『实务分享』：当AIGC遇上数据跨境，该如何应对？| 垦丁W&W国际法律团队创始人王捷律师
W&W国际法律团队
专注互联网出海法律实务：
W&W国际法律团队深耕海外多地区多条业务线，通过多年来积累的出海法律服务经验以及资源优势，结合本土化的合规经验与国际化的思维，致力于为出海互联网企业提供专业的一站式法律解决方案，为逐鹿海外的互联网企业提供优质及多元化的法律服务，为各类新型业务搭建运营合规体系及提供有效的风险评估及合规解决方案。
覆盖以下行业领域：
物联网、智能家居、智能汽车、车联网、芯片制造、Web3.0、NFT、AI、电子设备及智能终端制造、数字化安全、IOT、云计算与服务、社交网络平台、电子商务、短视频视听直播、网络游戏、人力资源等行业领域。
（此处仅展示部分内容，如有任何需求，请尽管与我们联系。）
引言：
垦丁（广州）律师事务所联合创始人、执行主任、W&W国际法律团队创始人王捷律师围绕AIGC与数据跨境场景、类型、流转与其它法律问题展开分享。会议上，由王捷律师团队（W&W国际法律团队）撰写的《AIGC产业发展与法律合规实务手册》首次发布，王捷律师围绕实务场景，分析了AIGC服务中的提示词在不同情形下可能构成什么类型的数据，并以GDPR为例，分析AIGC服务中不同主体（用户、服务提供商、AIGC模型提供商）之间的数据流转是否构成GDPR中的跨境传输，以及在存在个人信息跨境时公司应当采取的合规措施（包括但不限于告知、具备合法性基础和相应的跨境传输机制）。
王捷律师：今天我想从一个比较小的场景去切入，并尝试用“讲故事”的方式来讲述AIGC与数据跨境的问题。故事里面可能也会穿插着不同的问题，大家可以跟着我的思路去看一下这个故事是怎么延展开来的。
今天我主要围绕目前很热门的 AIGC 进行阐述，其实在我们大会上午场和下午场开场的时候，会有一个虚拟人小丁，那便是AIGC的展现形式之一。
AIGC与数据跨境场景
我们该如何理解AIGC呢？作为法律人，我们倾向于通过定义的方式去理解。在已有的定义中，AIGC 的直译就是“人工智能生成内容”，生成的内容可能包括文本、图像、视频还有音频等等。前不久的时候京东和中国信息通信研究院发布了《人工智能生成白皮书》，其中对这个定义进行了一个更完善的总结。根据这个定义，我们发现两个特点，一个就是 AIGC是有内容特征的，另外一个它具有技术特征，两个特征结合起来，我们可以简单的理解AIGC为一个伴随着 AI 技术变革和数字化而产生的一种新的生成式网络信息内容。
既然AIGC是一种信息内容，那这里就属于我们经常关注的个人信息和数据保护领域所要讨论的问题。现在，我给大家讲一个故事，请大家尝试走到故事里面，这个故事也是我们服务客户过程中遇到的一个实务场景。故事是这样的：一家在新加坡的公司，上线了一款含有人工智能生成内容功能的App。通过该App，用户可以使用人工智能生成内容的功能。该App 并不面向新加坡市场，只是这个App的运营商是新加坡的公司。该App面向中东市场。
接下来，我们看该服务使用的这个是自有AIGC技术，还是第三方AIGC技术。在这个场景里面，这个公司使用的是微软的 Azure OpenAI。在这个场景中，运营商的服务器部署于新加坡，而App使用的AIGC技术的供应商的服务器是部署在美国或者西欧的，这便会涉及到个人信息及数据跨境的问题。在正式进入问题分析之前，我想先跟现场的朋友们做一个互动，提出三个问题：
第一个问题是，在刚才的场景里面，在使用这个App时，我输入了一个提示词，这个提示词会构成个人信息吗？
第二个问题是，整个过程中可能会产生两次的数据流转，因为App运营商的服务器在新加坡，其技术使用的可能是部署在美国的 Azure OpenAI 的技术，但App面向的是中东市场的用户。这两次的数据流转是否都构成跨境传输吗？还是这其中只有一次构成跨境传输？还是说两次都不构成跨境传输？这也是留给我们的第二个问题，大家可以思考一下。
第三个问题，假如我使用该App输入的提示词会构成个人信息，又构成跨境传输的时候，在上线这个App前，公司应该注意什么？我相信这也是在场的法务同行或者律师同行比较关心的问题。
接下来我就以刚才的三个问题展开今天的分享
AIGC与数据类型
在解决第一个问题 “提示词是否构成个人信息”之前，我举个例子，我对着 ChatGPT 说：“请你撰写一首关于人工智能的打油诗”，那它一段关于人工智能的打油诗，你们认为提示词构成个人信息吗？如果我们输入科普类的问题，比如“怎么将二氧化碳溶解到水中”，或者“大语言模型的优势和劣势是什么？”等纯科学的问题，此时提示词是否构成个人信息？如果不构成个人信息，又构成什么类型的数据？在我们看来可能，仅从我们前述的问题来看，此时提示词可能只是构成一般数据。
假如有人输入了这样的一段提示词“我们公司现在正在开发一个专利，专利名称叫XXX”，并且把这个专利的技术原理原封不动的输入进去，然后让 GPT 输出一个专利的申请书，此时，你们认为提示词构成什么数据？假若该等数据构成了不为公众所知悉、能为权利人带来经济利益，具有实用性并经权利人采取保密措施的技术信息和经营信息，那么提示词可能构成商业秘密。
在我们服务客户的过程中，我印象很深刻的一次咨询是，有一位法务朋友问我，他们公司想为公司内部的员工提供GPT这种技术，但是他们又很担心员工在使用这个过程中就把一些不该提供的信息提供出去了，怎么办？一方面使用这种工具其实可以提高效率，但是另一方面将存在很多隐患或风险，所以在公司里面就会分成两种观点，一种观点是不支持使用，另一种观点是持支持意见。在使用这个技术或这个工具时，员工很可能不小心就泄露了商业秘密。
再举个例子，输入的提示词为“我现在手上有多少股票，我是来自哪里，然后我的抗风险能力很差，你能不能给我提供一个投资的建议？我的邮箱是xx@xx.com”，或者说可能直接输入了自己的联系方式，或者输入“喜欢的电影是什么什么，我的性取向是什么”，在这种情况下，就很可能构成个人信息，因为前述输入的提示词已经很明显包括一些个人信息的字段了。但是提示词是否真的构成个人信息，其实还是需要结合场景来判断。假如在用户登录使用这个工具的时候，其实他并没有账号或者用户 ID 的话，是比较难去结合用户的其他信息进行识别的。但是如果像之前提到的明确的提供了个人邮箱的，且提供的邮箱可能又是用自己的这个姓氏或名字命名的，那么此时可能就构成个人信息了。
所以总结来看，提示词，即Prompt，它会构成哪些类型的数据，从刚才那几个例子来分析，我们认为，可能构成一般数据、商业秘密或者个人信息，当然也存在其他的情形。在实务场景中，比如使用这个软件或者工具的时，需要登录帐号。此时结合用户输入的提示词和用户的ID或者邮箱，是有可能识别到具体个人的。但是不同国家的情况不同。海外的App一般使用邮箱注册帐号，不需要进行实名制登记。如果用户注册时用的是随便注册的邮箱，没有使用自己的真实姓名，在这种情况下是比较难识别到具体个人，此时可能未必会构成个人信息。
还有一种情况是，App运营商使用的是第三方提供的模型服务，公司仅会将提示词传输给第三方，公司不会把用户的 ID、邮箱提供给第三方。所以在这种情况下，此时单独看传输给第三方的提示词，是否构成个人信息？其实这个问题在刚才分享的过程中已经解决了，即我们仍然要结合场景去看这个提示词的内容究竟包括哪些类型的数据。在实务的过程中，场景其实是千变万化的，而且不同的国家对于个人信息的定义跟范围和概念是不一样的，需要回到这个目标国家最新数据隐私立法中的概念与内涵来看。
AIGC与数据跨境流转
接下来，我们一起解决数据跨境传输的问题。刚才我们创设了一个场景：一个新加坡的公司使用了微软的Azure OpenAI的技术，给中东的用户提供服务。那我们现在开始来分析这个数据跨境流转的过程。一般进行分析数据流转时的时候，我们会把自己代入到用户的角色。所以我们从起点开始：中东的用户输入的提示词，这个提示词会传输到App的运营商的服务器，我们称之为服务层。
这个服务层的作用是什么呢？它的作用一般是记录事件、内容审核，结合行业知识库进行一些预处理，比如提供语境或相关材料以让模型进一步进行处理。我们知道，大语言模型目前还存在像幻觉这样的胡编乱造的情况，但如果告诉大语言模型一些相关背景或行业知识，可以一定程度上降低这种情况的出现。在模型层，则是由微软的Open AI提供服务。此时运营商将收集到的提示词，传输至模型层，利用模型层的大语言模型和技术能力，根据提示词生成内容。以前述提到的人工智能的打油诗的例子，在这个过程中我们很明显的发现会有两次数据跨境传输，第一次是从中东到新加坡，第二次是从新加坡到美国。你们认为在第一次的流转的时候会不会构成数据跨境？在我们最初研究GDPR的过程中，我们的感觉也是不明确的，我们一开始会觉得，数据从一个国家传输到另外一个国家，不就是数据跨境传输吗？
我们来一起看一个例子，欧盟数据保护委员会（European Data Protection Board，以下简称EDPB）经常颁布指南文件，其中有一个指南为《关于GDPR第3条的适用与第五章规定的国际传输条款之间相互作用的第052021号指南》。EDPB在该指南中给出了一个例子，这个例子很好地回答了我们刚才提出的问题。
这个例子是这样的：一位在意大利的女士，她想在线上买衣服，线上的这个服装网站是新加坡的公司，且这个公司又不是主要面向欧盟用户的，只是欧盟用户可以访问，那在这种情况下，这位女士在意大利罗马的个人数据会传递给新加坡公司，此时这种情况属不属于跨境传输？指南给出了清晰的回答：这样的情况不构成个人数据的传输。我们刚开始不太理解，为什么不属于，指南在该例子后面解释了，因为在指南看来这属于“直采”，一般数据跨境传输是从一个国家往另外一个国家传输，是控制者和/或处理者之间传输数据，但是在这里，指南认为是用户主体自己主动进行传输的过程，是一个直采的过程，所以就不构成GDPR第五章里面认为的跨境传输，回到现实的实务场景中，其实新加坡公司在直采中东的用户数据，中东的用户也是主动提供的，所以不构成GDPR第五章里面的跨境传输。
但是，这不代表这不属于跨境传输的形式，它实际上也是一种跨境传输的形式，它仍然要遵循中东目标国家所在地有关数据保护的法案。
接下来，我们来看，从服务层到模型层之间的数据流转会不会构成跨境传输，这是构成的，因为是新加坡的公司直采了中东的数据，然后再来到了美国，这个很明显构成数据跨境传输，在数据跨境传输的过程里，我们发现这其中有两个模型：
一种是公司自己部署的模型，公司可以自己选择服务器部署地。如果公司部署模型的国家或地区和服务层是同一个国家或地区，就无需考虑我们刚刚提到的数据跨境传输的问题。另一种是公司没有自行部署模型，而是使用第三方的供应商提供的服务，比如微软、文心一言、Open AI等等，在这种情况下，公司是无法自行选择服务器部署地的，便可能出现数据跨境传输的情形。
另外，在使用的过程中，我们对这些第三方供应商的隐私协议进行了分析，我们发现有两种体系，一种是对于公司而言、其使用的是 OpenAI 的 API 服务，API服务适用的隐私政策明确说明不会使用客户的数据进行训练，这是一个opt-in 的模式，只有在公司同意的情况下，才会使用客户的数据去训练模型。
但是在他们给个人用户提供服务时，即ChatGPT这个产品，ChatGPT所适用的隐私政策里面列明，除非用户明确的拒绝，否则OpenAI将使用个人用户的数据进一步训练模型，这是一个opt-out的模式。
回到刚才那个问题，既然有可能构成个人信息，也有可能构成跨境传输，那接下来的问题就变成了公司应该选择哪一种机制进行跨境传输？简单分享一下，在GDPR项下有三种模式：
第一种是充分性的认定，也就是所谓的“白名单”，如果落入“白名单”，就可以进行数据跨境传输。如果不属于“白名单”，GDPR规定，但如果有适当的保障措施，仍然可以进行数据跨境传输。保障措施具体包括BCR、SCCs，以及经批准的的行为准则认证，或者认证机制等等。假如以上条件都不满足的话，还有“克减”这一机制，根据“克减”条款的规定，在满足比较严格的条件下，也可以进行数据跨境传输。
简而言之，如果能够满足数据跨境传输的机制，是可以进行的，只是我们要考虑怎么合规地实现数据跨境传输。
简单来说，企业在进行数据跨境传输的时候需要至少完成以下事项：
一是公司应该告知用户个人信息处理的目的、方式、范围和类别；
二是公司处理用户个人信息时是否具备合法性基础；
三是当公司要进行数据跨境传输的时候，需要遵守目标国家的规定。
当然了，并不是说公司完成这三项就可以进行数据跨境传输了，公司需要做的事情还有很多，比如遵守目的限制原则、具备技术和组织措施、DPA或者DSA的签署等。
AIGC与其他法律问题
讲了这么多，仅是从 AIGC 这个比较细分的场景切入去谈到数据跨境的问题，但 AIGC 会涉及到更多其他的法律问题，包括知识产权、网络安全、不正当竞争等等。更多内容，请关注由我们团队（W&W国际法律团队）撰写的《AIGC产业发展与法律合规实务手册》。
最后简单分享一下 AIGC 在立法执法方面的一些动态，这也是我们团队持续关注的内容。各国的立法过程中，以欧盟的《人工智能法案》和《人工智能法案》折衷稿来看，欧盟内部也出现了各国家的不同意见，我觉得同时关注不同国家出台的法律和我国 AIGC 有关的法律，是一个非常有意思的过程。
最后，也是我经常在分享里面使用到的结束语，如果一个公司想走得更远，合规工作不容忽视，良好到位的合规，会给企业带来超乎所想的更大的赋能价值。
再次感谢大家的聆听，谢谢！
关于我们
嘉宾介绍
王 捷 律师
垦丁广州联合创始人、执行主任、垦丁国际业务部负责人、
W&W国际法律团队创始人
业务领域：
个人信息保护与全球数据合规、数据合规、互联网与网络法实务合规、企业出海合规、网络安全
王律师持有CIPP/E（国际信息隐私专家认证/欧盟）、区块链应用操作员资格证书、数据安全师、数据合规官资格证书，是联合国世界丝绸之路委员会专家，中国国际贸易促进委员会深圳调解中心专家调解员，广东省法学会信息通讯法学研究会理事，荷兰RuG国际经济法与商法硕士。
王律师曾在阿里巴巴大文娱集团、国际律所与海外仲裁委员会工作积累了12年+科技型公司实务经验，具备中外律所从业背景。专业能力模块包括产品风险管控、业务流程搭建、竞对攻防布局、政府监管合规、海外公司治理等。王律师已为多家头部与一线的知名互联网公司、大中型外资企业及大型国企提供专业法律服务，行业覆盖物联网、智能终端制造、IOT、云计算与服务、社交网络平台、电子商务及平台、智能汽车与车机系统、芯片制造业、网络游戏、Web 3.0、NFT、AI、以及GPT等新兴领域。
王律师擅长解决由互联网、数据及智能技术引发的数据安全风险与合规解决方案落地，包括数据保护与合规、产品风险管控、业务流程搭建、风险分析评估、政府监管合规、竞对攻防布局，已为各类涉互联网企业拓展全球市场提供法律支持，尤其擅长为企业出海欧美、东南亚、印度、日韩、中东、中国港澳台地区等新兴及重要市场提供有效的合规解决方案与落地支持。
同时，王律师独著《Comparison of Various Compliance Points of Data Protection Laws in Ten Countries/Regions》，在全球最高分的六篇论文中，荣获国际知名隐私组织FPF第 12 届政策制定者年度隐私论文奖，该文章同时被评为年度隐私政策制定者“必读”文章。其耕笔的多篇互联网与数据合规文章收录于国际知名专业数据库。
联系方式：jie.wang@kindinglaw.com
+86 13650790754
资讯编写
陈凯婷
垦丁律师事务所W&W国际法律团队实习生