AI的Cookie：ChatGPT案例与退出选择权

Cookie同意问题对每一位网民来说早已熟悉，但人们很少停下来思考：当所谓的"Cookie"并非简单的广告追踪器，而是用于训练人工智能模型的整个个人数据档案时，会发生什么。ChatGPT案件在多国欧洲引发罚款与调查，将在线浏览、知情同意与AI训练之间那条无形的纽带推到了辩论的中心。

Cookie与训练数据之间的微妙边界

当用户访问曾为ChatGPT等模型训练数据集做出贡献的网站时，平台声称其行为依据的是合法利益或用户同意，具体取决于管辖权。然而，GDPR要求数据处理必须合法、透明，且仅限于向用户说明的目的。Cookie横幅上很少会注明，所收集的数据可能会被用于驱动商业AI系统。

这种不透明性造成了一种真正的信息赤字：用户出于analytics或营销目的而同意，却不知道自己的数据可能被纳入用于训练具有商业价值的模型的语料库中。一个技术Cookie和一个训练数据之间的区别，实质上就等同于钥匙与乐高积木的区别：工具相同，但目的截然不同。

意大利的ChatGPT案件与数据保护机构的立场

意大利数据保护机构（Garante）已对OpenAI启动法律程序，重点关注两个关键方面：意大利用户数据处理行为的合法性，以及缺乏明确的法律依据用于将受保护内容和个人信息用于训练目的。这笔罚款是欧洲对科技公司开出的最高罚单之一，具有标志性意义。

Garante的立场建立在同意必须具备特异性、知情性和可撤回性的原则之上。如果用户未收到关于其数据被用于AI训练的明确信息，则不能认为其同意有效表达。这一立场与OpenAI在某些司法管辖区依托合理使用和数据处理的转化性质提出的抗辩形成对比。

退出选择权作为一种不完美的方案

面对监管压力，许多企业正在推出退出选择权机制，允许用户将其数据从训练数据集中剔除。尽管这比缺失的默认选择（opt-in）前进了一步，但退出选择权仍存在值得重视的显著局限。

• 程序复杂性：找到正确的设置以退出数据集并不直观，通常需要在多个平台上执行多步操作。
• 时间不确定：退出选择权的效果并非总是立竿见影；已经处理过的数据可能仍保留在模型中。
• 标准不统一：并非所有AI服务提供商都提供退出选择权渠道，导致格局碎片化且令人困惑。
• 缺乏可追溯性：用户无法确切知道哪些数据已被删除以及从哪些模型中删除。

迈向AI的新同意模式

隐私社区和欧洲立法者正在努力寻求超越单纯退出选择权的解决方案。欧盟拟议的AI法案引入了透明度义务，可能从根本上改变监管格局。目标是建立一个体系，使AI供应商必须清晰说明使用了哪些数据，并提供与GDPR为Cookie规定的同意机制在质量和清晰度上相当的同意机制。

业内一些声音认为，未来可能属于双层次模型：一个初步同意用于基础数据使用，一个单独的、明确且可撤回的同意用于是否纳入训练数据集。只有这样才能弥合数据保护承诺与算法处理现实之间的鸿沟。

实用要点

对用户而言：在接受Cookie之前，请仔细阅读关于数据处理目的的详细声明。始终寻找有关数据用于人工智能目的的条款。如果信息缺失，您的同意可能存在瑕疵。对网站和企业而言：不要依赖沉默或笼统的条款。更新声明，提供便捷的退出选择权选项，并记录每一步操作。合规不再是一个可选项：它是一种区分尊重人权者与漠视人权者的竞争优势。