- 统一人工智能定义 ：国际社会应共同制定和达成人工智能的定义，尽管在军事产品等领域可能存在困难，但可以将军事和国家安全相关的人工智能设备排除在外。
- 采用数据管理模型 ：借鉴农业和兽医化学品管理的经验，对收集个人数据的技术和应用程序的制造商和提供商进行监管，要求他们向数据主体提供足够的信息，以便其做出关于数据使用的明智决策。这种方法可以平衡个人数据的自我管理和数字主体在受监管但不过度监管的法律框架内有效运作所需的认知。
- 加强国际协调 ：目前国际上在人工智能和网络安全领域的法律尚未建立，需要国际组织如G20、联合国、欧盟等更好地协调，制定国际法律、规范和原则，采用全面的技术和法律政策方法来应对数据保护、网络安全和人工智能的挑战。
- 推广多层监管模式 ：政府应推广共同和自我监管模式，通过立法或行为准则确保其可执行性，以增强责任意识和促进对法律框架和互联网行业的信任。

总之，人工智能时代的数据保护是一个复杂且亟待解决的问题。不同国家和地区在数据转移方面的规定各不相同，而人工智能的发展又带来了数据定义、同意概念、数据质量、存储保留和责任认定等多方面的挑战。为了应对这些挑战，需要进行法律改革、统一定义、采用新的管理模型、加强国际协调和推广多层监管模式等多方面的努力。只有这样，才能在促进人工智能发展的同时，保障个人数据的安全和隐私。

4. 不同监管模型分析

不同国家针对个人数据保护采用了不同的监管模型，各有特点。
| 司法管辖区 | 方向 - 重点 | 立法工具 |
| — | — | — |
| 欧盟 | 实现人权和单一市场政策目标 | 2018年通用数据保护条例 |
| 新加坡 | 商业友好，助力实现智能国家政策 | 2012年个人数据保护法 |
| 美国（联邦） | 消费者保护，采用部门化方法 | 1914年联邦贸易法、1974年隐私法 |
| 中国 | 有自身特点，向欧盟靠拢，注重国家对数据收集和使用相关系统的控制 | 2018 - 2019年网络安全法 |
| 澳大利亚（联邦） | 综合上述特点（不包括中国） | 1988年隐私法 |

这些模型体现了不同国家在保护个人数据方面的主权需求和政策导向。例如，欧盟的方法强调人权和单一市场政策，给予数据主体较强的保护和控制权；中国采用国家主导的方法，注重对数据收集和使用基础设施的控制；美国采用部门化的消费者保护方法；新加坡则以商业友好为导向，助力实现智能国家政策；澳大利亚综合了多种特点。随着时间的推移，消费者模型可能会发展成为提供最强控制的模型，不同模型之间也在出现法律趋同的现象。

5. 国际法律进展与挑战

国际上在网络空间的国际法和规范研究方面已经有了一些行动，但尚未达成共识。
- 联合国相关行动 ：2018年，联合国大会投票决定成立两个独立小组研究网络空间的国际法和规范。一项决议由包括俄罗斯在内的一些国家提出，成立了一个不限成员名额的工作组；另一项决议得到包括澳大利亚、法国、德国、英国和美国在内的国家支持，主张在政府专家组的框架内继续讨论。然而，成员国对于未来该领域的国际法具体形式尚未达成一致。
- 布达佩斯网络犯罪公约 ：这是一项重要的国际公约，旨在打击通过互联网和其他计算机网络实施的犯罪，特别是版权侵权、计算机相关欺诈、儿童色情和网络安全违规等行为。截至2020年1月1日，有64个国家批准了该公约，但新加坡和中国未签署或批准，东盟国家中只有菲律宾批准，加拿大签署但有保留意见。该公约是国际上在网络犯罪领域实现趋同和协调的重要一步，但在国际层面仍有很多工作要做，技术进步的速度超过了政策和立法的发展。

6. 应对挑战的综合方法

为了克服人工智能时代的数据保护和网络安全挑战，需要采取多方面的综合方法。
- 国际协调与合作 ：国际组织如G20、联合国、欧盟等应加强协调，制定国际法律、规范和原则，以统一应对数据保护、网络安全和人工智能的挑战，避免孤立地看待这些问题。
- 多层监管模式 ：政府应推广共同和自我监管模式，并通过立法或行为准则确保其可执行性。这种模式可以借鉴食品和农业生产领域的经验，政府设定最低标准，行业通过自我监管解决实际风险。
- 技术与法律政策结合 ：采用全面的技术和法律政策方法，让社会充分了解威胁和风险，并通过法律来应对。例如，新加坡提出的网络安全标签计划（CLS），旨在通过不同级别的网络安全评级，帮助消费者了解智能设备的安全特性，激励制造商开发具有更好安全性能的产品。但该计划在保护个人数据，特别是儿童和弱势群体数据方面的效果仍有待观察，还需要进一步研究以确保其有效性。

综上所述，人工智能时代的数据保护和网络安全问题是全球性的挑战，需要国际社会、政府、行业和技术开发者共同努力，通过法律改革、国际协调、监管创新和技术发展等多方面的措施，来保障个人数据的安全和隐私，促进人工智能的健康发展。

graph LR
    A[数据转移现状] --> B[韩国]
    A --> C[中国香港]
    A --> D[中国澳门]
    A --> E[菲律宾]
    A --> F[中国台湾]
    G[人工智能挑战] --> H[数据定义模糊]
    G --> I[同意概念复杂]
    G --> J[数据质量和透明度问题]
    G --> K[数据存储和保留难题]
    G --> L[责任认定困难]
    M[应对策略] --> N[法律改革建议]
    M --> O[统一人工智能定义]
    M --> P[采用数据管理模型]
    M --> Q[加强国际协调]
    M --> R[推广多层监管模式]
    S[监管模型] --> T[欧盟]
    S --> U[新加坡]
    S --> V[美国]
    S --> W[中国]
    S --> X[澳大利亚]
    Y[国际法律] --> Z[联合国相关行动]
    Y --> AA[布达佩斯网络犯罪公约]
    BB[综合方法] --> CC[国际协调与合作]
    BB --> DD[多层监管模式]
    BB --> EE[技术与法律政策结合]

人工智能时代的数据保护：挑战与应对策略

7. 不同监管模型的特点与趋势

不同国家和地区在个人数据保护方面采用了各具特色的监管模型，这些模型反映了各自的政策目标和发展需求。
| 司法管辖区 | 方向 - 重点 | 立法工具 |
| — | — | — |
| 欧盟 | 以人权和单一市场政策为导向，强调对数据主体的保护 | 2018年通用数据保护条例 |
| 新加坡 | 商业友好，助力实现智能国家政策 | 2012年个人数据保护法 |
| 美国（联邦） | 采用部门化的消费者保护方法 | 1914年联邦贸易法、1974年隐私法 |
| 中国 | 注重国家对数据系统的控制，向欧盟模式靠拢 | 2018 - 2019年网络安全法 |
| 澳大利亚（联邦） | 综合多种模式的特点 | 1988年隐私法 |

从这些模型中可以看出，欧盟模式强调数据主体的权利保护，为数据主体提供了较强的控制权；新加坡模式则更侧重于商业发展，以促进智能国家建设为目标；美国采用部门化的方法，针对不同领域制定专门的法律；中国注重国家对数据基础设施的掌控，同时也在借鉴国际先进经验；澳大利亚则融合了多种模式的元素。

随着时间的推移，不同模型之间呈现出一定的趋同趋势，但也存在明显的差异。例如，在数据主体的同意方式上，欧盟、韩国、加拿大等国家和地区倾向于数据主体“ opt - in ”（主动选择加入），而美国模式则侧重于“ opt - out ”（默认加入，可选择退出）。这种差异反映了不同国家在隐私观念和政策重点上的不同。

8. 国际法律协调的必要性与挑战

在全球化的背景下，数据的跨国流动日益频繁，人工智能和网络安全问题也具有跨国性。因此，国际法律的协调变得尤为重要。
- 必要性 ：不同国家的数据保护法律存在差异，这给跨国数据转移和人工智能的发展带来了障碍。例如，一些国家对敏感数据的定义和处理方式不同，导致企业在跨国业务中面临合规难题。此外，网络犯罪和数据泄露等问题也需要国际合作来共同应对。
- 挑战 ：目前，国际上在人工智能和网络安全领域的法律尚未形成统一的体系。联合国虽然成立了相关小组研究网络空间的国际法和规范，但成员国之间对于未来法律的具体形式和内容尚未达成共识。同时，技术的快速发展也使得法律的制定和更新跟不上步伐，例如人工智能技术的不断创新，使得现有的法律难以完全覆盖其带来的新问题。

9. 技术与法律结合的实践案例

为了应对人工智能时代的数据保护挑战，一些国家和地区已经开始尝试将技术与法律政策相结合。
- 新加坡的网络安全标签计划（CLS） ：新加坡提出的CLS旨在通过对智能设备进行网络安全评级，帮助消费者了解产品的安全特性。该计划将首先应用于Wi - Fi路由器和智能家居集线器等产品。具体操作步骤如下：
1. 产品制造商将产品提交给相关机构进行评估。
2. 评估机构根据一系列基本安全要求，如确保唯一默认密码、遵循安全设计原则、无常见软件漏洞、能抵抗基本渗透测试等，对产品进行测试。
3. 根据测试结果，为产品赋予相应的网络安全评级，并贴上标签。
4. 消费者在购买智能设备时，可以根据标签上的评级信息，选择更安全的产品。

虽然CLS计划具有一定的创新性，但在实际应用中仍面临一些问题。例如，如何确保评级的准确性和公正性，以及如何保护个人数据，特别是儿童和弱势群体的数据，还需要进一步研究和完善。

10. 未来展望

人工智能时代的数据保护和网络安全问题是一个长期而复杂的挑战，需要国际社会、政府、企业和个人共同努力。
- 法律体系的完善 ：国际社会应加强合作，制定统一的国际法律和规范，以协调不同国家的数据保护政策。同时，各国应根据自身情况，不断完善国内法律体系，适应人工智能和网络技术的发展。
- 监管模式的创新 ：推广多层监管模式，结合政府监管、行业自我监管和技术手段，提高数据保护的有效性。例如，建立行业自律组织，制定行业规范和标准，加强企业之间的监督和合作。
- 技术的发展 ：技术开发者应致力于提高人工智能系统的安全性和隐私保护能力。例如，研发更先进的加密技术、数据匿名化技术和安全审计技术，以防止数据泄露和滥用。
- 公众意识的提高 ：加强公众对数据保护和网络安全的意识教育，让消费者了解自己的权利和义务，学会正确使用和保护个人数据。

总之，只有通过国际协调、法律改革、监管创新和技术发展等多方面的努力，才能在人工智能时代保障个人数据的安全和隐私，促进科技的健康发展。

graph LR
    A[不同监管模型] --> B[欧盟模式]
    A --> C[新加坡模式]
    A --> D[美国模式]
    A --> E[中国模式]
    A --> F[澳大利亚模式]
    G[国际法律协调] --> H[必要性]
    G --> I[挑战]
    J[技术与法律结合] --> K[新加坡CLS计划]
    K --> L[提交评估]
    K --> M[测试评级]
    K --> N[贴上标签]
    K --> O[消费者选择]
    P[未来展望] --> Q[法律体系完善]
    P --> R[监管模式创新]
    P --> S[技术发展]
    P --> T[公众意识提高]