法律与科技：数据、算法与AI的产权
一、被遗忘权与GDPR：数据权利的诞生
GDPR并非凭空而来，它的前身是1995年欧盟《数据保护指令》——但指令需要成员国转化立法，执行参差不齐，条例则直接在全域生效。真正把它推上世界头条的是奥地利人施雷姆斯：这个法律系学生两次把欧美数据跨境协议告上欧洲法院，2015年推翻"安全港"，2020年推翻"隐私盾"，一个人改变了跨大西洋数据流的规则。2018年5月25日，GDPR生效：数据主体享有知情、访问、更正、删除、限制处理、数据可携带等权利；同意必须自由、明确、可撤回——网站弹出的"接受Cookie"按钮由此铺满全球；管辖权跟着数据主体走，无论公司注册在哪，只要处理欧盟居民数据就归它管；罚款上限为全球营业额的4%。2020年，法国数据保护机构就曾因Cookie设置不合规，对谷歌和亚马逊分别开出一亿欧元和三千五百万欧元罚单。2023年5月，爱尔兰数据保护委员会因Meta将欧洲用户数据传输至美国，开出12亿欧元罚单——GDPR时代最大罚单。2021年11月1日，中国《个人信息保护法》施行，与此前2017年的《网络安全法》、2021年的《数据安全法》构成三法框架，敏感个人信息处理、人脸信息采集、App过度索权都有了明确红线；同年8月，最高人民法院发布人脸识别司法解释，明确小区物业不得强制刷脸进门。美国则早年在州层面落子：2008年伊利诺伊州《生物特征信息隐私法》首开生物信息私益诉讼之门，Facebook因照片人脸标签功能在2021年以6.5亿美元达成和解。
二、算法责任：谁为代码的决定负责
算法最锋利的法律问题是：当一个分数决定人的命运，这个分数受不受法律约束？GDPR第二十二条给出欧盟的回答：个人有权不受纯自动化重大决定的约束——贷款拒批、简历筛除，凡仅由算法作出且影响重大的决定，当事人有权要求人工介入、表达异议。2020年2月5日，海牙地区法院叫停了荷兰政府的福利欺诈识别系统SyRI：这个在低收入社区秘密运行的风险评分系统，因缺乏透明与必要性论证，被认定违反《欧洲人权公约》第八条。这是全球法院以人权标准审查政府算法的标志性案例。
美国的战场在刑事司法。威斯康星州2016年维持了对COMPAS再犯风险评分的使用——被告连算法逻辑都无权查看，因为它属于开发商的商业秘密；ProPublica同年用数据证明该系统把黑人被告误判为高风险的比例几乎是白人的两倍。欧盟2024年8月1日生效的《人工智能法》把这类应用划入"高风险"：用于司法、执法、教育、就业的AI必须通过合规评估、保证人类监督。自动驾驶把责任问题从屏幕搬上了马路：2023年10月，一辆Cruise无人出租车在旧金山撞倒并拖行行人后，加州车管局吊销了它的运营许可——当方向盘后没有人，罚单只能开给算法背后的公司。立法的共识正在形成：算法可以是工具，但不能是不受质询的裁判。
三、算法备案与生成式AI监管：中国的路径
中国选择了另一条监管进路——直接对算法本身建立行政档案。2022年3月1日施行的《互联网信息服务算法推荐管理规定》，要求具有舆论属性或社会动员能力的算法推荐服务提供者备案，并赋予用户关闭算法推荐的选项——各大App的"个性化推荐"开关由此而来。2023年1月10日施行的《互联网信息服务深度合成管理规定》更进一步：AI换脸、语音合成等深度合成内容必须显著标识，防止公众混淆误认。
2023年8月15日施行的《生成式人工智能服务管理暂行办法》，是全球最早针对生成式AI的专门规章之一：训练数据要合法、不得含有违法内容，生成内容要承担信息安全责任，服务上线前需履行备案。三部规章层层递进，思路一以贯之：算法不是法外之地，代码的每一步影响力都要有可追查的责任人。这与欧盟的风险分级、美国的部门式立法形成三条可对照的实验路线——谁的方案能在安全与创新之间取得平衡，尚无答案，但实验本身已成为全球立法竞赛的一部分。
技术也在反向进入司法系统。2012年修正的《民事诉讼法》把"电子数据"列为法定证据种类；2018年6月，杭州互联网法院在审理一起著作权纠纷时首次确认区块链存证的法律效力——上链哈希值一致的电子数据，可以作为定案依据。电子合同、聊天记录、区块链存证，从证据的边缘走进了卷宗的中央。
四、AI生成物可版权性：猴子、机器与作者
第二个路标是一只猴子。2011年，猕猴纳鲁托抢过摄影师斯莱特的相机连按快门，留下著名的"猴子自拍”。动物保护组织替猴子起诉主张版权，2018年联邦第九巡回法院判决：猴不是人，《版权法》保护的主体不包括动物。人以外的创作主体——无论动物还是机器——都被挡在门外。第三块路标直接面对机器。计算机科学家斯蒂芬·塞勒用他的AI系统"DABUS"生成图像并申请版权登记，申请人一栏填的是机器。美国版权局2022年拒绝登记，2023年8月哥伦比亚特区联邦地区法院维持决定：美国版权法要求人类作者。塞勒以DABUS为发明人申请的专利同样四处碰壁——2022年联邦巡回上诉法院、2023年英国最高法院先后认定：专利法上的发明人必须是自然人。2023年，版权局对图画书《黎明的扎里亚》的处理划出了更细的线：书中文字和编排受保护，Midjourney生成的插图不受保护——人机合作的作品，只保护人的那一部分。2025年1月，美国版权局发布报告重申：单纯输入提示词不足以使使用者成为AI输出物的作者，人类的创造性控制才是分水岭。
五、中国的两个AI版权判例
中国法院对同一问题给出了不完全相同的答案。2019年，北京互联网法院审理菲林诉百度案：律师事务所用数据库软件自动生成的影视行业分析报告被转载，法院认定报告系软件"自动分析生成"，体现的并非原告的智力创作，不构成作品——但首次提出软件使用者的投入可获其他法律保护。同年，深圳市南山区人民法院审理腾讯诉盈讯案：腾讯Dreamwriter系统生成的财经报道被抄袭，法院却认定文章构成作品——因为在数据类型选择、模板设定、语料训练等环节，主创团队的个性化安排融入了表达，AI只是工具。两个判决看似相反，标准其实一致：机器是笔还是脑，取决于人的智力投入落在哪一环。
2023年11月，北京互联网法院审结"AI文生图"案：原告用Stable Diffusion输入提示词生成图片，被告未经许可使用。法院认定：从构思提示词、选定参数到反复调试，原告的智力投入与个性化选择贯穿始终，涉案图片构成美术作品。这被普遍视为全国首例认定AI生成图片可版权性的判决。两个体系的分歧清晰可见：英美守住"人类作者"的门槛寸步不让，中国法院则沿着"人的智力投入在何处"逐案寻找那条线。
六、深度伪造与人格权的新战场
AI不只会创作，还会冒充。深度伪造技术让任何人的脸和声音都可以被嫁接进任何场景，法律的老概念被迫升级。中国2021年施行的《民法典》第一千零一十九条直接回应：禁止利用信息技术手段伪造等方式侵害他人的肖像权；第一千零二十三条把对自然人声音的保护参照适用肖像权规则——声音与脸一样，成为受保护的人格标识。2024年4月，北京互联网法院审结全国首例AI生成声音人格权侵权案：配音演员的声音被AI化处理后做成有声书售卖，法院判决被告侵权——声音权益不因经过算法加工而消失。深度合成规章要求的显著标识，民法典的伪造禁令，加上刑法上的诽谤、诈骗条款，构成了对深度伪造的组合防线。
平台的责任边界同样在重画。1998年美国《数字千年版权法》（DMCA）确立了沿用至今的"避风港"规则：平台对用户上传的侵权内容原则上不直接担责，但收到权利人的删除通知后必须及时处理——“通知—删除"机制支撑了此后二十多年的互联网内容生态，也被批评为把版权执法外包给了算法。
更大的争议在于训练数据：大模型吞下的海量文本、图片、音乐，大量受版权保护却未经授权。2023年以来，《纽约时报》诉OpenAI、多位作家和画师发起的集体诉讼接踵而至，核心争点是"合理使用"能否覆盖机器学习的批量复制——这场诉讼的结果，将决定AI时代的产权地基。法律历史上，照相术、复印机、录像机、搜索引擎，每一项复制技术都曾引发同样的恐慌与立法；不同的是，这一次机器不只是复制作品，还在生产作品。
七、不变的题目
数据、算法、生成物，三个战场背后是同一道古老的题目：新技术改变了权力与利益的分布，法律必须重新划线。GDPR回答"数据是谁的”，算法责任回答"代码的决定向谁负责"，AI版权之争回答"机器时代的创作归谁"。答案各不相同，方法却一脉相承——把新概念翻译回旧原则：人格尊严、责任归属、独创性、公共利益。
技术每跃进一步，法律就重演一次这种翻译。它永远迟到，因为规则必须等争议显形；它也从不缺席，因为每一次划线的结果，都会沉淀为下一次跃进的起跑线。