OECD：AI、数据治理与隐私（2024）

隐私规则与 AI 治理长期由两拨人分头推进：一边是数据保护机构，一边是 AI 政策社群。生成式 AI 把两者的交叉面放大了——模型训练要消耗大量数据，输出又可能牵扯个人信息，于是「两套规则怎么对接」成了必须回答的问题。这份经合组织人工智能论文处理的正是这件事：它不另起一套规则，而是找出现有隐私原则与 AI 原则之间的协同点，以及值得开展国际合作的领域。它现在值得看的理由也很直接：生成式 AI 让原本可以在各自轨道上慢慢磨合的问题，变成了需要跨政策社群即时协调的问题。

分析对象是经合组织自己已有的原则文本——隐私方面的准则与 AI 方面的原则，表 1 收录了 2024 年修订版的 OECD AI Principles；方法上是逐条映射、比对异同，而不是做问卷或统计。支撑这项工作的是 OECD.AI 专家网络下专设的「AI、数据与隐私」专家组，成稿在 OECD 人工智能治理工作组（AIGO）与数据治理和隐私工作组共同主持下完成，这两个工作组都隶属于 OECD 数字政策委员会。专家组由以色列隐私保护局、新加坡 IMDA 与 IEEE 欧洲业务的代表共同主持，指导小组还包括欧盟委员会、挪威数据保护局、Télécom Paris 与 Center for AI and Digital Policy 的人员。换句话说，这是一份由多国监管与研究视角共同参与形成的政策映射报告，其结论带有政策社群内部的共识色彩。

正文第 1 章把生成式 AI 定位为「协作的催化剂」，而不是又一个孤立议题。它分别梳理生成式 AI 对隐私带来的机会与风险（Box 1.1 归纳了 AI 系统相关的现实与潜在风险），并记录隐私执法机构（PEA）如何就此介入；结论是生成式 AI 提高了处理「AI 监管与隐私监管如何相互作用」的紧迫性。第 2 章落到原则层面：OECD AI 建议书包含五项基于价值的原则；映射之后可以看出，AI 社群与隐私社群在哪些目标上同向、在哪些环节上需要协调。

映射暴露出的一个关键问题是语词相同、含义不同——表 3 专门列出了在 AI 与隐私两个政策社群之间含义有别的核心概念。这意味着即便两边都写「透明」「问责」，落到具体义务上也未必指同一件事；表 2 则给出了两组社群相似之处与可协调领域的概览。第 3 章转向实践层面，按「监管机构表态—执法指引—针对 AI（含生成式 AI）的执法行动」三条线索梳理各国与各地区的进展。这可以理解为：在原则讨论之外，隐私执法机构已经用指引和个案在事实上回答了一部分问题。

对实务而言，最直接的后果是「AI 治理」与「隐私合规」很难再拆成两条工作流：如果两个社群对同一概念的理解不同，机构在处理训练数据来源、输出内容、影响评估时就会撞上两套互不吻合的期待。报告提出的国际合作领域，可以理解为给监管者列出的一张「哪些问题必须一起解决」的清单；对企业来说，它则是一张提前标出分歧点的地图。反过来说，表 2 归纳的相似之处也说明，多数情况下并不需要新造一套合规语言，而是把已有要求对接上。

做 AI 合规、数据保护与政策研究的人，读完大致能拿走三样东西：一份隐私原则与 AI 原则的对照框架、一组被明确点

AI, DATA GOVERNANCE AND PRIVACY SYNERGIES AND AREAS OF INTERNATIONAL CO-OPERATION OECD ARTIFICIAL INTELLIGENCE PAPERS June 2024 No. 22 2  AI, DATA GOVERNANCE & PRIVACY: SYNERGIES AND AREAS OF INTERNATIONAL CO-OPERATION OECD ARTIFICIAL INTELLIGENCE PAPERS Foreword The report “AI, data governance, and privacy: Synergies and areas of international co-operation” explores the intersection of AI and privacy and ways in which relevant policy communities can work together to address related risks, especially with the rise of generative AI. It highlights key findings and recommendations to strengthen synergies and areas of international co-operation on AI, data governance and privacy. This paper was approved and declassified by writte n procedure by the OECD Digital Policy Committee (DPC) on 20 June 2024 and prepared for publication by the OECD Secretariat. The paper is informed by