许身健 | 人工智能监管中的数据治理层次论 | 推进有未来感的人工智能立法⑤

随着人工智能技术的迅猛发展，数据作为其核心驱动力的重要性愈发凸显。无论是机器学习模型的训练，还是智能系统的决策制定，都离不开大量、高质量数据的支持。然而，数据的收集、存储、处理和使用过程涉及众多法律、伦理及社会问题，这些问题的解决直接关系到人工智能技术的健康发展和应用前景。数据治理作为人工智能应用的基础和保障，其重要性不言而喻。

数据治理涵盖了数据从诞生到消亡的整个生命周期，包括数据的采集、存储、管理、分析、共享和销毁等各个环节。它不仅要求对数据进行有序、高效的管理，还强调数据的质量和安全性，以及数据的合规使用。在人工智能领域，数据治理更是关乎算法的准确性、模型的可靠性以及最终决策的公正性。没有良好的数据治理，人工智能技术就可能陷入数据混乱、质量低下、安全隐患重重的境地，甚至可能引发严重的法律、伦理和社会风险。

在人工智能监管过程中，数据治理应当被赋予重要地位，并作为底层逻辑体现在人工智能产品和服务中。对此，利益相关者应当在价值层面形成共识，共同建构完善的数据伦理体系；人工智能供应链中的参与者应当建立和完善内部的数据治理体系，推动数据治理技术和方法的创新与发展 ；立法者和政策制定者应当通过制定相关法律法规及政策等，明确数据的权属、使用范围、安全保护措施等关键问题，为人工智能领域的数据治理提供法律依据和指导原则。

对于数据采集、分析、加工等一系列信息技术而言，承载着个人情感、态度、价值观的个人信息乃至反映社区、城市居民工作动向、生活水平的民生发展的数据，都不过是计算机系统中一串“0”“1”交织的编码，并不具有任何道德意味，数据技术具有价值中立的工具属性。然而，为了使数据功能得以运用，使数据价值得到展现，在数据的收集、处理和使用过程中，却不可避免地涉及一系列道德与价值判断。人工智能时代的新问题不免让我们思虑：未来需要什么样的数据环境？应该期待什么样的数据流转？利用数据的标准和底线何在？这些问题恰恰都统一于良善的数据伦理体系之中，完善人工智能监管中的数据治理，首先应在价值层面建立与法律法规相匹配的数据伦理框架及体系，这是数据治理的基石。

对数据的获取与持有是对数据进行资源整合和加工的先决条件，也是进行人工智能技术创新的基础。为此，数字社会已经形成了在用户知情同意基础上的数据收集机制，但随着数据应用领域扩大、程度加深、场景多元，对用户信息的收集边界与幅度也不断扩张，个人的姓名、年龄、住址、职业、家庭等基础信息和消费习惯、性格喜好、生活方式等个性化信息都不断被纳入收集的范围。超级数字平台的崛起更是改变了知情同意的原始样态，其通过“不同意即拒绝服务”，让用户“心甘情愿”又源源不断地供给个人信息。“必要数据”语焉不详的法律界定和实务判断令数据收集的窗口增加、挖掘数据信息的机会增加。同时，这也意味着处于数据汪洋中的普通个人的隐私也存在被暴露的风险。《全球人工智能治理倡议》提出“以人为本”的理念，强调以增进人类共同福祉为目标，以保障社会安全、尊重人类权益为前提，确保人工智能始终朝着有利于人类文明进步的方向发展。具体到数据治理领域，数据伦理是以人为本位的伦理，人的权利与价值处于中心位置，这便要求在开展数据采集和利用活动时切实保护个人隐私。

数据治理环境中的信息不对称、权力不平等等问题导致人的自主性受到限制，人工智能开发中的数据处理活动应当坚守公平的知情同意原则。有别于传统产业发展中生产主体与消费主体间的单向联系，数据视阈下的供给与需求关系发生了双向乃至多向的变化。基于数据的易复制、易传播、价值不易损耗等特性，数据要素可以反复、自由、便捷地在不同市场主体之间发生交换与流转，原先的消费者将不仅仅是被动地提出需求、接受供给的主体。通过参与市场分配产生的个人信息、消费数据本身也成为数据资源的一部分，消费者同时也成为支持新的生产—消费活动的数据的持有人，从而成为持有原始数据，可以进行数据授权加工，分享数据收益的小型数据生产主体。这种单向关系的突破，意味着数据持有者、平台方要改变既往权利义务分配不对等的“要挟式”格式条款，不以简单的拒绝使用而造成用户个人客观上“被知情同意”的窘境。

同时，要规范利用数据匿名化等技术手段处理涉及原始信息主体的敏感数据，对非经脱敏处理的敏感数据限制进行流转与运用。除坚持数据采集时对个人隐私的保护之外，还应探索数据资源使用后对相关敏感数据的处置机制，个人隐私“被删除”与“被遗忘”的权利同样值得关注，对原始信息主体的个人隐私的保护应该覆盖数据的全流转环节与全生命周期。

数据的聚合为人工智能的技术飞跃提供了跳板，同时也可能引发人的主体性困境，数据治理应当始终坚持以人为本的价值观。随着人工智能技术的进一步发展与广泛应用，数据分析的能力得到进一步提升，主体基于持有的足够丰富的信息，将能够作出足够精确的行为预判。通过行为预判以及此种预判与分析的叠加，将不断定向构筑更加精确的“信息茧房”。社会对数据服务的期待越来越多，依赖数据的需求从简单而变得逐渐复杂，人的生存环境正发生数据化的演进。随着数据量级的膨胀与倍增，人对于数据或技术的信任与依赖也与日俱增，在复杂的情境下，甚至可能“迫使”人们必须完全依赖数据的预测和结论才能作出最终决定。数据与人的主体关系发生了异位，权力化的数据带来的对人的自由意志的垄断应当引起必要警惕。对此，要确定数据使用的伦理界限，对应该训练、培育、鼓励和体现原创性思想和独特的创造性领域，要避免对数据的过度依赖和“唯数据论”的判断。数据治理最终应归于人对数据的治理而非数据对人的调控，数据不应替代思考，数据也不应垄断创造。当出现对数据及技术的利用空间无度扩大并假以先进之名时，应当坚守人的主体性，人应该在人工智能时代保留自主思虑的园地。

此外，人工智能时代的“大数据杀熟”“算法歧视”等问题屡见不鲜，这要求人工智能监管中的数据治理亟待回归促进社会公平正义的价值目标。在“算法霸权”时代，向数据平台供应其赖以生存的数据要素的个体，反而受到这些庞大数据富集主体的调控与支配。从数据资本主义到平台资本主义，从个体信息资源的“剥削”到利用数据机会的“剥夺”，不公平的数据使用和收益机制正令传统的“数字鸿沟”以新的形态不断涌现。正如《关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称《数据二十条》）所提倡的那样，数据的使用应当体现“共同使用、共享收益”的精神，要促进数据使用的公平与透明。将增强数据流动活力与提升数据分享意愿统一起来，在注重体现按市场决定资源配置、按劳动贡献决定价值分配的规则设计外，还应特别关注数据所承托的公共利益与社会公众对其加以访问、使用的合理期待，真正做到使数字经济的发展红利为全体人民共享，进而实现促进社会公平正义的目标。

在人工智能时代，数据治理技术层次的不断提升已成为推动数据技术负责任创新的关键因素。数据治理作为一种综合性的治理框架，涉及数据的质量控制、安全性、隐私保护以及合规性等方面，其核心宗旨在于确保数据的有效管理与利用，同时维护数据主体的权益和公众利益。从理论层面来看，数据治理技术的层次化发展，体现了对数据生命周期全过程的深入理解和精准把控。这包括数据采集、存储、处理、分析、共享和销毁等各环节的技术治理措施，旨在通过标准化和规范化的方法，提升数据的透明度和可追溯性，从而降低数据使用过程中的风险。负责任的创新是数据治理技术发展的重要导向。这种创新不仅是技术上的进步，更体现着对社会价值、伦理原则和法律法规的深刻考量。在人工智能发展过程中，应当积极推动数据技术创新，坚持以人为本的原则，充分考虑数据治理对个人隐私、数据安全和社会公正的影响，确保技术进步不以牺牲基本人权和公共利益为代价。

首先，数据的准确性和完整性是数据技术负责任创新的基础。在技术层面，人工智能供应链中的参与者应当建立健全的数据质量管理体系，包括数据清洗、验证和维护等举措。该体系需覆盖数据生命周期的各个阶段，包括数据的生成、存储、使用、维护以及销毁等。其中，数据清洗、验证和维护是数据质量管理体系的关键组成部分。数据清洗，涉及对数据进行审查、纠正错误和消除冗余信息的过程，目的是提升数据的一致性和可靠性。数据验证则是确认数据是否符合既定的质量标准，并保障数据在各个处理阶段的准确性。数据维护则关乎持续监控数据的健康状况，确保数据的时效性和相关性，防止数据退化和过时。通过建立严格的数据质量管理体系，我们能够为数据治理提供坚实的基础，推动数据价值的最大化，从而促进人工智能技术的可持续健康发展。

其次，数据的安全性是数据技术负责任创新的重要内容。《数据安全法》《网络安全法》《网络数据安全管理条例》等相关法律法规对数据安全保障与安全机制建设作出了明确规定。人工智能供应链中的参与者应当树立必要的数据安全意识，以机密性（confidentiality）、完整性（integrity）、 可用性（availability）原则做好数据安全保障，保证敏感数据只能被授权人员访问，且数据不被篡改，能够被及时可靠地访问并留有安全冗余。在数据访问控制技术层面，应加强认证与授权管理，配置得当的访问控制列表与策略，做好用户管理，并建立定期的记录审查。在数据保护技术上，注重加密、脱敏、掩码、备份等技术储备，提升抵御网络攻击的能力。在恶意软件防护上，通过定期更新和补丁管理，定期扫描和清理，做好防病毒与反恶意软件的检查。同时，应当及时跟进适应人工智能时代的新技术应用的发展态势，建立数据安全信息特征库，优化算法等技术模型，建立数据安全风险的预警预防和识别监测机制。

最后，隐私保护是数据技术负责任创新的重要方向。在人工智能开发过程中，隐私保护已然成为最受瞩目的议题之一，其重要性在政产学研各界均得到普遍认可。在技术层面，人工智能供应链中的参与者应当积极开发隐私增强保护技术。例如，匿名化技术通过移除或替换个人识别信息，如姓名、地址、身份证号等，使得数据在保留其分析价值的同时，个人身份无法被直接识别。差分隐私则是一种更为先进的隐私增强保护技术，它通过在数据发布中添加随机噪声，保证即使在发布聚合信息的情况下，单个数据项的泄露风险也被最小化。这些技术的应用，使得研发主体可以在不暴露个人信息的前提下对数据进行有效的分析和研究。随着人工智能技术的不断进步，新兴的隐私计算技术亦为数据隐私保护提供了新的途径。隐私计算通常包括同态加密、安全多方计算（SMPC）、零知识证明等方法，它们允许在不暴露原始数据内容的条件下进行数据处理和分析。例如，同态加密技术允许对加密后的数据进行运算，而结果仍然保持加密状态，从而可在不解密的情况下利用数据进行计算。

数据具有的非损耗性、流动性、开放性、易复制传播性、非排他性、非竞争性等特点决定了数据作为生产要素之“新”，也相应决定了与之相配套的“新”治理规则和治理框架的要求。传统的治理规则与框架已经不能很好适应数据引领下的发展实践，面对不够理想的驱动技术的创新实践，不够公正的数字化发展的资源利益分配，以及不够规范的数据资源的权力管控等问题，面向人工智能时代的数据治理的整体性框架和规范亟待建立。人工智能监管中的数据治理要落到实处，必须形成规则治理，做到有章可循。数据的流转运行环环相扣，对其开展综合治理亦是节点繁多，面对这一庞大的系统工程，需要有全面的数据治理法律支撑。在人工智能立法讨论如火如荼的时代背景下，作为人工智能综合治理的一个切面，要将数据治理纳入法治轨道，坚持法治引领治理，推进高质量的数据法治建设。

作为我国数据发展与治理领域的基础性政策文件，《数据二十条》具有重要指导意义。《数据二十条》指出应对数字资源持有权、数据加工使用权、数据产品经营权予以结构性分置。数据资源领域的“三权分置”与数据治理的法治逻辑具有一致性，数据法治的目的就是要建立明晰的数据产权制度、合理的数据流通制度以及公正的数据权益分配制度。遍观既往立法实践，对这三个领域并没有专门且集中的法律条文与规定，而是散见于不同的部门法中。如在数据资源确权领域，仅有《著作权法》《专利法》等知识产权领域的法律规范能够为确权提供大致的、较为模糊的参照；在数据加工、流通领域，法律规定多集中于电子商务这一具象载体，如《反不正当竞争法》《电子商务法》的相关规定；在数据产品经营及收益分配领域，《反垄断法》《消费者权益保护法》等起到主要规范作用。另外，《网络安全法》《数据安全法》《个人信息保护法》等法律规范为数据安全、数据信息处理活动领域奠定了重要基础。但是，这批已有的涉及数据领域的立法准备更多关注的是数据在生产活动中的零星或个别环节，只是将数据活动置于相对静态的环境，而并未贯通数据动态流通的全阶段、全环节，使数据运行留有法律空白。加快完善覆盖数据经济活动全过程的综合性的法律规范体系，注重数据治理领域立法的全面与综合是数据法治的发展趋势。在比较法视野下，欧盟制定了《数据法》和《数据治理法》，二者均适用于个人数据和非个人数据，并以促进数据的共享和再利用为理念，以建立欧盟数据单一市场为目标，这可以为我国的综合性数据立法提供参考与借鉴。

在数据生产阶段，数据关系及数据利益关系交织、聚合，最为关键的便是在《数据二十条》所提出的“分类分级确权”的基础上制定合理确权的法律规范，以平衡利益、提高效率、化解冲突作为确权规范的基本原则；在数据流通环节，要注重数据交易秩序的维护，确保数据交易安全、便捷、可信，制定数据交易的相关法律规范；在数据收益环节，除了坚持体现按贡献度分配的市场原则外，还要特别注重社会公共利益的保护与原始数据主体的利益衡平，科学配置“共享收益”的机制与方式。并且，要通过相关制度规范，切实保证与促进数据的可利用、可获得，让全体人民共享数字经济的发展红利。此外，还应该配套建立适应数字社会、数据治理的数字化的权利救济与争议解决机制，通过法律规范的指引作用，带动司法机关主动以数据赋能的方式，推进数字检务、智慧法院、司法大数据等建设，以数据新动能助力司法新能动，增强司法机关在人工智能时代产出优质司法公共产品的能力与水平。

同全面的数据治理法律配套的是有效的数据治理机制。在产业数字化与数字产业化的双向发展之中，多个市场主体的联动配合及行业上下游之间的共同发力成为常态。在数据流通及数据产业链的发展中，数据市场的交易者、参与者以及相应的监管部门之间具有密切的互动关系，并且因为数据流通的种种特点，使得置身于数据交易市场的各主体的身份还发生着交错与重叠。这便对建立跨行业、跨组织、跨领域、跨部门的协同治理机制提出了新要求。笔者在实践中观察发现，我国数据治理已经初步形成了政府主管部门、企事业单位、社会组织、个人生产与开发者通力合作，多元参与的治理格局。国家数据局自2023 年末成立以来，北京、上海、深圳等地均已积极探索跨部门协同的监管策略的落地与实施，协同配合的数据治理机制初步形成。

当然，在治理机制的探索上，各地仍存在诸多步调不一致、思想不统一的地方，如近年来各地数据交易中心的“野蛮”生长与实际投放使用的“零星”形成鲜明对比。在规则定向不清晰，政策指导不明确的时候进行的数据交易机构的重复、个别建设都在一定程度上为监管与规制的实效带来了不利影响。在提高数据要素市场化配置能力与效率，促推数据要素全国统一大市场建设的征途上，共享有活力、交易有秩序、监管有保障的有效有为的数据治理机制建设任重道远。

人工智能监管中的数据治理层次丰富多样，每个层次都有其独特的角色和实现路径。数据治理不仅是一个技术问题，它涉及社会、法律和伦理等多个维度，只有通过全面、系统的数据治理体系建设和实施，才能确保人工智能技术的合法合规运行和持续健康发展。在当前和未来的人工智能发展中，数据治理将面临更多的挑战和机遇。因此，我们需要不断加强对数据治理的理论研究和实践探索，为人工智能技术的未来发展提供更加坚实的基础和保障。

在理论研究方面，数据治理的模型和工具是研究的重点。一是要构建科学的数据治理模型。数据治理模型可以帮助我们系统性地理解数据治理的各个环节和要素，包括数据收集、数据存储、数据处理、数据共享和数据安全等。通过构建数据治理模型，我们可以更好地理解各个环节之间的关系，并找到优化和改进的方案。二是要进一步开发完善数据治理的工具。数据治理工具可以帮助我们提高数据治理的效率。目前，已有一些成熟的数据治理工具，如数据质量管理工具、数据安全管理工具和数据生命周期管理工具等。但随着人工智能技术的发展，数据治理工具也需要不断更新，以应对新的需求和挑战。

在实践探索方面，我们需要通过具体的应用案例和项目，验证和优化数据治理的方法和技术。在实际的应用过程中，可能发现理论研究中未曾预料到的问题，要通过实践探索找到解决这些问题的方法。一方面，可以开展跨行业的数据治理合作项目。不同的行业在数据治理方面有不同的需求和挑战，通过跨行业合作，我们可以共享数据治理的经验和资源，提高数据治理的整体水平。另一方面，可以推动数据治理的标准化建设。标准化是提高数据治理效率和效果的重要手段。通过制定和推广数据治理的标准，我们可以规范数据治理的过程和方法，提高数据治理的透明度和可操作性。

未来，我们还需要进一步加强数据治理的国际交流与合作，学习和借鉴国际上优秀的经验和做法，不断提升我国数据治理的整体水平，为我国人工智能技术的健康发展注入新的动力。