欧盟数字综合法案里的 AI 训练与 Cookie 规定

欧盟成员国的常驻代表 10 月 21 日议定数字综合法案（Digital Omnibus）草案的理事会立场，这份草案由欧委会 2025 年 11 月提出。理事会的立场要在欧盟的《通用数据保护条例》（GDPR）写明，开发与运行 AI 时可以用「正当利益」处理个人数据，也就是不先取得同意、但要权衡当事人权利的合法依据。理事会文件的标题是与欧洲议会谈判的授权，这不是最终的法律，到 10 月 23 日议会的程序页面仍停在等待委员会决定。GDPR 适用于设在欧盟的企业处理的个人数据，也保护位于欧盟境内、被非欧盟企业提供服务或监控行为的人，其他情况下欧盟以外的读者不直接受影响。

依理事会文件的第 88bis 条，开发与运行 AI 系统或模型时处理个人数据可以依 GDPR 的正当利益进行，处理时要有技术与组织上的保障。欧委会的提案在条文里列出数据最小化、加强透明度与「无条件的反对权」，并排除当事人权益优先的情形。理事会的条文删掉加强透明度与权益优先的除外句，反对权改成 GDPR 第 21 条、需要以自身特殊情况为由的反对权。数据最小化与权益优先的权衡移到序言条款（recital，条文前说明立法用意的段落，本身不是条文），同一段序言条款也提到开发或运行 AI 本身不构成正当利益，要逐案评估。

欧委会原本提议修改 GDPR 第 4(1) 条的个人数据定义，欧洲数据保护委员会（EDPB，各国数据保护机构组成）与欧洲数据保护监督员（EDPS，监督欧盟机构自身处理个人数据的机构）2 月强烈建议立法者不要采纳，理事会的版本没有保留这项修改。理事会另外新增第 25a 条，规定第三方无法识别当事人时，假名化（把可以直接识别个人的字段换成代号）的数据对它不算个人数据。

欧委会原本提议把 Cookie 的规定移进 GDPR，理事会的版本改为留在专门规范电子通信隐私的 ePrivacy 指令，并扩大不需要用户同意的情形。新增的项目包括只依当次页面内容、不使用个人数据的广告曝光与效果测量。依理事会的版本，用户拒绝之后网站至少四个月内不能为同一个目的再次询问。欧委会的提案原本写六个月，理事会的版本让网站可以更早再问一次。

消费者组织 BEUC 6 月致成员国代表的信支持让浏览器自动发送同意或拒绝的信号，理事会的版本没有保留这项设计。

导读观点

理事会的版本若成为最终法律，企业可以依条文主张用正当利益拿个人数据开发 AI，Cookie 不需同意的情形也会变多。文中后面提到的 LinkedIn 与 Gemini 设置跟这个法案无关，到 10 月 23 日已经可以使用。

正当利益是 GDPR 的六种合法依据之一，企业不必先取得同意，但要证明处理是必要的并权衡当事人的权利。依 EDPB 2024 年 12 月的意见，开发与部署 AI 模型在某些情况下可以用正当利益作为依据。依 GDPR 第 21 条，当事人可以自身的特殊情况为由提出反对，企业要证明有更重要的正当理由才能继续处理。

欧委会提案的说明书提到，修改的目的之一是厘清处理数据用于 AI 训练与开发的部分规则。业界团体 9 月针对当时妥协版本致理事会的信（信上未标日期）则要求在条文本身写明法律依据，理由是只写在序言条款不能给企业确定性。理事会 10 月的授权文件把第 88bis 条写在条文本身。EDPB 与 EDPS 2 月对欧委会提案的联合意见，结论则是 GDPR 不需要为此另写条文，企业仍要逐案通过同样的评估。

到 10 月 23 日，对 10 月议定文字的公开回应只查到奥地利隐私倡导团体 noyb。依 noyb 10 月 23 日的解读，议定的文字让「AI 情境」的处理自动合法，noyb 称之为对欧洲人的「数字征收」。欧洲数字权利团体的联盟 EDRi 9 月 18 日针对当时妥协版本的信提到，条文没有让所有 AI 相关的处理自动合法，但可能让逐案评估变成立法上的普遍背书。理事会的序言条款则写明开发 AI 本身不构成正当利益，理事会的新闻稿（转载）也表示在支持 AI 创新的同时维持适当的保障。

理事会的新闻稿表示定义没有改，新增的假名化规定是为了让组织更清楚如何遵守。noyb 认为这等于大幅缩小个人数据的范围，网络追踪是否仍受 GDPR 规范会变得不清楚。依第 25a 条的另一款，数据转给能识别当事人的第三方时，转移与后续的处理仍算处理个人数据。EDRi 的信提到，同一份假名化的数据可能对某些组织不算个人数据、对另一些组织仍算。

处理以正当利益为依据时，欧盟境内的人可以依第 21 条提出反对。Meta 2025 年 4 月的公告另外提到，欧盟用户可以通过表单反对公开数据被用于训练，公告没有写明依据哪一条。

到 10 月 23 日，LinkedIn 帮助页上的生成式 AI 训练设置默认开启、关闭后只停止往后的训练，页面没有限定地区。依同日查证的 Google 帮助页，关闭 Gemini 的 Keep Activity 又不提交反馈，之后的对话就不会用于改善 AI 模型。同一页也提到，这些设置管不到用对话产生匿名数据来改善服务。关闭之后对话仍会保留 72 小时，用于回应用户与保护 Google、用户与大众，过程可能有人工审查。

依 Google 到 10 月 20 日的支持地区清单，Gemini 网页版在中国大陆只限 Workspace 账号，移动 App 的清单没有中国大陆。本文推论上一段的 Gemini 设置主要适用于在中国大陆以外使用的人。

到 10 月 23 日，中国大陆的《个人信息保护法》没有针对 AI 训练的条文，第十三条列出的合法情形里也没有「正当利益」这一项。第十三条的情形除了取得个人同意，也包括在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息，这一项不需取得同意。依第二十七条，个人明确拒绝的，不能处理其已公开的个人信息。处理已公开的个人信息对个人权益有重大影响的，要取得个人同意。

第四十四条另外规定个人有权限制或者拒绝他人处理其个人信息，法律、行政法规另有规定的除外。第二十七条对已公开个人信息的拒绝没有附带条件，理事会版本沿用的 GDPR 第 21 条反对权则要以自身的特殊情况为由（本文的对照）。

2023 年 8 月 15 日起施行的《生成式人工智能服务管理暂行办法》第七条要求，训练数据涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形。办法适用于向中国境内公众提供的生成式 AI 服务，只做研发、没有向境内公众提供服务的不适用。

台湾的《个人资料保护法》到 10 月 23 日也没有针对 AI 训练的条文，依第 19 条，非公务机关有特定目的、资料又取自一般可得的来源时可以不经同意收集。第 6 条所列的病历、医疗、基因等资料不在此列，当事人明显有更值得保护的重大利益时也不行。拿去训练属于利用，第 20 条要求在收集的特定目的必要范围内为之。第 3 条则列出当事人可以请求停止收集、处理或利用，以及请求删除。

2026 年 1 月公布的《人工智慧基本法》第 14 条要求各目的事业主管机关会商个人资料保护主管机关，在 AI 研发与应用时避免不必要的个人资料收集、处理或利用。

读者可以用几个问题，比较之后欧洲议会形成的版本与理事会的版本。一是条文写明正当利益之后，企业是否比较确定、数据保护机构是否仍逐案审查。二是当事人的反对权在实际操作上能不能用，假名化的新规定会不会让网络追踪离开 GDPR 的范围。三是用户看到 Cookie 同意弹窗的次数会不会减少，这是欧委会提案想达成的效果之一。