欧盟GDPR第88c条：AI训练能否在未获同意时使用个人数据？

把欧盟《数字综合法案》的讨论概括为“允许公司不经同意就用个人数据训练AI”，并不准确。

争议焦点是拟议的 GDPR第88c条。该条拟明确：如果在AI系统或模型的合法设计、开发或使用中，对个人数据的处理具有功能上的必要性，控制者或第三方可将GDPR第6条第1款(f)项的合法利益作为可能的法律依据。13

但这不是对GDPR的豁免，也不等于网络爬取自动合法，更不会让同意机制失去作用。凡是其他欧盟法律或成员国法律仍要求取得同意的场景，相关要求依然适用。1

更关键的是：第88c条属于仍在审议中的数据《数字综合法案》提案，而不是已经通过的AI《数字综合法案》。其最终文本及立法结果尚未确定。

第88c条究竟会改变什么？

按拟议措辞，只要相关处理对AI系统或模型在其生命周期中的合法设计、开发或使用具有功能上的必要性，企业理论上可能援引“合法利益”。3

这更像是把GDPR下本已可能存在的一条法律路径，在AI语境中写得更明确。欧洲数据保护委员会（EDPB）此前已表示，在某些情况下，合法利益可以成为开发和部署AI模型或系统的适当法律依据。45

不过，“在某些情况下”是核心限定。企业不能只凭“开发AI对我有利”就自行认定处理合法，仍须满足通常的合法利益审查：

• 存在真实、正当的利益；
• 该数据处理对实现该利益确有必要；
• 企业利益必须与所涉个人的权利和自由进行平衡。15

因此，第88c条不是“公开数据都能拿来训练”的授权，也不是对私密个人数据的普遍放行。

保障措施为何是争论重点

围绕第88c条的真正分歧，不只在于合法利益能否适用于AI，还在于企业必须承担哪些可执行的保护义务。

讨论中的保障措施包括：在数据源选择和训练过程中落实数据最小化、采取技术和组织性保护措施、提供有意义的透明度，以及识别机器可读的异议或退出信号。拟议方案还包括针对相关AI处理的无条件反对权。13

这些要求不是装饰条款：

• 数据最小化意味着，开发者不能仅因数据“以后或许有用”就尽可能多地收集；
• 透明度让个人至少能了解其数据是否、如何被用于相关处理；
• 反对权若要有效，就不能只是藏在层层设置中的形式化选项。

敏感数据不会因此“随便可用”

欧盟理事会对于相关敏感数据减损条款的讨论，强调应限定于附带且残余的处理：控制者起初并无意处理敏感数据，但主处理活动中不可避免地夹带了少量此类数据。这不同于主动收集敏感个人数据作为训练素材。2

EDPB与EDPS为何提出担忧？

EDPB与欧洲数据保护监督员（EDPS）并未否认合法利益在某些AI处理情形下可能成立。他们的主要观点是：既然现有GDPR分析已经允许在适当个案中得出这一结论，就没有必要专门新增第88c条。45

两家监管机构担心，AI专门条款可能不只是“澄清”，还可能被理解为改变既有数据保护边界，从而给GDPR保护标准带来新的不确定性。其意见属于咨询性质，并不直接决定立法结果，但在谈判中具有重要分量。5

第88c条是否已被“恢复”？目前不能下定论

现有立法材料显示，欧盟理事会内部对此仍有争议。原定就理事会谈判授权进行的COREPER投票，因若干未决问题未能达成一致而取消；后续工作转由爱尔兰担任轮值主席国期间继续推进。

爱尔兰主席国工作计划提出，争取在2026年底前与欧洲议会就《数字综合法案》一揽子方案达成协议。 但所提供的官方材料并不能独立证明，第88c条已经被正式恢复并写入最终理事会立场。

目前更稳妥的表述是：第88c条仍处于政治争议和谈判之中。 在立法完成前，企业不能将它视为已生效、可替代GDPR既有要求的法律依据。

别把两份《数字综合法案》混为一谈

混淆的一大来源是，另一项措施——AI《数字综合法案》——已经作为《欧盟条例（EU）2026/1744》获通过。

该法规调整的是《AI法案》部分条款的实施时间表。其中，附件III所列的独立高风险AI系统义务，将从2027年12月2日起适用；嵌入受监管产品中的高风险AI系统，则适用更晚的时间表。1920

附件III义务生效后，相关高风险系统将须满足风险评估与缓解、高质量且旨在降低歧视性结果的数据集、日志和可追溯性、技术文件、向部署者提供信息、人工监督、稳健性及网络安全等要求。20

这些是《AI法案》对高风险系统的监管要求，与“个人数据能否用于AI训练”的GDPR法律基础是两回事。高风险AI义务延期，并不意味着第88c条已经成为法律。

对开发者与个人意味着什么？

对AI开发者而言，第88c条若最终通过，可能增加文本层面的明确性，但绝非合规捷径。可辩护的做法仍需要书面化的必要性和利益平衡评估、数据最小化、清晰透明的信息机制，以及能够实际处理反对请求的运营流程。

对个人而言，关键在于最终法律能否保留真正有效的边界：数据使用是否确有必要，敏感数据是否仍受严格限制，以及反对机制是否在技术上可执行，而非象征性安排。

整体趋势并不是欧洲放弃了预防性AI监管。已通过的AI《数字综合法案》推迟了部分高风险义务；另一份仍在谈判的数据提案，则在探索为某些AI相关数据处理提供更清晰的法律路径。最终平衡将取决于欧盟理事会与欧洲议会的谈判，以及任何通过文本日后的解释和执法。19