您在网上留下的个人数据，会不会被拿去训练 AI，还不用征求同意？欧盟成员国的一项新立场让这个问题再度受到关注：欧盟理事会同意修改《通用数据保护条例》（GDPR），可能让企业更容易使用个人数据来开发和运行人工智能系统。先说结论：这还不是正式法律，欧洲议会尚未确定自己的立场，现行 GDPR 规则继续有效。
理事会通过了什么
据欧盟理事会官方公告，理事会在 2026 年 10 月 21 日通过了谈判立场，涉及对 GDPR 的修改。该方案属于欧盟“数字综合包”（Digital Omnibus），目标是简化数字规则、减轻企业文书负担；理事会称这将支持创新和竞争，同时个人数据仍受保护。
最受关注的是新增的第 88bis 条：企业在为构建或运行 AI 系统或模型处理个人数据时，可以依据“合法利益”（源自 GDPR 第 6(1)(f) 条）。合法利益原本就存在于欧盟法律中，在某些情况下允许机构不经同意处理个人数据，企业仍须遵守其他数据保护规则。批评者认为，新规则会让 AI 开发者更容易用在线服务和社交媒体的数据训练模型，无需向每个人重新征求同意。
不过文本并非放任：它写明 AI 开发并不自动构成合法利益，监管机构需结合数据使用目的逐案判断，企业还要选择合适的法律依据、保持技术和组织层面的保障措施；更广泛的提案也提到了 GDPR 第 21 条规定的反对权。
noyb 与监管机构的反应
- noyb：隐私团体 noyb（由奥地利活动人士马克斯·施雷姆斯创立）10 月 23 日发表反应，称此举是对人们数据的“数字掠夺”，把 AI 公司的商业利益置于数据保护这一基本权利之上，并质疑文中的保障措施能否阻止过度收集和用户意料之外的用途。
- EDPB 与 EDPS：两家欧盟隐私机构曾在 2026 年 2 月关于数字综合包的联合意见中表示，合法利益有时可以支持 AI 开发，但也对数据保护修改提出了担忧，并呼吁设置适当保障措施。
接下来会怎样
理事会通过只是确定了成员国的立场。欧洲议会需要先确定自己的立场，随后议会、理事会和欧盟委员会才会进入谈判并形成共同文本。在此之前，企业不能把理事会立场当作收集和使用个人数据训练 AI 的通行证。这场争论反映了欧盟的两难：既想发展 AI 产业，又有保护个人信息的长期传统。
相关报道可对照站内的欧盟成员国支持修改隐私法：AI训练用个人数据或将放宽。
常见问题（FAQ）
我的数据现在就能被随便拿去训练 AI 吗？不能这样理解，现行 GDPR 规则仍有效，新方案尚未成为法律。
什么是“合法利益”？GDPR 中的一种法律依据，允许在特定情形下不经同意处理个人数据，但需权衡当事人的权利。
来源：欧盟理事会公告、noyb 公开声明及 EDPB/EDPS 联合意见的报道，信息查询于 2026 年 11 月 9 日。本文不构成法律意见。