大模型研发者是数据控制者么？——基于OpenAI的观察

作者：王融，腾讯研究院首席数据法律专家

图片来源：由无界 AI工具生成

引言：以ChatGPT为代表的生成式人工智能技术正在以令人惊异的速度进化。随着商用化序幕拉开，相关隐私和个人信息保护等数据合规问题（以下简称数据合规）进入公众视野。但实际上，数据合规并不是AI行业面临的新问题。妥善解决隐私和数据安全，赢得用户信任，是任何一项应用取得成功的基本前提。相比于移动互联网、云计算、区块链、自动驾驶等技术，我们更关注新一代AI在数据合规中的独特问题。对于代表着新拐点、新范式的新一代AI，相关法律认定都还为时过早。

为此，腾讯研究院公众号将陆续推出《生成式AI——数据合规的变与不变》系列文章，以开放设问方式，探讨基于大语言模型AI生态的数据合规问题。讨论没有标准答案，更多提供观察视角。

本期观点摘要：

1. AI 行业生态仍在发展形成中，从目前浮现的商业形态看，生成式 AI 市场主体大致可以区分为三类：一是基础大模型研发者（如OpenAI, Deepmind），二是面向垂直行业的模型研发者（如Bloomberg，Aidoc），三是面向公众提供内容生成的服务提供者，如近期火爆的ChatGPT。

2. 并非所有的市场主体都是数据合规法律框架下的义务主体，这需要根据业务场景、技术逻辑和法律规范来进一步确定：是数据控制者（data controller）,数据处理者（data processor）抑或是其他？当主体身份重合时，也需要基于不同业务流程匹配合规义务。

3. 模型研发者，在模型训练阶段有可能并不认定为数据合规上的法律主体（data controller）。以OpenAI模型为例，其不以个人信息处理为目标，虽然在庞大的数据来源中不可避免存在个人信息，但绝大部分是公开信息，处理活动存在合法性基础。并且在从原始信息到训练数据的加工过程中，个人信息成分不断衰减。正如OpenAI所言： “我们希望了解世界，而不是了解个人。”

4.参考2014年欧盟“被遗忘权”案例中对于搜索引擎法律地位的分歧讨论，“搜索引擎”在对原始网页的处理过程中，并不应视为数据控制者。这对大模型训练阶段的法律定性具有启发意义。

正在浮现的市场主体

生成式 AI 行业生态正在快速发展形成中，规模庞大，主体呈现多样化。根据已浮现的商业形态，生成式 AI 市场主体目前大致可以区分为三类： 

一是底层大模型研发者，包括OpenAI, Stability AI Google，Meta等，这些公司已发布各自的底层模型。所谓大模型，是指基于大量数据训练的、拥有巨量参数、展现涌现能力的模型。

二是面向B端各垂直领域\行业的模型研发者，例如[1]：

1. 医疗保健：Zebra Medical Vision ，Aidoc 等公司使用生成式 AI 为客户进行医学图像分析、诊断和治疗规划。

2. 制造业：通用电气等公司利用生成式人工智能优化生产流程、预测性维护和供应链管理。

3. 金融服务：Bloomberg发布的Terminal AI大模型。基于GPT-3架构，可以处理金融领域的专业文本数据，提供金融智能化的服务。

4. 零售：Stitch Fix 等公司使用生成式人工智能来实现个性化购物体验、库存管理和需求预测。

三是面向B端和C端个人用户提供生成式AI应用的服务商，例如：

1.内容生成：Jasper、ChatGPTGPT-3 Creative Writing 等平台使用生成式 AI 来创建书面内容，包括营销文案、社交媒体帖子和其他书面材料。

2.语言翻译：谷歌翻译利用生成式人工智能在不同语言之间翻译文本。

3.图像和视频生成：Midjouney , DALL-E等平台使用生成式 AI 来创建合成图像和视频。

对于以上主体，适用现有的隐私数据合规框架可从两个维度展开：一是区分业务场景（TO C/to B)，以明确法律主体身份，即是否是个人信息保护法中的个人信息控制者，处理者抑或是其他角色；二是区分数据处理的流程环节，以明确法律主体所适配的数据合规义务。当主体身份重合时，更需要基于不同业务流程划分合规要求。以OPENAI为例，其既面向个人用户提供ChatGPT服务，也将基础大模型能力以API方式提供给专业开发者，在不同业务场景中，其所涉及的个人信息处理活动有着显著的不同，这对于法律角色和合规义务有着直接的影响。

基础大模型研发者是否是隐私数据合规框架下的data controller，是一个值得讨论的问题。