欧洲议会和欧盟委员会关于缺陷产品责任的指令的建议（选译）

编者按

关于人工智能安全和监管，本公号发布过以下文章：

今天和大家分享的是欧盟《产品责任指令》立法过程中的进展，译者为朱悦。

欧洲议会和欧盟委员会关于缺陷产品责任的指令的建议

(与欧洲经济区有关的文本)

在开始译文内容前，有必要说明对译文的背景、来源和内容。这些说明不是译文的组成部分，但对理解和使用译文有所帮助。

我国和欧盟正在针对人工智能开展立法。欧盟针对人工智能立法采取了“三架马车”并行的策略。除了受到关注最多的《人工智能法案》以及暗流正在涌动的《著作权指令》，进度稳稳推进的《产品责任指令》和《人工智能责任指令》亦然值得关注。以所选译的《产品责任指令》修正提案（《指令》）为例，其不仅将传统的产品责任扩展至软件和人工智能系统，还在相当程度上明确了涉人工智能的产品责任的适用范围、责任主体、开源豁免、举证责任和“实质修改”等实践争议中至关重要的问题。这些都会蕴含正面的借鉴或者负面的教训。与此同时，《指令》各个问题上是否为成员国留下空间、又留下多少空间，同样值得观察。由此，人工智能“赋能”的边界延伸到哪里，《指令》的重要意义就铺陈到哪里。《人工智能法案》等法律的许多规定，也需要和《指令》对比阅读才能充分理解。

此外需要说明的是，所选译的《指令》只是欧盟理事会新近通过的立场提案。《指令》不仅存在议会提案等版本，还有可能在后续审议和谈判中遭到“实质修改”。尽管如此，考虑到议会的审议进展，或许有理由相信这一版《指令》中的许多规则将会延续到最后，也有理由相信其进度将追及并同步于《人工智能法案》，从而迅速完成立法。

以下开始译文内容。

鉴于：

(3) 鉴于与新技术有关的发展，包括人工智能、新的循环经济商业模式和新的全球供应链，导致了不一致性和法律的不确定性，特别是“产品”一词含义方面的不一致性和法律的不确定性，需要对85/374/EEC号指令进行修订。[……]

(9) 根据成员国的法律制度，受损害者可以根据合同责任或非合同责任的理由提出损害赔偿要求，这些理由不涉及本指令中规定的制造商对产品缺陷的责任。[……]这也包括[《人工智能责任指令》]的规定，该指令规定了在对人工智能系统造成的损害进行基于过错的索赔时，信息披露和举证责任方面的共同的规则。这些规定也是为了实现有效保护消费者和其他自然人的目标，应当不受本指令的影响。

(12) 数字时代的产品未必是有体的。软件，如操作系统、固件、计算机程序、应用程序或人工智能系统，在市场上越来越常见，对产品安全起着越来越重要的作用。软件能够作为一个独立的产品投放市场，随后可能作为一个组件被集成到其他产品中，并且能够通过其执行造成损害。因此，为了法律的确定性，应当澄清，就适用无过错责任而言，软件是一种产品，而不论其供应或使用的模式，因此也不论该软件是存储在设备端，通过云技术访问，还是通过软件即服务（SaaS）模式提供。然而，信息不应视为产品，因此产品责任规则不应适用于数字文件的内容，例如媒体文件或电子书，或者仅仅适用于软件的源代码。软件的开发者或生产者，包括[《人工智能法》]意义上的人工智能系统提供者，应视为制造商。

(13) 为了不妨碍创新或研究，本指令不应适用于在商业活动之外开发或提供的免费且开源的软件，因为根据定义来说，这样开发或提供的产品没有投放到市场。这尤其适用于公开分享且免费获取、可使用、可修改和可再分发的软件，包括其源代码和修改版本。然而，如果软件的提供是为了换取对价，或者个人数据的使用不完全是为了提高软件的安全性、兼容性或互操作性，故而是在商业活动的过程中提供的，则应适用该指令。然而，如果在商业活动过程之外提供的自由和开放源码软件随后由制造商作为一个组件集成到投放市场的产品中，那么就有可能要求该制造商，而不是软件本身的制造商，对软件缺陷所造成的损害负责,因为软件本身的制造商没有满足将产品或组件投放市场的条件*。

(15) 数字服务集成到产品中或与产品相互连接，以至没有服务就会使得产品无法发挥其某项功能，这种情形越来越普遍。虽然本指令不应适用于服务本身，但有必要将无过错责任扩张到此类数字服务，因为此类服务与物理或数字组件一样决定了产品的安全性。当这些服务处于产品制造商的控制范围时，这些相关服务应被视为与其互联的产品的组件。[……]

(15a) 相关服务和其他组件，包括软件更新和升级，如果其由制造商本身集成、互联或提供，或经制造商授权或同意由第三方提供，[……]或制造商将相关服务或组件作为产品的一部分而展示，尽管其系由第三方提供。制造商仅提供整合或互联的技术可能性，或仅推荐特定品牌或没有禁止潜在的相关服务或组件，则不应视为同意整合或互联。

(15b) 此外，一旦产品投放市场，只要制造商保留其本身或通过第三方提供软件更新或升级的技术能力，就应被视为处在制造商的控制范围内。

(23) 为了反映日益普遍的联网产品，对产品安全的评估也应考虑到其他产品对有关产品的合理可预见的影响[……]因此，如果制造商在设计产品时有能力研发预料之外的行为，则仍然需要对产品造成伤害的行为负责。为了反映在数字时代，许多产品在投放市场后仍处在制造商的控制之下，在评估产品的安全性时，也应考虑到产品离开制造商的控制的时间。一个产品也可能因为其网络安全脆弱性而被认定为有缺陷。

(25)[……]同样地，提供产品更新或升级本身不应导致产品的先前版本存在缺陷的结论。

(29a) 由于产品也可以通过调整软件，包括升级的方式来实施修改，同样的实质修改原则应当适用。如果通过软件更新或升级进行实质修改，或由于人工智能系统的不断学习，实质修改后的产品应视为在实际进行修改时已在市场上提供或投入使用。

(34) 如果尽管被告披露了信息，但特别是由于案件的技术或科学复杂性，原告要证明产品缺陷和/或因果关系过度地困难，成员国法院也应推定产品缺陷和/或损害与缺陷间的因果关系。[……]应当要求，如果原告面临的困难与证明缺陷有关，则其只需证明该产品很可能存在缺陷；如果原告面临的困难与证明因果关系有关，则其只需证明该产品的缺陷很可能是造成损害的原因。技术或科学的复杂性应由成员国法院在考虑到各种因素的基础上以个案方式确定。[……]虽然原告应提供论据以阐明过度的困难，但不应该要求证明这种困难。例如，在有关人工智能系统的索赔中，为了使得法院裁定存在过度的困难，原告既不需要解释人工智能系统的特性，也不需要解释这些特性如何使得证明因果关系变得更加困难。被告应当有可能对包括过度困难的存在性在内的所有要件质证。

(37) [……]然而，由于数字技术使得制造商能够在产品投放市场或投入使用的时刻之后行使控制，制造商仍应对在该时刻之后因其控制范围内的软件或相关服务而产生的缺陷负责，无论是以升级、更新或机器学习算法的形式。如果这些软件或相关服务是由制造商提供，或由制造商授权或以其他方式同意由第三方提供，则应视为处在制造商的控制范围内。[……]

(38) [……]本指令本身并没有规定对产品提供更新或升级的义务。

(44) 由于实质修改的产品本质上是新产品，在产品经过实质修改，并随后投放市场或投入使用后，例如由于再制造[……]到期日应重新起算。[……]

第4条

定义

(10a)“实质修改”是指在产品投放市场或投入使用后对其进行的修改。：

(a) 根据欧盟或成员国层面有关产品安全的规则认为是实质的；或者

(b) 如果相关的联盟或成员国规则没有规定何者应视为实质修改的门槛，则：

(i) 改变了产品的原始性能、目的或类型，而制造商在最初的风险评估中并没有预见到这一点；以及

(ii) 改变了危险的性质，创设了新的危险或增加了风险的程度。

第5a条

损害

1. 第5条规定的求偿权利只适用于以下类型的损害：

[……]

(b) 对任何财产的损害或灭失，但以下情形除外：

[……]

(ii) 为有缺陷的组件所损害的产品，相应部件是由该产品的制造商集成到产品中或与产品互联的，或是在该制造商的控制下集成到产品中或与产品互联的；以及

(iii) 专门用于专业目的的财产；以及

(c) 并非专门用于职业目的的数据的损失或灭失。

求偿权利应包括偿付所有物质性损失，以及根据成员国法律可得偿付，且系由第一项所述的损害所造成的非物质性损失。

第9条

举证责任

4. 在下列情况下，成员国法院应考虑到案件的所有相关情况，推定产品的缺陷或其缺陷与损害之间的因果关系，或同时推定两者：

(a) 原告在证明产品缺陷和/或其缺陷与损害之间的因果关系面临过度的困难，特别是由于技术或科学的复杂性；以及

(b) 原告阐明产品可能存在缺陷，和/或缺陷与损害之间可能存在因果关系。

5. 被告应有权反驳第[……]4款提及的任何推定。

第14a条

到期

该期限应从以下时点起算：

[……]

(b) 如果是经过实质修改的产品，则为其实质修改后投放市场或投入使用的日期。

* [……]

关于LLMs（大型语言模型）的风险和监管，本公号发布过以下文章：

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：

DPO线下沙龙的实录见：

1. 第二十一期DPO沙龙纪实：数据合规中的自动化技术及其应用

2. 数据保护官（DPO）大湾区沙龙：大湾区数据跨境便利化的安全合规路径和实践案例-纪实

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

传染病疫情防控与个人信息保护系列文章

关于数据与竞争政策的翻译和分析：

健康医疗大数据系列文章：

网联汽车数据和自动驾驶的系列文章：

网络空间的国际法适用问题系列文章：

《网络数据安全管理条例（征求意见稿）》系列文章：

《数据安全法》的相关文章包括：

赴美上市的网络、数据安全方面的两国监管乃至冲突方：

个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：

人脸识别系列文章：

内容安全方面的文章如下：

关于健康医疗数据方面的文章有：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

数字贸易专题系列：

关于中国数据出境安全管理制度的文章

1. 认证制度为中国个人信息跨境流动保驾护航

2. 专家解读｜《个人信息出境标准合同办法》出台 贡献数据跨境流动中国方案

美国方面的个人信息保护立法的文章：

关于个人信息安全影响评估的文章如下：

关于印度的数据保护和数据治理政策和技术文件的文章有：

关于欧盟技术主权相关举措的翻译和分析：

关于我国《个人信息保护法》的文章：

关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：

本公号发表过的关于数据要素治理的文章有：

围绕供应链安全，本公众号曾发表文章：

围绕着出口管制，本公众号曾发表文章：

本公号发表过的关于数据执法跨境调取的相关文章：

关于业务场景中数据跨境流动的文章如下：

1. 第108号公约-个人数据跨境转移示范合同条款（中译本）

2. EDPB《关于GDPR第3条的适用与第五章的国际转移规定之间的相互作用的05/2021准则》2.0版本-中文翻译

通过技术增强对个人信息的保护的文章包括：

关于保护网络和信息系统安全的相关文章包括：

关于个人数据和域外国家安全审查之间的关系：

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

地缘政治与跨国科技公司运营之间的互动影响：

关于中美与国家安全相关的审查机制，本公号发布过以下文章：