AI 合唔合 GDPR？德國同歐盟真正要睇咩

一句講晒：唔可以一刀切

「AI 一定 GDPR 合規」呢句太籠統；「所有 AI 使用都違法」同樣唔準確。EDPB 嘅材料係將 AI 模型視為一個可能涉及個人資料處理嘅場景，然後逐項審視該等處理是否合乎 GDPR 要求 。

EDPB 喺 2024 年 12 月 18 日嘅公布中，指 Opinion 28/2024 主要處理三條問題：第一，AI 模型幾時、點樣可以被視為匿名；第二，合法利益可否以及如何作為開發或使用 AI 模型嘅法律基礎；第三，如果 AI 模型係用曾經被違法處理嘅個人資料開發，後果會係點 。

所以，就德國同歐盟而言，現有來源唔支持一個「德國專用」或者「AI 一律合規」嘅簡單答案。德國同其他歐盟成員國一樣，重點仍然係逐個處理活動去睇：涉及咩個人資料、為咩目的、靠咩法律基礎、以及會唔會影響之後嘅處理步驟 。

EDPB Opinion 28/2024 真正講咩？

Opinion 28/2024 明確係針對 AI 模型相關個人資料處理嘅「若干資料保護方面」。因此，佢唔係一本解答所有 AI 法律問題嘅大全，而係集中處理幾個對 GDPR 合規非常關鍵嘅問題 。

對實務最重要嘅啟示係：唔好只睇技術標籤。監管重點唔係「呢件事係咪 AI」，而係「喺呢個具體情境下，有冇處理個人資料，以及點樣處理」。當中尤其要睇三樣嘢：匿名性、合法利益作為法律基礎嘅可行性，以及開發階段若曾有違法資料處理，會否影響後續使用 。

1. AI 模型唔會自動變成匿名

一個常見誤解係：只要原始個人資料「溶入」模型，外面睇唔到原始數據，模型就一定匿名。EDPB 嘅公布就講得好清楚：AI 模型是否匿名，應由資料保護監管機關按個案評估 。

實務上，單靠一句「我哋個模型已經匿名」係唔夠嘅。要令 GDPR 評估有說服力，必須能夠解釋點解喺該模型、該用途、該技術同該風險環境下，佢真係可以被視為匿名 。

呢點喺模型可能仍然保留個人資料時特別重要。ENISA（歐盟網絡安全局）關於 EDPB Opinion 嘅網上研討會材料提到，如果個人資料保留喺模型入面，可能會影響之後處理活動嘅合法性；呢類情況需要逐案評估 。

2. 「合法利益」可以係選項，但唔係免死金牌

EDPB Opinion 28/2024 明確討論合法利益可否以及如何用作開發或使用 AI 模型嘅法律基礎 。呢點好重要，因為好多 AI 項目未必容易靠同意作為唯一基礎。不過，合法利益唔等於自動過關。

由現有 EDPB 材料可見，唔可以話所有 AI 開發或者使用都自然受到合法利益保障。正確問題係：就某一次具體處理活動而言，合法利益呢個法律基礎係咪真係適用、必要同能夠承受風險審視 。

如果早前處理資料嘅步驟本身有問題，評估會更加敏感。ENISA 材料提到，若後續處理想依賴合法利益，而最初處理曾經違法，該初始違法性需要納入合法利益評估之中 。

3. 訓練資料嘅「前科」未必會消失

Opinion 28/2024 另一個核心問題係：如果一個 AI 模型係用曾經被違法處理嘅個人資料開發，之後會點 。

實務含義係，資料來源嘅法律問題唔會因為「資料已經變成模型」就自動一筆勾銷。如果個人資料仍然保留喺模型入面，可能影響後續處理嘅合法性；ENISA 材料亦指出，呢類情況需要逐案評估 。

如果一個項目牽涉多個參與者，例如模型開發者、部署者同使用者，責任分工亦要清楚。ENISA 材料區分同一控制者同不同控制者嘅情境，並強調每個控制者都應確保自己負責嘅處理活動合法 。

AI 項目 GDPR 檢查清單

以下唔係法律意見，而係根據 EDPB 同 ENISA 材料整理出嚟嘅實務檢查方向。

1. 先分清階段同目的

要先講清楚你審視緊嘅係模型開發、部署、日常使用，定係另一個同 AI 模型相關嘅處理活動。EDPB 公布明確提到，Opinion 涉及個人資料用於 AI 模型開發同部署 。

2. 搵出個人資料喺邊度出現

記錄清楚有冇處理個人資料、邊個環節處理、處理咩類型資料。Opinion 28/2024 正正係處理 AI 模型情境下個人資料處理嘅資料保護問題 。

3. 匿名性要證明，唔係口講

如果你要將模型定性為匿名，就要有可支撐嘅個案分析。EDPB 公布指出，AI 模型是否匿名應按個案由資料保護監管機關評估 。

4. 法律基礎要對準具體處理

如果打算依賴合法利益，就要逐項檢視呢個基礎可否支持該次開發或使用活動 。現有來源無顯示 GDPR 對 AI 有一個籠統例外 。

5. 睇清模型入面仲有咩、訓練歷史有冇問題

要評估個人資料會唔會仍然保留喺模型入面，以及開發階段嘅資料處理是否合法。兩者都可能影響之後嘅處理活動 。

6. 多方參與時，責任要分明

如果開發、提供、部署同使用由不同機構負責，就要清楚界定邊個係邊個處理活動嘅控制者。ENISA 材料強調，每個控制者都應確保自己嘅處理活動合法 。

常見誤解

「原始資料睇唔到，即係模型已匿名。」 唔一定。EDPB 公布指，AI 模型是否匿名要按個案評估 。

「合法利益一定夠用。」 唔係。EDPB Opinion 係討論合法利益可否以及如何作為法律基礎，但無話所有 AI 使用都自動可以靠合法利益過關 。

「模型訓練完，資料來源就唔再重要。」 亦唔係。Opinion 明確處理如果 AI 模型係用違法處理嘅個人資料開發，後續會點 。若個人資料仍留喺模型入面，之後處理嘅合法性可能受影響 。

結論

喺德國同歐盟，AI 唔會因為叫 AI 就自動符合 GDPR；但亦唔會單純因為係 AI 就被禁止。穩陣嘅事實核查答案係：要睇具體個人資料處理，尤其係模型是否真正匿名、法律基礎是否站得住腳、模型內是否仍保留個人資料，以及開發階段若有違法處理會否影響後續使用 。