论生成式人工智能时代的被遗忘权*

商建刚

(上海政法学院,上海 201701)

一、问题的提出

ChatGPT等生成式人工智能应用带来了“用户提示—AI生成”的新场景,被遗忘权项下的“删除权”和“解除索引权”无法实施。早在2017年,谷歌研究人员构建了Transformer模型(1)See Vaswani,etal,“Attention is all your need.”arXiv:1706.03762 [cs.CL](2017).,在生成式人工智能领域形成了“预训练+微调”的开发范式(2)See OpenAI:Introducing ChatGPT, https://openai.com/blog/chatgpt/, last visited on February 27, 2023.,可在超大数据量下,对尚未进行标注的语料库进行学习,并通过微调快速适用于下游任务。“预训练+微调”的AI开发范式极大地节约了开发成本,产生了诸如ChatGPT、BERT、Midjourney、文心一言等生成式人工智能应用。可以说,人类已经进入生成式人工智能时代,数据基础制度的核心已从保护转向运用(3)商建刚,马忠法.数据权益的实现:从保护到运用[J/OL].社会科学辑刊:1-12[2023-05-14].。然而,生成式人工智能的自学习模式将未标注的个人原始信息变成一碗“数据汤”(4)See ChatGPT vs GDPR - what AI chatbots mean for data privacy,https://www.information-age.com/chatgpt-vs-gdpr-what-ai-chatbots-mean-for-data-privacy-123501570/,last visited on 10 March 2023.,其滥用个人信息方式具有无形性、潜伏性、未知性等特征(5)田野.风险作为损害:大数据时代侵权“损害”概念的革新[J].政治与法律,2021,(10):25-39.,以至信息主体面临“告知—同意”失效、司法救济难等困局(6)张涛.探寻个人信息保护的风险控制路径之维[J].法学,2022,(6):57-71.,给个人信息权利的保护带来了极大挑战。

我国法学界对被遗忘权的法律属性、理论基础、制度内涵尚未形成共识。我国没有采用欧盟《通用数据保护条例》(简称GDPR)中擦除权(“被遗忘权”)的提法,而是在《民法典》从赋权的角度在第1037条第2款规定了自然人的信息删除权,《个人信息保护法》从数据保护的角度在第47条对删除权作了细化规定,由此产生了被遗忘权和删除权的法律概念之争。主要有三类观点:第一类观点认为,被遗忘权是删除权的上位概念(7)段卫利.被遗忘权的概念分析——以分析法学的权利理论为工具[J].河南大学学报(社会科学版),2018,58(5):17-24.。持该观点的学者认为,被遗忘权包含删除权,删除权是手段,被遗忘权是目的。第二类观点认为,删除权是被遗忘权的上位概念(8)薛丽.GDPR生效背景下我国被遗忘权确立研究[J].法学论坛,2019,34(2):100-109.。持该观点的学者认为,根据GDPR第17条所采取的“删除权(被遗忘权)”命名方式,删除权是根本,被遗忘权是补充。第三类观点认为,删除权和被遗忘权等同(9)程啸.论《个人信息保护法》中的删除权[J].社会科学辑刊,2022,(1):103-113+209.。持该观点的学者认为,被遗忘权的重点在于删除而非遗忘,过于文学化、充满感性的表达无法反映被遗忘权的本质,其实质是删除权(10)郑志峰.网络社会的被遗忘权研究[J].法商研究,2015,32(6):50-60.。在生成人工智能技术出现之前,基于个人对数据的控制,行使删除权和被遗忘权的主体均为自然人,删除权和被遗忘权的目的都在于维护人类的人格尊严,实施主体和内容并无本质区别,对两者进行严格区分并非迫切。然而,在生成式人工智能时代,数据汤现象导致删除信息已难以实现,被遗忘权更能体现被遗忘的立法目的和概念内涵。因此,本文以被遗忘权作为概念统摄进行论述。现有对于被遗忘权的研究多基于用户被动接受信息或用户主动生成内容的传统场景展开(11)如丁晓东.被遗忘权的基本原理与场景化界定[J].清华法学,2018,12(6):94-107;刘文杰.被遗忘权:传统元素、新语境与利益衡量[J].法学研究,2018,40(2):24-41.等。,然而生成式人工智能技术削弱了自然人对个人信息的控制,个人信息保护陷入新的困境,我们必须追问被遗忘权在人工智能时代该如何实现。

二、数据汤:被遗忘权的窘境

生成式人工智能采取“用户提示—AI生成”交互路径,这种交互方式缩短了从问题到答案的“距离”。在信息的压缩(输入)与复现(输出)过程中,以“删除”和“断链”为主要实现方式的被遗忘权,已经无法适用。在技术上,生成式人工智能带来了“数据汤”现象。在法律上,“删除权”与“解除索引权”的实现路径已被架空。

(一)被遗忘权遭遇数据汤的窘境

技术革新带来法律应用场景的变化,法律应随之发展。智能科技以其“智能技术范式”构成了对人公开的或隐蔽的宰制(12)孙伟平:人工智能与人的“新异化”[J].中国社会科学,2020,300(12):119-137+202-203.,这种权力具有隐蔽性,一种形象的表述是“谷歌决定了你是谁”(13)See Meg Leta Ambrose, You Are What Google Says You Are:The Right to be Forgotten and Information Stewardship, 17 Int’l Rev. Info. Ethics 21,22 (2012).。因此,数字时代的个人权利保障一直是数据法学的研究重点。值得注意的是,现有被遗忘权更多规范的是“显性数据”,例如个人发布的信息、链接等,而在生成式人工智能语境下,神经网络“黑箱”的运行机制将导致被遗忘权面对无法处理“隐性数据”的窘境。

基于涌现现象,ChatGPT产生了“心智理论”(Theory of Mind,ToM),原理在于对“隐性数据”的利用。心智理论,即具有理解和推断他人心理状态的能力,这通常被认为是人类的特征。GPT-1和GPT-2均没有表现出心智能力,但2022年1月和11月相继发布的GPT-3和GPT-3.5分别在心智测试方面展现出与七岁和九岁儿童相匹配的心智能力(15)See Michal Kosinski, Theory of Mind May Have Spontaneously Emerged in Large Language Models, arXiv:2302.02083.。大语言模型可以涌现心智理论,以人类语料库为数据集的大语言模型产生了理解人类心理状态的能力。心理学家弗洛伊德将意识分为前意识、潜意识和意识,与之类似,ChatGPT等生成式人工智能应用具有利用“隐性数据”的能力。

涌现现象以及心智理论的产生是一种“算法黑箱”,生成式人工智能的记忆与遗忘过程与非生成式人工智能相应过程不同,人类无法也不能感知相关数据的利用状态。事实上,设计者并没有赋予ChatGPT遗忘的能力。尽管OpenAI给出了通过注销账户删除全部数据以及通过申请删除选定数据两种删除数据路径,但OpenAI并没有对删除方式和是否确保数据能被完全删除进行说明(16)See OpenAI:API data usage policies, https://openai.com/policies/api-data-usage-policies.last visited on April 16, 2023.。从现有的技术表现来看,生成式人工智能时代下“数据汤”现象的出现与“隐性数据”被利用密切相关,被遗忘权如何规制隐形数据是必须回应的时代命题。

(二)人工智能时代“删除权”和“解除索引权”的实现路径落空

关于是否需要创设被遗忘权,美国尚处于言论自由、公众知情权与个人信息权利平衡的博弈过程中,尚未在全美范围内设立被遗忘权制度。我国与欧盟则承认被遗忘权,在立法中体现为删除权。结合司法实践,被遗忘权可以通过“删除权”和“解除索引权”两种路径实现(17)就美国立法来看,美国仍在讨论要不要建立被遗忘权制度,目前尚未在全美范围内承认被遗忘权,仅《加利福尼亚州消费者隐私保护法案》和《弗吉尼亚州消费者数据保护法》确立了类似被遗忘权的制度。主要原因在于,美国宪法第一修正案禁止国会剥夺言论自由、新闻自由,这是反对在美国构建被遗忘权制度最重要的理由之一。。被遗忘权确立于欧盟2014年谷歌西班牙诉冈萨雷斯案中(18)Case C-131/12, Google Spain SL v. González.,我国则于2015年出现被遗忘权第一案(19)参见北京市第一中级人民法院(2015)一中民终字第 09558 号民事判决书。。上述案例已被广泛讨论,基本确定了行使被遗忘权的“删除”路径,即删除所有相关信息的“删除权”,在此不再赘述。然而,被遗忘权还有另一种行使路径即“断链”或者称为解除索引权。

欧盟法院在司法实践中确立了被遗忘权的“解除索引权”(Right to request delisting)权能。欧洲数据保护委员会(EDPB)认为“解除索引权”形成于冈萨雷斯案(20)See DEPB:Guidelines 5/2019 on the criteria of the Right to be Forgotten in the search engines cases under the GDPR(part 1), 17 February 2020.,然而该项权利在欧盟经历了长时间的讨论才最终被确认。2015年5月21日,法国数据保护监管机构国家信息技术与自由委员会(Commission nationale de l’informatique et des libertés,CNIL)要求谷歌将应删除信息的删除范围扩大至搜索引擎的全部域名。CNIL认为,谷歌通过地理封锁技术,阻止本地IP地址对应删除信息的访问并不足以履行被遗忘权,这些信息仍然能被非本地IP地址访问,从而使得被遗忘权落空。谷歌则辩称,消除自然人与信息之间的联系“并不一定要求不受地域限制地在所有的搜索引擎域名中删除相关链接。CNIL无视国际公法所认可的原则,过度侵犯了表达、信息、通信和新闻自由。”欧盟法院进行考量后支持了谷歌的辩护意见,认为仅删除该用户所在国相对应的搜索引擎版本中的应删除信息即可认为落实了被遗忘权(21)Case C-507/17, Google LLC, v. CNIL.。换言之,谷歌诉CNIL一案实际上承认了谷歌采取“断链”的行为符合被遗忘权的要求,确定了被遗忘权“断链”的新路径,即被遗忘权之“解除索引权”。

然而,面对生成式人工智能时代“数据汤”的新场景,现有“删除权”或“解除索引权”均不存在技术上实现的可能。对“删除”路径而言,生成式人工智能存在利用“隐性数据”的可能,已经被生成式人工智能“记住”的信息无法被删除。即便Open AI公司宣称采取了删除措施,也无法进行验证。对“断链”路径而言,生成式人工智能的价值在于不会像传统搜索引擎一样提供“链接”。即便对于Newbing等确实会提供链接的应用而言,由于即便“断链”本质上也没有删除信息,生成式人工智能强大的搜集能力仍然可以检索到相关信息,并重新组合成为不同的表现形式再次呈现给用户,通过“断链”的方式无法实现自然人的被遗忘权。由于“删除”与“断链”在新场景中失效,被遗忘权亟需理论和制度重构。

三、被遗忘权在生成式人工智能时代的再定位

被遗忘权是新兴权利,与隐私权、名誉权、个人信息自决权等权利紧密相关,在理论定位上尚存争议。首先,被遗忘权是程序性权利还是实体性权利?其次,被遗忘权如果是一项独立的权利,其理论依据是什么?关于前者,有学者认为,被遗忘权无法像个人信息权等绝对性实体权利一样提起侵权诉讼,固其是一种程序性请求权,而非实体权利(22)李立丰.本土化语境下的“被遗忘权”:个人信息权的程序性建构[J].武汉大学学报(哲学社会科学版),2019,72(3):145-155.。如果仅规定了程序上能够进行删除,则并非赋予被遗忘权实体权利地位(23)罗勇.论我国个人信息保护立法中“被遗忘权”制度的构建[J].暨南学报(哲学社会科学版),2018,40(12):69-80.。反对者则认为,按现有国内外的立法范式,被遗忘权存在实体法、程序法、信息法三种划分方式(24)张建文.俄罗斯被遗忘权立法的意图、架构与特点[J].求是学刊,2016,43(5):102-110.,我国已经形成了“以宪法为基础、以实体法为依据、以程序法为保障、以规章及条例为补充”被遗忘权体系(25)刘学涛,李月.大数据时代被遗忘权本土化的考量——兼以与个人信息删除权的比较为视角[J].科技与法律,2020,(2):78-88.。以上可见,被遗忘权是一种程序性权利还是实体权利尚存争议。

关于后者,被遗忘权的理论基础在于个人信息自决,但学界尚未就此形成共识。反对的观点认为,被遗忘权的执行主体是搜索引擎公司等数据处理者,是否删除信息完全由数据处理者决定,这种情况下,追求信息自决的权利是一种幻象(26)刘泽刚.过度互联时代被遗忘权保护与自由的代价[J].当代法学,2019,33(1):91-100.。换言之,被遗忘权在技术上无法实现。还有学者认为,我国对于被遗忘权的法律规定、立法建议以及司法判决未将被遗忘权作为天然权利赋予个人,行使被遗忘权要满足“违反法律、行政法规的规定”等前置条件,被遗忘权的权利基础不是个人信息权,而是规制信息流通(27)丁晓东.被遗忘权的基本原理与场景化界定[J].清华法学,2018,12(6):94-107.。这种观点否定了被遗忘权是一项独立权利。此外,以隐私权理论、个人身份建构理论等作为被遗忘权的理论基础也得到相当多的学者支持。由此可见,被遗忘权是否为一项独立权利在理论界仍有分歧。

被遗忘权应当作为一项独立权利来建构。首先,在Web2.0时代,既有判决认定删除、断链作为被遗忘权的技术实现方式,实现被遗忘权存在现实可能。在互联网时代追求信息自决的权利不仅不是一种幻象,还是人类自我管理的能力体现。人工智能发展会导致人的主体性缺失,技术物化会对人的能力“殖民化”,主体信息面临去隐私化抑或透明化。作为应对,必须坚持工具理性与价值理性的统一,确保科技向善(28)张海涛,周桃顺.马克思主义异化论视域下人工智能的“人文困境”与反思[J].浙江理工大学学报(社会科学版),2023,50(1):96-102.。其次,提出将被遗忘权建立在规制信息流通基础之上的构想,试图在信息的合理流通与人们的合理预期之间找到制度平衡,缺乏理论支撑,将造成相关制度成为无源之水、无本之木,在操作层面也缺乏统一的执行标准。最后,被遗忘权已经写进我国《民法典》《个人信息保护法》的实体法中,而非规定在诉讼程序法中。为此,被遗忘权应当作为独立的实体权利来讨论。

低地竹占竹林总面积70%，分布于本香古勒-古木兹、奥罗莫、阿姆哈拉等州海拔540～1 750 m、年降雨量1 500 mm、年均温23 ℃的地区，是一种非常耐旱的竹种。旱季时叶子全部枯黄，雨季时重新萌发新叶。秆高6～10 m，直径4～8 cm，壁厚或实心，节长20 cm。主要用作房屋、篱笆、家具和薪材，鲜叶喂驴、羊、牛等家畜。为竹炭和竹浆生产的优质原料。

被遗忘权的理论基础值得进一步讨论。通过对隐私权、名誉权的体系化考察发现,被遗忘权实际上突破了隐私权和名誉权的概念范畴,其价值功能和立法目的在于在私密信息以及过时负面信息之外,规制已经进入公共领域的个人过时信息。在生成式人工智能时代,隐私权、名誉权、被遗忘权分别针对私密信息、过时负面信息、过时信息三类不同的信息。三种权利基于各自不同的法学理论各自成立、各自独立、各有分工,从三个不同角度维护人类尊严,丰富人格权权利体系。

(一)隐私权理论与被遗忘权

大数据时代,个人隐私保护和新技术运用与商业便利之间的冲突更为激烈,隐私权理论一度成为被遗忘权的理论基础。塞缪尔·沃伦(Samuel Warren)和路易斯·布兰代斯(Louis Brandeis)是最早研究信息隐私的学者,他们认为个人享受新技术和商业便利等利益的渴望,与个人隐私免受窥探的本能之间存在着明显的紧张关系(29)See Samuel Warren &Louis Brandeis, The Right to Privacy, 4 Harv. L. Rev. 193 (1890).。隐私权理论认为,被遗忘权是隐私权的延伸(30)彭支援.被遗忘权初探[J].中北大学学报(社会科学版),2014,30(1):36-40.。但该权利已经不再保护传统意义上的隐私,而是随着立法与实践的变革更多指向个人信息控制(31)刘文杰.被遗忘权:传统元素、新语境与利益衡量[J].法学研究,2018,40(2):24-41.。

通过对欧盟被遗忘权的制度起源进行考察发现,被遗忘权实际上扩大了传统隐私权的范畴,令隐私权可针对已公开的过时信息进行保护。不少学者认为被遗忘权的前身——删除权最早出现在1995年欧盟《个人数据保护指令》(简称《95指令》)中。但实际上,早在1981年欧盟《关于在自动处理个人数据方面保护个人的公约》(简称《108号公约》)中便出现了删除权的概念。《95指令》明确其保护个人权利和自由的原则是对《108号公约》中相关原则的放大,并同样规定了删除权,强调进行个人数据保护(32)See Directive 95/46/EC on the protection of individuals with Regard to the Processing of Personal Data and on the Free Movement of Such Data.。在《95指令》的基础上,2012年《通用数据保护条例(草案)》发布,延续了删除权的规定,并提出了被遗忘权的概念。2015年,欧盟委员会对被遗忘权进行了进一步解释,即“当个体不再希望其数据被处理,且没有合理理由继续保留数据时,数据应当被删除。该权利在于保护个人隐私,而不是为了消除过去的事件或限制新闻自由。”(33)See European Commission:Questions and Answers—Data protection reform, https://ec.europa.eu/commission/presscorner/detail/en/MEMO_15_6385, last visited on April 16, 2023.2016年GDPR正式发布,其内容并无原则性的更改。从立法路径上看,从《108号公约》中删除权的出现,到GDPR中被遗忘权的正式确立,其原则一脉相承,被遗忘权实质上扩张了删除权对隐私的保护,不仅可以针对自然人自主发布的信息,还可针对转发、他人自认自主发布的信息进行删除。

然而,作为一种传统的人格权,隐私权所固有的法律属性和概念内涵会限制了其对过时的公开信息的规制能力,隐私权理论因此不能成为被遗忘权的理论基础,隐私权与被遗忘权应分立为两项独立的平行权利。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。个人不愿意公开披露且不涉及公共利益的都可以成为个人隐私,在上述范围他人“访问”自身时,个体具有衡量和控制权力(34)See Salomé Viljoen, A Relational Theory of Data Governance, 131 Yale L.J. 573, 587 (2021)。前生成式人工智能时代,这种保护个人“安宁空间”的权利与被遗忘权的权利设计之间并不矛盾。在实践中,用户可以采取删除被收集的数据、更改用户画像等措施实现“抵御算法规训”,这是先前保护个人生活安宁权利的隐私权之扩张(35)姜野.算法的规训与规训的算法:人工智能时代算法的法律规制[J].河北法学,2018,36(12):142-153.。然而,在生成式人工智能时代,以隐私权为权利基础的被遗忘权已经暴露了其设计缺陷,即对匿名化信息所导致的个人信息权利侵害无能为力。“数据汤”的存在使生成式人工智能应用可通过匿名化的方式储存个人信息,生成式人工智能具有“复现”的能力,通过对“隐性数据”的挖掘可生成侵犯个人信息权利的内容,表现为不同匿名化的“隐性数据”可相互勾勒出清晰的个人信息,匿名化能保护个人隐私的神话已然被打破(36)胡玲,马忠法.论我国企业数据合规体系的构建及其法律障碍[J].科技与法律(中英文),2023,14(2):42-51.。然而,根据我国《个人信息保护法》第4条第1款的规定,匿名化的信息不属于个人信息,因此无法以隐私法主张权利。值得注意的是,我国《民法典》第1034条第3款已经确立了私密信息应优先适用隐私权保护的适用规则,实质上已暗含被遗忘权与隐私权分立的立法思路,也就是说,如果个人信息达到私密信息的程度就应当考虑用隐私权进行保护,对于未达到私密程度的过时信息应适用被遗忘权进行保护。

(二)社会身份构建理论与被遗忘权

被遗忘权的另外一个理论来源是社会身份建构理论。正如《洛杉矶时报》专栏记者尼古拉斯·戈德堡(Nicolas Goldberg)所言,在非互联网时代,与个人有关的信息会出现在报纸上,但不久之后这些信息的载体——报纸就会被用于包裹鱼或鸟笼,这些信息只能以微缩胶卷或胶片的形式在档案馆中找到,但互联网时代的信息永远都不会消失(37)See Nicholas Goldberg, Some Newspapers Are Deleting Old Crime Stories to Give People Fresh Starts. Is That Wise?, https://www.latimes.com/opinion/story/2021-02-07/newspapers-rewrite-histoy, last visited on April 16, 2023.。信息一经产生就会在网络上裂变式传播,最终形成对个人的社会评价,成为构建个人的社会身份特征的原始信息源。该情况下,自然人应当有重新构建自己社会身份的权利,遗忘能给所有人以“重启人生”的机会(38)See Aurelia Tamò& Damian George, Oblivion, Erasure and Forgetting in the Digital Age, 5 J. Intell. Prop. Info. Tech. Elec. Com. L.71, 72 (2014).。

“重启人生的机会”对犯罪嫌疑人和受害人及其家属尤为重要。对犯罪嫌疑人而言,即使被无罪释放或作出不起诉决定,过时负面信息的失控传播也将导致个体受到不公平的批判,对其社会身份造成负面影响,进一步影响就业等正常生活的展开。对过时负面信息的持续暴露造成受害者及其家属的二次伤害,但网络平台的运营者不仅不会主动删除这些内容,甚至会推动这些内容的传播。在美国,犯罪嫌疑人的个人影像一旦曝光将被各种网络平台爬取并持续展示(39)See Lisa Loving, New Movement Emerges to Beat Down Mugshot “Racket”Skanner News,https://www.theskanner.com/news/northwest/15003-new-movement-emerges-to-beat-down-mugshot-racket-2012-07-12, last visited on April 16, 2023.,这些信息处于失控传播状态。然而根据美国宪法第一修正案,相关网站享有受保护的言论自由,发布已经公开的信息不会改变已有社会评价,以至于付费删除上述信息已经成为一种惯例(40)See Jessica Ronay,Adults Post the Darndest Things:[Ctrl + Shift] Freedom of Speech to [Esc] Our Past,46 U. Tol. L. Rev.73 (2014).。负面信息的失控传播导致自然人被不公平地对待,例如美国平等就业委员会要求雇主不得因逮捕记录解雇求职者,于是雇主在申请阶段便会拒绝有逮捕记录者的求职。尽管有一些平台,例如谷歌意图在其搜索结果中删除复仇式色情图片(41)See Amit Singhal,“Revenge Porn”and Search, Google Public Policy Blog,https://publicpolicy.googleblog.com/2015/, last visited on April 16, 2023.,但由于信息的传播失控特性,网络空间中的类似信息无法被全部删除。对此,美国进行了一系列的针对复仇式色情的立法,以保障受害人的隐私利益,并认为受害者的隐私利益高于美国宪法第一修正案所规定的言论自由权利(42)See Danielle Citron, Debunking the First Amendment Myths Surrounding Revenge Porn Laws, https://www.forbes.com/sites/daniellecitron/2014/04/18/debunking-the-first-amendment-myths-surrounding-revenge-porn-laws/, last visited on April 16, 2023.,还有些州立法要求删除被无罪释放人员的相关照片(43)See Megan Deitz, A Crime Remembered, The Possible Impact of the “Right to Be Forgotten” in the United States for Crime Victims, Criminal Defendants, and the Convicted Note, 9 Ala. C.R. &C.L.L. Rev. 197 (2018).。

上述案例说明自然人都应具有“重新开始”的权利,并由此形成了被遗忘权的权利基础来源于个人对其身份构建之观点(44)杨立新,韩煦.被遗忘权的中国本土化及法律适用[J].法律适用,2015,(2):24-34.,然而针对侵犯个人社会身份建构权利的行为,应当采取名誉权的规范方式,而不能纳入被遗忘权的范畴。我国最高法院《〈关于审理名誉权案件若干问题的解答〉的理解与适用》认为,“名誉是人们对一个公民或法人的品德、才干及其他素质的综合的社会评价。这种社会评价是会随着时间和这个人的行为发生变化的。一个人15岁时和35岁时的社会评价可能很不一样。如果有人因无关社会公共利益的原因擅自公布其15岁时的不名誉的事,使人们对这个人的社会评价发生扭曲,无疑是侵害了他人的名誉权。”该观点与当下在先信息泛滥、个人信息无序流通影响社会身份构建的情形高度耦合,所谓“不恰当的、过时的、继续保留会导致其社会评价降低的信息”,本质上是对名誉权而非信息权的侵犯,不在被遗忘权的规制范围内。

同时,以被遗忘权规制侵犯社会身份构建权利的行为既不能充分保障自然人的社会身份构建权益,也会与自然人的名誉权产生法律竞合。谷歌诉CNIL案宣判后不久,在伊娃-格拉维什尼格-皮斯切克诉Facebook爱尔兰分公司一案中,欧盟法院却给出了相左的裁定。该案原告伊娃认为,被告Facebook的用户在被告的平台发布具有诋毁性质的文章侵犯了原告的权益,遂要求被告删除该用户的文章链接。奥地利法院认为该文章具有诋毁性质,支持了原告的诉请并要求欧盟法院对该文章的删除范围作出说明,欧盟法院认为该文章应当在全球范围内进行删除(45)Judgment of 3 October 2019, Glawischnig-Piesczek (C-18/18) EU:C:2019:821.。本案的判决结果似乎与谷歌诉CNIL案“断链”路径存在同案不同判,然而事实上,两案存在较大差异。其最大不同是奥地利法院认定了涉案信息内容具有恶意,并根据《欧盟电子商务指令》而非GDPR进行裁决。欧盟的两则司法实践说明,以诽谤、诋毁、捏造等作为主要内容的过时负面信息不应在被遗忘权的规制范围内。如果采用被遗忘权对该案进行判决,那么诋毁当事人社会评价的信息只能在当事人所在国家通过“删除”或“断链”的方式进行遗忘,这种在所在国删除的遗忘程度明显不足以对当事人社会评价进行充分救济,而采取名誉权进行规制,则可在全球范围内进行相关信息的遗忘,充分保护自然人的社会身份。总之,在已经有名誉权救济路径的情况下,将过时负面信息在互联网上的涤除纳入被遗忘权的范畴,会产生名誉权与被遗忘权的重叠。

另外,从维护权利所支持的成本角度,采取名誉权范式会存在保护力度不足问题。如果采取名誉权的保护范围,需要评估提请删除的过时负面信息是否对自然人当下的社会评价造成负面影响。这势必对权利人提出了较高的举证要求,从而产生保护力度不足的问题。事实上,在人工智能时代,被遗忘权对存在不堪往事、期望彻底删除负面信息的人影响更大,相较于传播媒体的力量,个人更需要被遗忘权来进行权益斗争。

(三)基于个人信息自决理论的被遗忘权

过时信息仅具有单纯的信息属性,并非一律具有影响隐私、身份建构的能力,隐私权理论和社会身份建构理论均不能作为人类控制过时信息的理论基础,以个人信息自决理论作为被遗忘权的理论基础具有可行性。事实上,隐私权保护解决的是非公开信息被公开时产生的人格权侵权问题,社会身份构建权利则更多指向体现名誉权的社会评价。而被遗忘权解决的是已经自主公开的信息需要恢复至未公开状态问题(46)罗勇.论我国个人信息保护立法中“被遗忘权”制度的构建[J].暨南学报(哲学社会科学版),2018,40(12):69-80.。换言之,隐私权和名誉权无法覆盖单纯的过时信息。正如王利明教授所言,被遗忘权是民事权益、人格权益,在行使权利过程中,其目的在于维护信息完整、准确和个人信息自决(47)王利明.论个人信息删除权[J].东方法学,2022,(1):38-52.。在该视角下,被遗忘权和个人信息权产生了实质性联系,成为了个人信息自决的程序性救济手段(48)李立丰.本土化语境下的“被遗忘权”:个人信息权的程序性建构[J].武汉大学学报(哲学社会科学版),2019,72(3):145-155.。也就是说,个人信息权和被遗忘权形成了“权利—权能”的架构(49)叶名怡.论个人信息权的基本范畴[J].清华法学,2018,12(5):143-158.,二者具有强相关性。

被遗忘权的权利基础脱离隐私理论和社会身份建构理论转至个人信息自决权理论,具有独立的社会价值。在当今信息泛滥时代,公众对隐私与名誉的认知正被模糊,隐私与名誉的概念可能正在缩小,例如在公众平台分享日常生活逐渐被认为是正常现象,而非对个人隐私的过多暴露。如果以隐私权或名誉权作为被遗忘权的权利基础,这两种传统权利的固有属性和构成要件会限制被遗忘权的行使,无法通过扩张这两种传统权利来实现过时信息的删除。突破既有法律原则对这两种传统权利进行扩展解释,将会导致法律适用的不稳定性。德国学者施泰姆勒(Steinmuller)提出的信息自决学说强调对个人信息的绝对控制(50)See Steinmuller, Lutterbeck, Mallmann, Harbort, Hob, Schneider, Grundfragen des Datenschutzes, GutachtenimAuftrag des Bundesministeri-ums des Inneren, 1972,BT-Drucksache VI 3826, 1. Aufl,S. 87.,包括信息公开前的控制和信息公开后的控制,这种制度设计才可以满足现代信息社会的需求(51)虽社会发展,传统个人信息保护的观点发生了变化,此外,制度设计本身也有问题。谢远扬.《民法典人格权编(草案)》中“个人信息自决”的规范建构及其反思[J].现代法学,2019,41(6):133-148.。现有立法实践已经基于个人信息自决理论构建被遗忘权。2010年,GDPR仍在立法过程中,时任欧盟委员会副主席的维维亚娜·雷丁强调,引入被遗忘权的原因在于个人需要对其数据进行控制,以应对数据保护实践中的不清晰、不透明、不合规问题(52)See Viviane Reding, Privacy matters—Why the EU needs new personal data protection rules.The European Data Protection and Privacy Conference,Brussels, 30 November 2010.。法国2016年10月发布的《数字共和国法》已经凸显了个人信息自决权的特殊地位,《数字共和国法》直接规定了自然人的信息自决权,并在后列出自然人享有包括被遗忘权在内的各项自然人信息权利,甚至规定了自然人的死后数据控制权利。CNIL在对该法案的评论中强调,这一规定受到德国宪法规定的信息自决权启发。此外,我国《个人信息保护法》第47条基于“知情同意”原则,规定了行使被遗忘权的四种情形。无论是处理目的已实现、无法实现或者为实现处理目的不再必要,还是个人信息处理者停止提供产品或者服务,或者保存期限已届满。抑或个人撤回同意及个人信息处理者违反法律、行政法规或者违反约定处理个人信息,均体现着自然人对信息的控制权,而非对隐私、名誉的期望。上述立法实践说明,被遗忘权的权利基础来源于个人信息自决理论更能符合现行立法制度的设计。

综上,通过对被遗忘权、名誉权、隐私权的体系化考察发现,被遗忘权不应是一种相对权而是以个人信息自决理论为基础的独立权利和绝对权。当然,以个人信息自决作为被遗忘权的权利基础可能会导致漫无边际的权利要求,德国联邦宪法法院也明确拒绝绝对的个人信息自决权(53)杨芳.个人信息自决权理论及其检讨——兼论个人信息保护法之保护客体[J].比较法研究,2015,(6):22-33.。被遗忘权也应当受到一些限制。

四、构建生成式人工智能时代的被遗忘权

尽管被遗忘权是绝对权,但被遗忘权的权利行使并非没有边界。信息与数据存在内容与载体的关系,数据的多属性限制了被遗忘权边界,试图建立统一、简单的被遗忘权对所有数据进行规制只会致使自然人不同权益的过强或过弱保护(54)商建刚.数据产品及服务权益认定的理论与制度综述研究[C]//上海市法学会.《上海法学研究》集刊2022年第20卷——数据合规流通论坛文集.。故此,在行使被遗忘权的过程中,通常需要兼顾公共利益属性与遗忘成本和可能。为此,需解决被遗忘权在生成式人工智能时代下的适用困境。

(一)公共利益对被遗忘权的限制

保护公共利益通常作为限制被遗忘权的最主要理由之一,其中最核心的问题是保护言论自由,面对言论自由和被遗忘权的公共利益衡量问题,美国与欧盟的观点并不统一。欧盟认为,在某些情况下,被遗忘权有高于言论自由的价值(55)薛丽.GDPR生效背景下我国被遗忘权确立研究[J].法学论坛,2019,34(2):100-109.。被遗忘权被认为是一种基本人权,在谷歌西班牙诉冈萨雷斯案中,法院特别指出,欧盟公民的被遗忘权不仅凌驾于搜索引擎运营商的经济利益之上,而且还凌驾于公众知情权的公共利益之上,如果数据处理者拒绝删除该信息,则需证明该信息对保护公共卫生、历史、科学等方面的公共利益或为履行保留数据的法律义务是必要的(56)Case C-131/12, Google Spain SL v. González.。美国视角下,言论自由具有高于被遗忘权的价值属性。被遗忘权早期来自于隐私权,对隐私权的限制逻辑同样适用于被遗忘权。尽管1965年的格里斯沃尔德诉康涅狄格州案认为美国宪法第十四修正案的正当程序条款中保障了基本的隐私权,据此能由宪法推理出公民具有隐私权(57)Griswold v. Connecticut, 381 U.S. 479, 485 (1965).,但隐私权并没有被直接规定在宪法中,而第一修正案却明确了新闻和言论自由权,二者的法律地位有差别。在考克斯广播公司诉科恩案中,美国最高法院裁定,在发布有关犯罪的公开信息时,言论自由和新闻自由超过了隐私权(58)Cox Broad. Corp. v. Cohn, 420 U.S. 469, 496 (1975).。1989年,美国最高法院就确认,一般情况下,记者不会因发布真实信息而受到处罚。由该结论可推导出被遗忘权违反美国宪法,因为政府永远无法强迫网站删除内容(59)Florida Star v. B.J.F., 491 U.S. 524 (1989).。由此可见,在隐私权理论基础上的被遗忘权不足以对抗言论自由以保护个人信息(60)刘洪华.被遗忘权立法的美国模式及其立法启示——以加州被遗忘权立法为研究背景[J].时代法学,2022,20(1):93-105.。

尽管欧盟与美国立法思路上存在差异,但基于公众利益考量均对被遗忘权作出了限制,这为生成式人工智能时代的被遗忘权建构提供了基本遵循,即新时代的被遗忘权建构也不能突破言论自由的公共利益限制,需要在保护个人信息自决权和公共利益之间取得平衡。

(二)遗忘成本与遗忘可能性的限制

被遗忘权在实施过程中需要结合遗忘成本、遗忘可能等进行综合判断。实践中,遗忘成本较高限制了被遗忘权的适用。2014年冈萨雷斯案裁决生效,但欧盟法院并未就如何执行被遗忘权进行说明,谷歌公司承担了大部分的履行责任(61)See Letter from Peter Fleischer, Global Privacy Counsel, to Isabelle Falque-Pierrotin, Chair, Article 29 Working Party, at 4-5 (July 31, 2014).。为执行被遗忘权,谷歌通过在线表格于欧盟范围内收集意图主张被遗忘权的用户之申请,并对申请人的诉求逐一评估。为充分进行评估,谷歌的首席执行官兼法务担任召集人,邀请八位独立专家组成顾问委员会并按四个步骤展开评估(62)谷歌:被遗忘权概述,https://support.google.com/legal/answer/10769224,最后访问日期2023年5月10日。。在评估过程中,谷歌会判断该信息是否包含过时或者有关个人的不准确信息,并对该信息是否涉及金融诈骗、渎职、刑事案件等公共利益进行考量(63)谷歌:个人数据移除要求表单,https://reportcontent.google.com/forms/the RTBF,最后访问日期2023年5月10日。。一旦谷歌形成决议,就会通过邮件通知申请人,不同意删除的会给出反对理由。相应的,申请人可以要求当地数据保护机构对谷歌的决议进行审查。由此可见,该过程十分繁琐,具有较高地评估成本,以至于该制度在实践中表现不佳。微软也采取了相同模式,2014年5月至2022年12月期间,微软收到的欧盟与俄罗斯地区被遗忘权申请中,仅有占申请删除总量的47%不被删除(64)See Microsoft:Right to be Forgotten Request Reports, https://www.microsoft.com/en-us/corporate-responsibility/right-to-be-forgotten-removal-requests-report, last visited on April 30, 2023.。这表明一半以上的申请都不满足执行被遗忘权的条件,徒增遗忘成本。

在生成式人工智能时代,被遗忘权还面临数据可能无法遗忘的问题。数据专家Miguel Luengo Oroz(米格尔·卢恩戈·奥罗兹)认为,人工智能不会忘记所接受过的训练,如果需要完全消除生成式人工智能的记忆,只能对模型进行重新训练,出于成本考量,最好的方式是令人工智能模型在学习新信息时会忘记以前的信息,也即形成动态学习能力,令其能够在被允许使用的数据集中开展学习(65)See Forbes:We Forgot To Give Neural Networks The Ability To Forget. https://www.forbes.com/sites/ashoka/2023/01/25/we-forgot-to-give-neural-networks-the-ability-to-forget/?sh=77ca042e6853,last visited on April 16, 2023.。总之,被遗忘权的建构过程中需要考量如何有效控制遗忘成本并解决信息可能无法遗忘的问题。

(三)生成式人工智能时代被遗忘权的新权能:禁止生成权

生成式人工智能时代下,算法模型通过学习现有数据集,已成为“数据汤”,“删除”与“断链”无法满足被遗忘权要求。被遗忘权的适用过程中存在公共利益限制、成本过高、执行不可能等情况,不仅无法直接对其中的数据进行删除,也无法通过简单的断链进行权益实现,被遗忘权亟需被赋予新的内涵。

禁止生成权能通过对我国《个人信息保护法》第47条第2款的解释获得。该款规定,“法律、行政法规规定的保存期限未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。”何谓停止除存储和采取必要的安全保护措施之外的处理?笔者认为,在生成式人工智能时代,事实层面的遗忘已然不可能,应当增加被遗忘权的新方式——禁止生成权,以实现结果层面遗忘的效果。禁止生成权是指,在《个人信息保护法》第47条第1款规定的情形下,数据处理者不能直接或间接生成包含自然人过时信息的内容。该权利主要保护自然人对其过时信息通过隐性数据复现的控制权。该权利设计能满足自然人所期待的信息控制权,同时不会侵犯言论自由的公共利益,兼顾考量了遗忘成本与遗忘可能性。

禁止生成权已经体现在我国生成式人工智能的治理规范中。2023年4月11日互联网信息办公室关于《生成式人工智能服务管理办法(征求意见稿)》第4条(五)对生成式人工智能的生成内容进行了规定,即AIGC需要“尊重他人合法利益,防止伤害他人身心健康,损害肖像权、名誉权和个人隐私,侵犯知识产权”。此外,生成式人工智能时代下被遗忘权的行使应当采用“行政保护先置”的路径。从自然人行使被遗忘权的角度,如数据处理者未能维护自然人的被遗忘权,最终承担产品责任(66)商建刚.算法决策损害责任构成的要件分析[J].东方法学,2022,90(6):44-57.。在法律实施的制度设计方面,法国的个人数据保护制度值得借鉴。1978 年 1 月出台的《信息技术和自由法》确立了数据保护的专职机构——国家信息技术和自由委员会。国家信息技术和自由委员会属于独立的行政机构,该委员会肩负的几项主要职责包括:告知并协助公民行使权利、履行义务,对保护个人数据有关的法令文件进行规范,核查信息处理进程的合法性,并在发现违法行为时予以处罚,向政府提出能促使保护隐私和技术发展二者相适应的立法措施等。我国国家数据局已经成立,尚未明确其“个人数据守门人”的职能,可作为专门的行政机构保护个人数据权利,监督数据处理者维护自然人的被遗忘权,及时删除自然人的过时信息。被遗忘权的禁止生成权建构以及形成保护先置的行使路径,是生成式人工智能风险治理元规则的具体体现,符合伦理先行和协同共治元规则,具有积极的实践意义(67)商建刚.生成式人工智能风险治理元规则研究[J/OL].东方法学:1-14[2023-05-14].。

五、结论

在生成式人工智能时代,“用户提示—AI生成”的全新场景导致了“数据汤”的出现,现有被遗忘权无法满足自然人的信息控制需求。自欧盟确立被遗忘权以来,实践中被遗忘权由删除权衍生出了解除索引权,形成了“删除”和“断链”为核心的删除权及解除索引权。同时,被遗忘权的权利基础也由原来的隐私理论、社会身份构建理论,逐渐转向对个人信息进行控制,成为一种基于个人信息自决权的绝对权。在个人信息保护过程中,应基于隐私权理论、社会身份构建理论、个人信息自决理论区别保护。构成隐私的信息应当优先适用隐私权进行保护;不构成隐私信息但能影响社会身份建构的过时负面信息适用名誉权进行救济;不满足上述两种情况的过时信息可基于个人信息自决权,通过被遗忘权维护自然人信息权益。沿着该路径分析,生成式人工智能时代下被遗忘权应当进一步产生新的内涵,即禁止生成权。该权利可兼顾自然人的信息控制利益、公众利益以及遗忘成本和可能,是对我国《个人信息保护法》第47条第2款的明确。数据处理者应当负有禁止生成涉及自然人相关信息内容的义务,当数据处理者未主动履行时,自然人有权请求履行。为确保权利高效行使并节约司法资源,被遗忘权的执行应采取行政先置的模式,通过赋予国家数据局等行政主体执法权地位以监督法律实施。