欧盟已改变其两大数字规则手册的衔接方式。第(EU) 2026/1744号条例，即所谓的《AI综合法案》，对《人工智能法案》进行了修订，并调整了其与《通用数据保护条例》(GDPR)的重叠领域。这份《人工智能法案》GDPR修订解读指南将梳理源分析所强调的内容：关于偏见检测数据的新第4a条、可复用GDPR数据保护影响评估(DPIA)的基本权利影响评估(FRIA)、更宽松的AI素养义务，以及新的监管安排。

源材料是一份简短摘要，因此本文仅围绕这些核心变化展开，避免对其未明确说明的细节进行猜测。在细节至关重要之处，我们会予以说明。

《AI综合法案》对《人工智能法案》做了哪些改变

根据摘要，第(EU) 2026/1744号条例“重塑”了《人工智能法案》与GDPR之间的重叠部分。以下四项变化尤为突出：

  • 偏见检测数据（第4a条）： 一项涉及人工智能系统偏见检测数据处理的新条款。
  • FRIA复用DPIA： 基本权利影响评估可以基于组织已根据GDPR开展的数据保护影响评估进行。
  • 更宽松的AI素养： 围绕AI素养的义务有所放宽。
  • 新的监管安排： 监督的组织方式发生变化。

更广泛的背景是简化欧盟数字规则的推动力。如果您想了解更全面的情况，我们关于欧盟数字综合法案对Cookie、GDPR和AI的改变的解读文章更深入地介绍了这一简化方案。

第4a条下的偏见检测数据：对您的个人数据意味着什么

偏见测试是一个真实的矛盾点。为检查人工智能系统是否不公平地对待某些群体，开发者通常需要关于种族、健康或其他敏感属性的数据。GDPR对此类数据的处理设有严格限制。第4a条是《人工智能法案》的回应：它允许在AI框架内处理偏见检测数据。

对于普通人而言，实际问题在于您的数据是否可能被用于测试人工智能系统。摘要确认了该条款的存在，但未阐明其附带的保障措施、条件或限制。这些细节至关重要。目的限制、数据最小化和安全性是应在条例文本以及组织描述其实践时留意的保护措施。

其意图——对AI进行歧视审计——是正当的。隐私风险在于该许可范围是狭窄且受到良好管控，还是宽泛且监管松散。读者在阅读实际执行措辞之前，应将其视为一个未决问题。

FRIA与GDPR DPIA现在如何协同运作

DPIA是组织在数据处理可能对个人权利构成高风险时根据GDPR进行的评估。FRIA是《人工智能法案》对高风险人工智能系统可能如何影响基本权利的评估。在变更之前，一个组织可能面临两项重叠的文书工作。

根据《AI综合法案》，FRIA可以复用DPIA。通俗地说，为一项评估所做的工作可以为另一项提供输入，这应能减少重复劳动。

这既有优势也有注意事项：

  • 优势： 一项做得好的评估可以同时服务于两种制度，这可能鼓励更深入的工作，而非两次走过场。
  • 注意事项： DPIA侧重于数据保护风险。FRIA旨在涵盖更广泛的范围，包括歧视和其他权利。只有当更广泛的问题仍被真正提出时，复用DPIA才有帮助。

注重隐私的用户获得什么、失去什么

可能的收益

  • 更清晰的偏见测试规则，有助于在歧视性AI影响到您之前将其发现。
  • 更少的重复评估工作，可能使组织能够专注于质量。
  • GDPR权利继续有效。摘要描述的是调整后的重叠关系，而非废除GDPR。

可能的损失或不确定性

  • 一条处理敏感数据用于偏见检测的新法律途径，其保障措施需要仔细审查。
  • 更宽松的AI素养义务，可能意味着使用AI工具的员工获得的强制性培训减少。
  • 新的监管安排，其对执法和投诉处理的影响在源材料中未详细说明。

这对您意味着什么

摘要中没有任何内容表明您的核心GDPR权利（如访问权、删除权和反对权）已消失。发生变化的是围绕人工智能系统的机制：数据可如何被用于测试它们、风险评估如何合并，以及由谁监督它们。

如果您与用于招聘、贷款、教育或公共服务的人工智能系统有交互，新规则可能影响您的数据如何被用于公平性测试，以及您的权利被评估的彻底程度。具体细节将取决于完整的条例文本以及国家主管部门如何适用。

可操作要点

  • 阅读隐私声明中的AI相关表述。 留意组织是否声明其使用个人数据来测试或改进AI，包括偏见检测。
  • 询问评估情况。 您可以询问公司是否对影响您的人工智能系统开展了DPIA或FRIA，以及两者之间的关系。
  • 行使您的GDPR权利。 访问、反对和删除请求仍然可用。
  • 等待细节。 将核心变化视为起点，并查阅条例文本以了解第4a条的保障措施。

为持续积累背景知识，请先阅读我们的数字综合法案解读，然后审视持有您数据的组织如何描述其AI和影响评估实践。借助这份《人工智能法案》GDPR修订解读，您将更有能力提出正确的问题。