你在网上留下的个人数据，能不能不经你同意就被拿去训练AI？欧盟最近的一项动作让这个问题再度升温。欧盟成员国就修改欧洲核心隐私法《通用数据保护条例》（GDPR）达成了立场，可能让企业更容易使用个人数据来开发和运行人工智能系统。隐私活动人士马克斯·施雷姆斯（Max Schrems）对此提出了尖锐批评。不过要先说清楚：这还不是最终法律，欧洲议会还没有表态。
理事会支持什么新规则
据欧盟理事会官方公告，理事会于2026年10月21日通过了其谈判立场，内容涉及GDPR的修改。GDPR是欧盟规范机构如何处理个人数据的核心法律，这次修改可能影响企业如何把欧洲人的信息用于AI系统。
这项计划属于欧盟“数字综合方案”（Digital Omnibus）的一部分，目标是简化数字规则、减少企业的文书负担。理事会称，这些改动应有助于创新和竞争，同时个人数据仍会受到保护。
最受关注的是新增的第88bis条。按照这一条，企业在为构建或运行AI系统、AI模型而处理个人数据时，可以援引“合法利益”作为依据，这个概念来自GDPR第6条第1款(f)项。
“合法利益”本来就存在于欧盟法律中，在某些情形下，机构可以不经同意处理个人数据，但仍然必须遵守其他数据保护规则。新条款会让AI开发者更容易主张自己的工作属于合法利益。批评者认为，这可能让在线服务和社交媒体上的数据更容易被用来训练模型，企业不必再向每个人重新征求同意。
但文本并没有给企业“放行”。它写明AI开发不会自动构成合法利益，监管机构要结合数据使用的目的逐案判断；企业还必须选择恰当的法律依据，保留技术和组织层面的保障措施。更广泛的提案还提到了GDPR第21条规定的反对权。
隐私组织 noyb 的反对意见
由奥地利活动人士施雷姆创立的隐私组织 noyb 在10月23日发表回应，措辞强硬。施雷姆称这一举动相当于对人们数据的“数字征用”，把AI公司的商业利益凑在了数据保护基本权利之上。
noyb 认为，大型科技公司可能借此使用大量历史个人数据开发AI，其中甚至包括从未直接使用过这些服务的人的数据。该组织也怀疑，文本中的保障措施能否真正保护个人，能否阻止过度收集，以及能否防止数据被用于人们意想不到的用途。
此前，欧洲数据保护委员会（EDPB）和欧洲数据保护监督员（EDPS）在2026年2月就数字综合方案发表的联合意见中说过，合法利益在某些情况下可以支持AI开发，但同一份意见也对数据保护修改提出了担忧，并呼吁设置适当保障。
欧洲议会还有最终发言权
理事会的通过并不等于立法完成，它只是确立了成员国的立场。接下来，欧洲议会要先形成自己的立场，之后欧洲议会、理事会和欧盟委员会才会进入三方谈判，争取形成一致文本。
| 阶段 | 当前状态 |
|---|---|
| 欧盟理事会 | 已于2026年10月21日通过谈判立场 |
| 欧洲议会 | 尚未形成立场 |
| 三方谈判 | 等待议会表态后才能开始 |
| 现行GDPR | 仍然有效 |
在此之前，现行GDPR规则继续适用，企业不能把理事会的立场当作收集并使用个人数据训练AI的“通行证”。
这件事对普通人意味着什么
说白了，这场争论的核心是欧盟想要两样东西：既想壮大自己的AI产业，又有长期保护个人信息的传统。支持简化规则的一方认为，更清晰的法律能帮助企业创新；隐私倡导者则担心，更宽松的法律依据会削弱人们对“为其他目的而提供的信息”的控制权。
对身处欧盟之外的用户来说，也值得关注：欧盟的做法常常影响其他地区的立法思路。平时可以做的事包括：检查常用平台的隐私设置里是否有“用于改进AI”的选项，必要时关闭；对不必要的账号信息少填；留意各平台关于数据用途的更新通知。本文仅为资讯整理，不构成法律意见。
常见问题（FAQ）
GDPR已经被修改了吗？没有。目前只是理事会通过了谈判立场，欧洲议会还没有表态。
“合法利益”是不是意味着不用我同意？在特定情形下可以不经同意，但企业仍需遵守其他规则，并接受监管机构逐案审查，个人也保有反对权。
新规则什么时候生效？目前没有确定时间，要等议会立场和三方谈判结果。
总结
欧盟理事会的立场为AI训练使用个人数据打开了更宽的口子，但最终规则取决于欧洲议会和后续谈判。现阶段，现行GDPR仍然有效，值得持续关注事态发展。