欧盟成员国给 AI 用公民数据开绿灯，隐私组织怒批

你在社交平台发了十年的动态、跟聊天机器人说过的私房话，可能很快能被 AI 公司拿去训练模型——不用问你。欧盟成员国刚刚在理事会层面点头同意了这件事。隐私组织把这一天称为欧洲数据保护的大倒退，支持者则说这是给欧洲 AI 产业松绑的必要一步。

一、发生了什么

据隐私组织 noyb 报道，欧盟成员国于 10 月 21 日（周三）在理事会批准了「数字综合案」（Digital Omnibus）中对 GDPR 的一项修改，文本次日公布。按批准的文本，企业在 AI 开发和运营语境下处理个人数据，可以默认落入 GDPR 的「合法利益」条款，一般无需再逐一征求同意；理论上，公司过去几十年积累的个人数据——包括你从没当过其用户的那些——都可能被拿来用。理事会文本保留了对第 21 条（特定情形下可提出异议）和第 24 条的引用，但 noyb 认为没有增加实质保障。整个修法走的是快速通道：欧委会把它包装成简化合规的「小改动」，没有做基本权利评估，也没让数据保护专家组直接参与。noyb 创始人 Schrems 把这一步称为「欧洲人的数字征收」，批评爱尔兰轮值主席国推动过快——顺带一提，多数美国 AI 公司的欧洲总部恰好也设在爱尔兰。需要说明：理事会立场只是立法第一步，接下来还要跟欧洲议会谈判，最终文本可能生变。

二、跟你有什么关系

欧洲普通用户：同意不再是默认前提，能拦住训练的只剩「提出异议」这一条路，要主动行使权利得盯各平台的退出入口。 AI 公司：训练数据的合规成本下降，但欧洲议会谈判后条文可能收紧，别急着按最宽松口径重建数据管线。先把数据来源清单和用途记录做扎实，无论最终条文宽严都用得上。 中小企业：没有大公司那样的数据存量，规则放松的主要受益者反而是巨头，这一点连支持者内部也有争议。

三、怎么判断

1. 记住流程状态：这是理事会立场，不是生效法律，最终条文以与欧洲议会谈判的结果为准。
2. 看异议权怎么落地：第 21 条的退出机制在 AI 场景里如何操作，细则决定普通人的实际控制力。对物体没有异议能力的话，「默认合法」和「强制同意」的实际差别没那么大。
3. 分开两件事：训练合法性松绑是一回事，模型输出泄露个人数据的责任是另一回事，后者并未同步放宽。出了泄露事故，该担的责任一点没少。

四、三个别信的说法

欧盟全面废除了数据保护。 GDPR 的其他条款都还在，改的只是 AI 语境下「合法利益」这一个法律基础的适用方式，医疗、金融等敏感领域另有专门规则。

这条新规立刻生效。 立法程序还没走完，理事会和欧洲议会还要拉锯，现在就按新规改数据管线为时过早。

放开数据利于欧洲 AI 竞争。 noyb 的判断正相反：数据存量集中在美国和中国巨头手里，欧洲公司缺的恰恰是数据，松绑的相对受益者是巨头。

五、一句话结论

产业竞争力的算盘打响了，代价可能是普通人用了三十年攒下的那点数据控制权。

信息来源

• noyb：成员国批准 AI 语境下的数据征收条款　2026 年 10 月

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。