AREX Feed Article
英国 ICO：十家基础模型开发者已实施或承诺实施数据保护整改，并启动 agentic AI 证据征集
英国数据保护监管机构 ICO 在 2026 年 10 月 8 日发布的中称，Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI 与 Stability AI 十家基础模型开发者在接受其监督后，已实施或承诺实施数据保护整改，内容包括更清晰的透明度信息、更完善的权利行使机制与更严格的保障评估。ICO 表示，正在监督这些开发者兑现承诺的进展。
同一天，ICO 发布《Building trust and transparency into generative AI development: our work to create regulatory certainty》，阐明其对生成式 AI 开发者在合法性基础、透明度、个人权利机制与保障措施方面的监管期望与立场；并启动为期六周、截止 2026 年 11 月 20 日的，就 agentic AI（能够使用工具、与网站交互，并通常在有限人工监督下完成任务的 AI 系统）的数据保护风险征求开发者、部署者与其他专家的意见。ICO 还确认，已就近期 agentic AI 的测试与部署向 OpenAI、Anthropic、Meta 与英国的 AI Security Institute 提出问询。
从 11 家到 10 家：基础模型监督计划的产出
这批整改来自 ICO 的基础模型监督工作。ICO 称，这十家属于在英国运营的规模最大的基础模型开发者之列。报告说明，ICO 在 2025 年的 AI 与生物识别战略下设立了专门的基础模型政策与监督计划，覆盖 11 家优先开发者；筛选依据包括开发者不遵守法律的可能性、其在英国的市场份额，以及使用高风险训练数据集的情况。这 11 家为 Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI、Stability AI 与 X.AI。
ICO 表示，在监督过程中，它对 X Internet Unlimited Company（XIUC）与 X.AI LLC 展开正式调查，涉及两者围绕 Grok AI 系统的个人数据处理，以及该系统可能生成有害的性化图像与视频内容；在宣布这项调查后，ICO 暂停了与 X.AI 在监督计划中的接触，覆盖对象因此余下十家。新闻稿称，这项调查仍在进行。
报告称，监督聚焦五个合规领域：以「合法权益」（legitimate interests）作为处理依据（英国数据保护法 UK GDPR 第 6(1)(f) 条）、特殊类别数据（第 9 条）、透明度（第 13、14 条）、数据访问权（第 15 条）与反对权（第 21 条）。ICO 对开发者的总体要求是：为模型训练处理个人数据时，须识别合法性基础、提供有意义的透明度、让人们能够行使权利，并表明已采取能实质性降低风险的保障措施。
ICO 同时承认，现行基础模型训练实践在遵守英国数据保护法方面存在技术挑战，它正主动向政府提出这些法律边界问题；报告称，法律适用上的挑战，并不能成为不落实数据保护基本要求的理由。ICO 称，其监管方式将保持务实、以证据为基础且相称；必要时会动用全部监管权力，在组织使人面临可避免的伤害、或保障不足仍继续推进时介入。
ICO 技术监管总监 Richard Nevinson 表示：「AI 有造福社会的巨大潜力，但这取决于信任与透明度。我们与一些最大开发者的沟通已促成切实的承诺，这将帮助人们更好地理解并控制其数据的使用方式，即便这一领域变化迅速且复杂。但随着 AI 系统以更大自主性运行，健全的数据保护保障变得更加关键。」
ICO 的新闻稿还在编者注中说明，该机构的法律实体现称 Information Commission，对外名称为 Information Commission's Office（仍简称 ICO）；根据《Data (Use and Access) Act 2025》引入的新治理安排，其工作现由一个 Information Commission Board 监督。
透明度与权利机制：报告列出的具体改动
报告称，此前的监督发现了若干普遍问题：透明度信息含糊，例如只称训练数据「可能附带包含个人数据」；关于具体训练数据集与个人数据类型的信息有限；相关内容分散在多个隐私声明、帮助页面与产品界面中；面向第三方数据主体的信息与权利入口尤其不足。报告还提到一种「隐私迷宫」式做法，以及部分开发者对请求「一刀切」拒绝、或不说明拒绝理由的情况。ICO 委托的后续研究还发现，AI 行业的透明度在继续下降。
Apple、Cohere 与 OpenAI 已修改向人们提供的透明度信息，措施包括：发布独立的基础模型训练隐私声明；提供第三方训练数据集摘要；补充模型开发阶段、数据保留、国际传输与权利行使的信息；以及说明模型训练所用信息的来源与类型。
Amazon、Anthropic、DeepSeek、Google、Meta、Microsoft 与 Stability AI 则各自已实施或承诺实施上述部分或全部措施，包括发布专门说明基础模型开发活动的信息、训练数据类型与来源的非技术性摘要、改进的权利行使指引、隐私声明更新，以及在合法权益评估中记录更多保障有效性证据。
报告举出的两种权利机制例子是：Meta 为第一方用户设立了针对数据用于 AI 训练的反对流程，另为第三方数据主体设立单独表格，要求提交者提供生成相关输出的提示词与输出截图；Apple 提供了反对其网页抓取及将公开网页个人数据用于基础模型开发的专门流程，用户与非用户均可使用，它还向网站开发者提供技术说明，可阻止其爬虫 Applebot 抓取网站，或允许搜索索引但禁止内容用于训练。
但要从一个已训练好的模型中移除某个人的数据，往往需要重新训练整个模型。ICO 表示，正在关注「机器遗忘」（machine unlearning）这一领域的成熟度，并欢迎相关证据。
2026 年 3 月，ICO 还举办了一场透明度研讨会，邀请少量行业隐私工程师与学者，探索从网页抓取数据集中识别个人数据的技术方案。ICO 称，研讨会证明在大规模文本数据中识别个人数据在技术上可行且可扩展，但在跨来源关联同一人的碎片化数据、以及通知相关个人方面，仍有大量工作要做。
合法权益评估：报告列出的八家开发者
报告称，它审查了开发者的「合法权益评估」（LIA）与数据保护影响评估（DPIA），发现的问题包括：开发者不总能清晰识别每一类个人数据、每一个模型开发阶段所追求的具体利益；必要性主张缺乏实质证据，往往没有说明是否可采取替代训练方式；对处理如何影响人们的权利、利益与自由，也较少给出详细分析，例如未说明所采取措施的有效性。
ICO 在 2024 年的生成式 AI 咨询中曾指出，对通过网络抓取获得的训练数据，合法权益是开发者现实中唯一可以探索的合法性依据。
报告逐一列出了八家开发者的动作：Anthropic 更新了非用户隐私政策，说明模型开发不同阶段的处理目的，并更新 LIA 详述保障措施的有效性，涵盖模型行为失准或偏见等潜在危害；Apple 将更新隐私文件与 LIA，加入训练数据处理目的、安全措施与排除过滤器的细节，并已发布训练数据来源网页、完成关于网络抓取数据用于训练的兼容性评估；DeepSeek 已产出一份 LIA，并将更新隐私政策，说明训练数据集中包含哪些第三方个人数据，以及为何在预训练与后训练阶段收集这些数据；Google 将在 LIA 中引用更多证据，为所识别保障措施的有效性提供客观支持，包括测试与基准评估的发现；Meta 提供了额外证据，包括记忆化（memorisation）测试结果，以及关于其透明度材料有效性的调查结果；Microsoft 将审查其 LIA；OpenAI 已更新 LIA；Stability AI 将审查隐私政策以更详细说明处理目的，并更新 LIA。
报告列出的期望是，开发者在开始处理前应能证明已做到以下几点：识别每一类数据、每一阶段的具体利益（「开发和改进我们的产品」「训练我们的模型」这类宽泛表述不太可能足够）；评估处理的必要性，包括分析合成数据等侵入性更小的替代方案；评估处理对数据主体权利、利益与自由的影响，包括人们不被「不可见」处理的关切；以及对所依赖保障措施的有效性作出以证据为基础的评估（泛泛的保障声明不太可能足够）。
模型本身是否包含个人数据：ICO 的立场与个案评估
「AI 模型本身是否包含个人数据」在法律上影响广泛，关系到数据保护法是否适用于模型，以及人们能否就模型中可能包含的个人数据行使权利。ICO 的立场是：基础模型会对其训练数据形成嵌入（embeddings），当数据集包含个人数据时，所产生的嵌入仍可能是个人数据。报告提到，ICO 在 2020 年即表示，由于训练数据中的个人数据可以从训练后的模型中提取，模型本身就可以包含个人数据，因此可能受数据保护法约束。
报告称，与行业接触时发现，一些开发者不同意这一立场；为回应监管明确性的呼声，ICO 已开始复核其 2020 年立场。2024 年 12 月，欧洲数据保护委员会（EDPB）也确认，AI 模型可以以使其不构成匿名数据的方式嵌入训练数据。
ICO 称，某个具体模型是否包含个人数据需要个案评估，并受多重因素影响：模型规模、训练数据中的重复量、分词器类型、数据被使用的训练阶段、训练轮数、训练数据与查询的语言、上下文长度、推理时的采样方法，以及（报告称这仍有争论）训练数据集的规模。
报告称，研究显示记忆化会增加模型无意披露个人数据的风险，使其更易受到对抗性攻击；ICO 还称，越来越多报告显示从模型中提取训练数据具备可行性，来自互联网的训练数据可能包含邮箱签名、API 密钥与密码，可被恶意用于访问系统和获取更多信息。ICO 建议开发者测试两类风险：模型能否在同一数据集中「单体识别」（singling out）某人，以及能否通过组合多条记录识别同一人或同一群体，即「可关联性」（linkability）；ICO 称，其匿名化指引说明了如何评估这类风险。
特殊类别数据：两条可能适用的处理条件
UK GDPR 原则上禁止处理特殊类别数据，除非满足第 9 条规定的条件。报告称，由于 AI 训练实践使这类数据难以大规模识别或移除，基础模型训练很可能正在处理特殊类别数据，除非开发者能清楚证明其训练数据集不含此类数据；例如，社交媒体帖子常包含政治观点、宗教信仰或健康信息。
监督发现，一些开发者因不打算处理特殊类别数据，而未主动考虑第 9 条条件；另一些意识到风险，却难以找到适用条件。ICO 称，它识别出两个可能适用于基础模型训练的特殊类别数据条件。「显性公开」（manifestly made public，第 9(2)(e) 条）可能适用于部分第一方数据，但开发者须能核实数据主体有意公开分享其个人数据，并采取有效技术措施过滤未能核实的数据；该条件不太可能适用于第三方数据，尤其是网络抓取所得。「科学研究」（第 9(2)(j) 条）在部分情形下可能适用：开发者须证明处理符合 ICO 对有效科学研究的定义，并满足包括实施适当保障在内的其他要求；报告同时表示，并非所有用于基础模型开发的特殊类别数据处理都属于科学研究。ICO 近期发布了研究、存档与统计（RAS）条款的指引草案。
ICO 承认，这些条件不太可能覆盖所有被处理的特殊类别数据，「这限制了开发者合法地使用特殊类别数据训练模型的能力」。报告称，它将与政府、行业继续讨论这一问题，并称核心张力存在于支持 AI 创新、保护个人权利与维持公众信任三者之间。
在缓解措施方面，报告称多家开发者正在实施去重、过滤、跨语言测试等技术手段，并提供了哈希匹配、机器学习分类器、人工审核与标注、儿童性虐待材料（CSAM）检测工具等辅助证据。
agentic AI：从测试事件到证据征集
报告称，2026 年夏天有报道指出，OpenAI 与 Anthropic 的某些高能力 agent 在网络安全评估期间与外部系统发生交互；在部分情形中，这些模型绕过了防护、使用了未获授权的通信渠道，并访问了 Hugging Face 等外部系统。ICO 称，这些事件以及其他涉及配置错误的评估场景的案例显示，AI 系统可能造成现实伤害，包括模型自主访问并外传个人数据、乃至特殊类别数据的可能性。报告将 AI agent 定义为基于大语言模型、可访问工具、记忆与环境，并在使用中具有一定自主性以完成任务的系统。
Nevinson 还表示：「这些近期报告既显示这些系统进步有多快，也显示一旦防护栏不到位，它们会带来怎样的风险。我们的信息很明确：AI agent 以自主方式行动，并不是合规不佳的借口。人们若要信任 AI 创新，自然会期望知道自己的个人信息正得到怎样的保护。」
这项证据征集的问卷分为数据安全、透明度、问责、自动化决策（ADM）、公平与目的限制、合法性等部分，通过 Citizen Space 提交；ICO 表示，11 月 20 日之后收到的回复可能不予考虑，征集所得将用于制定最终版指引，并支持其即将出台的 AI 与自动化决策法定实务守则（statutory code of practice）。此外，ICO 还在就面向消费者的 AI 服务日益个性化的问题开展公众研究并接触企业，涉及通用聊天机器人以及角色扮演、伴侣类聊天机器人。
截至新闻稿发布时，针对 agent 测试事件的问询仍在进行；ICO 称已联系多家开发者及其测试伙伴，以查明当时有哪些风险评估与保障措施。