歐盟數位綜合法案裡的 AI 訓練與 Cookie 規定

歐盟成員國的常駐代表 10 月 21 日議定數位綜合法案（Digital Omnibus）草案的理事會立場，這份草案由執委會 2025 年 11 月提出。理事會的立場要在歐盟的《一般資料保護規則》（GDPR）寫明，開發與運作 AI 時可以用「正當利益」處理個人資料，也就是不先取得同意、但要權衡當事人權利的合法依據。理事會文件的標題是與歐洲議會談判的授權，這不是最終的法律，到 10 月 23 日議會的程序頁面仍停在等待委員會決定。GDPR 適用於設在歐盟的企業處理的個人資料，也保護位於歐盟境內、被非歐盟企業提供服務或監控行為的人，其他情況下歐盟以外的讀者不直接受影響。

依理事會文件的第 88bis 條，開發與運作 AI 系統或模型時處理個人資料可以依 GDPR 的正當利益進行，處理時要有技術與組織上的保障。執委會的提案在條文裡列出資料最小化、加強透明與「無條件的反對權」，並排除當事人權益優先的情形。理事會的條文刪掉加強透明與權益優先的除外句，反對權改成 GDPR 第 21 條、需要以自身特殊情況為由的反對權。資料最小化與權益優先的權衡移到說明條文（recital，條文前說明立法用意的段落，本身不是條文），同一段說明條文也提到開發或運作 AI 本身不構成正當利益，要逐案評估。

執委會原本提議修改 GDPR 第 4(1) 條的個人資料定義，歐洲資料保護委員會（EDPB，各國資料保護機關組成）與歐洲資料保護監督官（EDPS，監督歐盟機構自身處理個資的機關）2 月強烈建議立法者不要採納，理事會的版本沒有保留這項修改。理事會另外新增第 25a 條，規定第三方無法識別當事人時，假名化（把可以直接識別個人的欄位換成代號）的資料對它不算個人資料。

執委會原本提議把 Cookie 的規定移進 GDPR，理事會的版本改為留在專門規範電子通訊隱私的 ePrivacy 指令，並擴大不需要使用者同意的情形。新增的項目包括只依當次頁面內容、不使用個人資料的廣告曝光與成效量測。依理事會的版本，使用者拒絕之後網站至少四個月內不能為同一個目的再次詢問。執委會的提案原本寫六個月，理事會的版本讓網站可以更早再問一次。

消費者組織 BEUC 6 月致成員國代表的信支持讓瀏覽器自動送出同意或拒絕的訊號，理事會的版本沒有保留這項設計。

導讀觀點

理事會的版本若成為最終法律，企業可以依條文主張用正當利益拿個人資料開發 AI，Cookie 不需同意的情形也會變多。文中後面提到的 LinkedIn 與 Gemini 設定跟這個法案無關，到 10 月 23 日已經可以使用。

正當利益是 GDPR 的六種合法依據之一，企業不必先取得同意，但要證明處理是必要的並權衡當事人的權利。依 EDPB 2024 年 12 月的意見，開發與部署 AI 模型在某些情況下可以用正當利益當作依據。依 GDPR 第 21 條，當事人可以自身的特殊情況為由提出反對，企業要證明有更重要的正當理由才能繼續處理。

執委會提案的說明書提到，修改的目的之一是釐清處理資料用於 AI 訓練與開發的部分規則。業界團體 9 月針對當時妥協版本致理事會的信（信上未標日期）則要求在條文本身寫明法律依據，理由是只寫在說明條文不能給企業確定性。理事會 10 月的授權文件把第 88bis 條寫在條文本身。EDPB 與 EDPS 2 月對執委會提案的聯合意見，結論則是 GDPR 不需要為此另寫條文，企業仍要逐案通過同樣的評估。

到 10 月 23 日，對 10 月議定文字的公開回應只查到奧地利隱私倡議團體 noyb。依 noyb 10 月 23 日的解讀，議定的文字讓「AI 情境」的處理自動合法，noyb 稱之為對歐洲人的「數位徵收」。歐洲數位權利團體的聯盟 EDRi 9 月 18 日針對當時妥協版本的信提到，條文沒有讓所有 AI 相關的處理自動合法，但可能讓逐案評估變成立法上的普遍背書。理事會的說明條文則寫明開發 AI 本身不構成正當利益，理事會的新聞稿（轉載）也表示在支持 AI 創新的同時維持適當的保障。

理事會的新聞稿表示定義沒有改，新增的假名化規定是為了讓組織更清楚如何遵守。noyb 認為這等於大幅縮小個人資料的範圍，網路追蹤是否仍受 GDPR 規範會變得不清楚。依第 25a 條的另一款，資料轉給能識別當事人的第三方時，移轉與後續的處理仍算處理個人資料。EDRi 的信提到，同一份假名化的資料可能對某些組織不算個人資料、對另一些組織仍算。

處理以正當利益為依據時，歐盟境內的人可以依第 21 條提出反對。Meta 2025 年 4 月的公告另外提到，歐盟使用者可以透過表單反對公開資料被用於訓練，公告沒有寫明依據哪一條。

到 10 月 23 日，LinkedIn 說明頁上的生成式 AI 訓練設定預設開啟、關閉後只停止往後的訓練，頁面沒有限定地區。依同日查證的 Google 說明頁，關閉 Gemini 的 Keep Activity 又不送出意見回饋，之後的對話就不會用於改善 AI 模型。同一頁也提到，這些設定管不到用對話產生匿名資料來改善服務。關閉之後對話仍會保留 72 小時，用於回應使用者與保護 Google、使用者與大眾，過程可能有人工審查。

台灣的《個人資料保護法》到 10 月 23 日沒有針對 AI 訓練的條文，依第 19 條，非公務機關有特定目的、資料又取自一般可得的來源時可以不經同意蒐集。病歷、醫療、基因等第 6 條所列的資料不在此列，當事人明顯有更值得保護的重大利益時也不行。拿去訓練屬於利用，第 20 條要求在蒐集的特定目的必要範圍內為之。第 3 條則列出當事人可以請求停止蒐集、處理或利用，以及請求刪除。

2026 年 1 月公布的《人工智慧基本法》第 14 條要求各目的事業主管機關會商個資主管機關，在 AI 研發與應用時避免不必要的個人資料蒐集、處理或利用。

讀者可以用幾個問題，比較之後歐洲議會形成的版本與理事會的版本。一是條文寫明正當利益之後，企業是否比較確定、資料保護機關是否仍逐案審查。二是當事人的反對權在實際操作上能不能用，假名化的新規定會不會讓網路追蹤離開 GDPR 的範圍。三是使用者看到 Cookie 同意視窗的次數會不會減少，這是執委會提案想達成的效果之一。