生成式人工智能背景下个人信息的刑法分类研究

李 冲

（山东大学，山东 青岛 266237）

以ChatGPT（Chat Generative Pretrained Transformer）为代表的生成式人工智能的发展是科技领域具有里程碑意义的事件。生成式人工智能对训练样本有较强的依赖性，数据的数量和质量决定了生成式人工智能输出的内容。但目前生成式人工智能在挖掘和使用数据的过程中并不能辨析数据的权利状态与隐私风险，被利用的数据中存在大量受《个人信息保护法》保护的客体。如何实现个人信息保护和流通的平衡是生成式人工智能进一步发展需要解决的问题。2022 年12 月，中共中央、国务院印发《关于构建数据基础制度更好发挥数据要素作用的意见》，提出将数据分类作为化解数据风险的基础手段，为个人信息的刑事治理提供了重要指引。事实上，早在2017 年最高人民法院和最高人民检察院就联合印发了《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（下文简称《个人信息刑事案件司法解释》），其中第五条便实质上采取了数据分类的手段，将个人信息分为“敏感个人信息”和“一般个人信息”，并规定了不同的入罪情节，但具体的分类标准未予明确，需进一步研究。随着《民法典》《数据安全法》《个人信息保护法》相继出台，个人信息的权利种类得到了极大的丰富，但前置法中的权利种类能否直接作为刑法中个人信息分类的标准仍然有待思考。在目前理论与实务严重缺乏共识的情况下，亟需对个人信息的刑法分类问题进行系统梳理，给出妥当且易于把握的分类标准。

一、基于权利的分类方法的理论及不足

（一）基于权利的分类方法的理论展开

在个人信息的分类保护中，民事法律领域形成了相对完整的分类体系，有着较为明确的分类标准。基于法秩序统一原理，刑法领域对个人信息的分类需注重“民刑”规范的衔接。目前，在与前置法衔接的理论研究中，大多数刑法学者的研究集中在法益层面，以法益是否受到侵犯从而对前置法中规定的个人信息违法类型进行选择性规制。所以，从现有理论研究的角度可以得出这样的结论：为了更好保护公民的人格权益，刑法需要以个人信息的法益为标准将不同的个人信息予以选择性保护。刑法学界对个人信息法益的具体解读有所不同，有学者认为个人信息制度保护的法益为个人信息权，将公民精神权利、财产利益、自由权利作为侵犯公民个人信息罪的保护法益①参见刘艳红：《侵犯公民个人信息罪法益：个人法益及新型权利之确证——以〈个人信息保护法（草案）〉为视角之分析》，载《中国刑事法杂志》2019 年第5 期，第32 页。。还有学者对个人信息权进行限缩解释，当侵犯个人信息的行为破坏了个人信息主体对个人信息控制和支配能力的时候，刑法应予以保护②参见张忆然：《大数据时代“个人信息”的权利变迁与刑法保护的教义学限缩——以“数据财产权”与“信息自决权”的二分为视角》，载《政治与法律》2020 年第6 期，第58 页。。尽管表述有所不同，但是上述学者的逻辑起点相同，即将个人信息视为私法上的人格权益，刑法尊重主体平等和意思自治的个人信息处理原则，当这一原则被违反，则视为法益受到了侵犯。上述分类方法可以称之为“基于权利的分类方法”。某种程度上，实践中我国刑事司法机关也采取上述逻辑。2018 年，最高人民检察院印发的《检察机关办理侵犯公民个人信息案件指引》（下文简称《侵犯公民个人信息案件指引》），第四条将《个人信息刑事案件司法解释》第五条的部分内容予以细化，认为行踪轨迹信息、通信内容、征信信息、财产信息属于第一等级的个人信息。上述分类方法可以称之为“基于权利的分类方法”，其基于预先设定好的权利，对个人信息实现分类。故“基于权利的分类方法”实质上是一种命令和控制的方法。

“基于权利的分类方法”的主要理论依据是隐私保护的理论。《世界人权宣言》第十二条规定：“任何人的私生活、家庭、住宅和通信不得任意干涉，他的荣誉和名誉不得加以攻击。人人有权享受法律保护，以免受这种干涉或攻击。”这一般被认为是隐私权保护及个人信息保护的重要法律渊源，明确了个人信息的权属③参见张新宝：《个人信息收集：告知同意原则适用的限制》，载《比较法研究》2019 年第6 期，第4 页。。承此思路，我国也主要从私法的角度明确对个人信息的法律定位，强调公民对个人信息的控制，并通过赋予公民一系列具体的权利以实现公民对于个人信息的控制。按照我国《民法典》的规定，个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，此规定突出了个人信息鲜明的个人权利要素。后续《个人信息保护法》第四章规定了个人在个人信息处理活动中的系列权利，如知情同意权、删除权等，立法者希望通过赋予公民上述权利以实现公民对个人信息的控制。

（二）基于权利的分类方法的不足

其一，“基于权利的分类方法”难以在生成式人工智能的背景下精确地划定公民的权利边界。“基于权利的分类方法”假定所有情况都是已知的，从一开始就制定权利的边界，并将权利的边界适用于后续的所有场景，对越过此边界且情节严重的行为予以打击，继而构建出“理想”的个人信息保护秩序。但社会情况并不总是已知的，特别是对于高度依赖于具体场景的个人信息尤为如此。判断个人信息权利是否受到了侵犯，前提是判断个人信息能否关联到公民相应的人格利益，若目标信息实现了“匿名化”，不具备“关联性”，那么其将不被视为个人信息。但相较于传统的数据分析工具，生成式人工智能除了对具备直接关联性的数据进行调取和反馈，还可以发现具备潜在关联性的数据并进行利用④参见王迁：《ChatGPT 生成的内容能受著作权法保护吗？》，载《探索与争鸣》2023 年第3 期，第17 页。。换言之，生成式人工智能可以运用独特的算法模式勾勒零散无序的非标识属性值与敏感属性值之间的特殊关联。在生成式人工智能的逻辑下，任何信息都能够通过与海量数据的比对实现与特定人和特定权益的关联。故“基于权利的分类方法”所依赖的“关联性”标准难以对权利的边界范围进行实质性划定。刑法本身的性质要求刑法学应当是极为精确的法律科学，以含糊的权利边界作为定罪量刑的依据无异于否定罪刑法定原则以及否定刑法存在的价值。

其二，“基于权利的分类方法”无法应对强大的生成式人工智能处理个人信息时的非对称权力结构。与分析式人工智能不同，生成式人工智能可以根据人类的反馈不断强化自身训练，从而实现对人类指令的理解和回应，并且生成式人工智能对于输入内容的理解和解释能力远远超过人类。在生成式人工智能的背景下，平台产生了一种更为中心化的权力。部分学者提出担忧，以ChatGPT 为代表的基础性平台的大量应用，可能打破互联网时代以来的去中心化趋势，最终沦为互联网寡头的集权工具⑤参见陈全真：《生成式人工智能与平台权力的再中心化》，载《东方法学》2023 年第3 期，第64 页。。一方面，“基于权利的分类方法”认为平台和个人均为平等的权利主体，故理想状态下能够通过赋权使权利人实现对个人信息的掌控，所以实现公民的个人信息权是个人信息刑事治理的核心。但由于公民的有限理性，在面对平台强大的非对称权力时，公民个人信息权容易出现被架空的困境。以公民的知情同意权为例，公民的有限理性在面对复杂的算法技术时可能导致其对个人信息进行错误的授权，最终公民的系列个人信息权利可能会沦为“纸面上的权利”。另一方面，“基于权利的分类方法”实质是将个人信息能否被使用和处理的判断权赋予个人，但这同时也是一种义务，即由个人来承担其个人信息被利用的风险判断的责任。数据平台是个人信息利用过程中的最大受益主体，但是个人信息利用的风险判断责任却被分配给了相对人，有违权责一致原则。相较于数据平台，个体难以准确预知个人信息被处理可能导致的风险。

其三，“基于权利的分类方法”无法满足生成式人工智能时代技术创新的需求。在“基于权利的分类方法”的逻辑下，如果个人信息的后续利用违背个人信息主体一开始授权的目的和用途，且没有取得二次授权，此时便认为权利受到侵犯，严重者将成立刑事犯罪。但与过往的个人信息利用方式不同，生成式人工智能对于个人信息的利用并非单次利用，而是几十次、上百次甚至更多次的反复利用。特别是对于以Open AI 为代表的生成式人工智能公司而言，个人信息的价值只有在被充分反复利用后才能实现，如果个人信息首次授权利用的场景尚可能是明晰可知的，但后续的利用场景大概率是难以预知的。ChatGPT 数据库中数以亿万计的个人信息全部实现二次授权并不现实，况且ChatGPT 针对某一特定个人信息究竟需要利用多少次、得到多少次授权，这可能连ChatGPT 本身也不清楚。正如ChatGPT 所承认的那样，ChatGPT 无法保证所有数据的利用场景都经过了授权。而如果将个人信息后续未经授权的利用行为一律进行打击，甚至予以刑事打击，这显然不符合人工智能的发展趋势，无疑是对技术创新的人为扼杀。同时，过于严苛的保护模式也并不意味着能够较好地实现对个人信息的保护，因为“基于权利的分类方法”并未给信息处理者提供足够的容错空间。当信息处理者无法达到此严苛的权利保护标准时，其基于本能就会选择采取措施来进一步规避对个人信息的保护，且这种规避可能难以被缺乏足够技术背景支持的监管部门察觉，长此以往必然会导致相对人的权益进一步受损。

二、基于风险的分类方法的引入及逻辑展开

（一）基于风险的分类方法的内涵分析

尽管“基于风险的分类方法”近两年才引发人们的普遍关注，但是将风险作为标准在数据领域进行分类保护并非新鲜事物。风险的概念和方法被越来越多的国家和地区采纳。1995年，欧洲议会和理事会通过的《关于涉及个人数据处理的个人保护以及此类数据自由流通的第95/46/EC/号指令》（以下简称《95/46/EC指令》）中就多次提及“风险方法”。例如《95/46/EC 指令》第十八条指出，“为了避免不正当的行政手续，风险可以作为成员国决定是否免除或者简化数据通知者义务的标准”。相较于零星提及风险方法的《95/46/EC 指令》，欧盟在2018 年通过的《通用数据保护条例》（GDPR）中将风险方法贯穿于整个文本，该文本诸多条款围绕“基于风险的分类方法”展开，如第二十四条控制者责任、第二十五条通过设计及默认方式保护数据、第三十三条数据泄露通知、第三十五条数据保护影响评估等。我国的立法实践也较多地体现了“基于风险的分类方法”的操作路径，例如《个人信息保护法》第七条指出信息的处理应该公开透明，第八条规定了处理个人信息时应当保证个人信息的质量，这些实质上都是降低风险的措施。第十一条要求国家建立个人信息保护制度以预防可能的对个人信息产生危害的行为，这体现了预防风险的思路。此外，《个人信息保护法》第四十条规定了个人信息的跨境运输需要经过国家网信部门的评估，第五十五条、五十六条规定个人信息处理者进行个人信息保护影响风险评估时应该遵守的基本内容，第六十四条赋予相关机构针对风险制造者进行约谈的权力。以上条款均体现了“基于风险的分类方法”。

党的二十大报告提出防范系统性风险的战略目标，基于风险的方法应当成为我们社会科学研究的基本思维范式。风险这一概念最初与医药、食品和环境有关，但是现在风险的概念远远超越最初的定义，目前学界更多地是从社会治理层面来讨论风险的工具意义。我们可以从四个角度来理解“基于风险的分类方法”。首先，对于目标而言，“基于风险的分类方法”承认个人和信息处理者之间地位的不对等性，放弃了对个人权利零侵害的思路，转而追求个人信息处理过程中风险的概率及严重程度。“基于风险的分类方法”的基本目标不应在于消除所有的侵害因素，而是应当关注所有可能产生负面效应的因素，并以此为根据令信息处理者进行风险管理。其次，对于实现路径而言，“基于风险的分类方法”是通过数据处理行为对数据保护可能造成的影响来评估风险。与“基于权利的分类方法”中对个人信息的利用行为进行一次性评估不同，“基于风险的分类方法”是在个人信息利用场景中对个人信息的利用行为进行过程性评估和多次评估，评估的过程更加注重该利用行为是否创造了法律不允许的风险。再次，对于基本模式而言，“基于风险的分类方法”放弃了以知情同意原则作为信息处理合法化的理由，即个人信息的风险评估并不依赖于信息主体是否授权，而将个人信息保护的实际义务分配给个人信息的处理者。该方法是迫使个人信息处理者对个人信息主体承担更多责任的一种方式，引导个人信息处理者尽可能地采取风险最小的处理方式。最后，在效果上，“基于风险的分类方法”主张利用风险分析工作以代替传统的依托于个人信息保护原则的权利路径，即“基于风险的分类方法”更加关注风险本身，并根据风险进行权利义务的微调，而这就为刑法的介入提供了一个明确和可论证的框架。

总之，相较于“基于权利的分类方法”，“基于风险的分类方法”实现了风险评估义务由信息主体到信息处理者的转移，并且“基于风险的分类方法”更侧重违反规则所产生的风险而并非违反规则本身。刑法意义上非法性的来源在于信息处理者没有尽到其本身的注意义务而导致的客观的、真实的侵害法益的风险，正是这种风险提供了刑法规制的对象。

（二）基于风险的分类方法的比较优势

其一，“基于风险的分类方法”是动态灵活的分类形式，适应生成式人工智能背景下的个人信息的利用模式，能够对个人信息实现精准的保护。如上文所述，生成式人工智能的背景下，“基于权利的分类标准”之所以具有模糊性，本质在于个人信息的场景依附性。由于场景不同进而导致识别目标、识别概率和识别风险等诸多因素的不同，这些因素的共同作用下，呈现出需要不同梯度保护的个人信息。故刑事领域对个人信息分类保护应当注重个人信息的场景依附性。与“基于权利的分类方法”不同，“基于风险的分类方法”主张评估个人信息处理所可能产生的风险，并且基于该风险决定是否对其予以刑事保护以及予以何种程度的刑事保护，进而实现对个人信息的分类保护。由此可以看出，“基于风险的分类方法”没有固定的分类范围，而是根据具体场景中产生的风险确定个人信息的保护范围进而确定分类范围，具有相当大的灵活性。这种根据实际动态调整的分类模式与生成式人工智能背景下个人信息的不确定性特征相符。

其二，“基于风险的分类方法”实现了个人信息处理过程中公民与平台权责的合理分配。部分学者指出，人工智能治理是现代国家治理的重要内容，但是由于人工智能本身的技术复杂性，国家无法直接介入过于专业的领域，所以，人工智能的治理主要依托于大型科技公司⑥参见徐冬根：《二元共治视角下代码之治的正当性与合法性分析》，载《东方法学》2023 年第1 期，第44 页。。当今私人化的社会平台拥有巨大的社会“公权力”，这种以算法和代码为依托的“公权力”利用个人信息对公民实现了电子画像，从而进行分级管理，但却缺乏应有的规制路径。在目前个人信息的利用过程中，处于弱势地位的公民承担了个人信息被利用所产生的风险，生成式人工智能却享有巨大的利益，同时却不完全承担风险识别和风险管理的责任，导致了权力与责任的脱节。然而，在“基于风险的分类方法”的基本模式设定下，风险识别和风险管理的责任被直接分配到平台这一主体，由平台来判断个人信息利用的风险大小并基于此选择合适的个人信息保护和利用的方式。当平台选择的方式无法管理风险时，就应对此进行刑法制裁。因此，“基于风险的分类方法”一方面实现了权力与责任的统一，另一方面将风险判断的责任由处于弱势地位的公民转移至具有强大技术支撑的人工智能平台，有利于更加精准地预判风险，实现对个人信息的有效保护。

其三，“基于风险的分类方法”具有明确和可论证的框架，有利于实现风险大小和制裁措施的平衡，为生成式人工智能的发展提供更多的容错空间。在生成式人工智能背景下，个人数据被大量、多层次地应用。若个人信息保护坚持一成不变的权利标准，容易遏制科技创新。而如上文所提及的那样，“基于风险的分类方法”实现了风险责任由个人信息主体到个人信息处理者的转移，但是这并非一个“是”或“否”的问题，而是“多”和“少”的问题。也就是说，尽管实现了风险责任的转移，但“基于风险的分类方法”并不追求零风险，合理范围内的风险是可接受的。欧盟针对《通用数据保护条例》组建的执法机构“第二十九条工作组”表示，适用于处理者的基本原则（即合法性、数据最小化等）应该保持不变，无论处理的范围和数据主体的风险如何。然而，它们本身具有可扩展性（scalable），所有处理者必须依法行事，尽管这可以使用可伸缩的方式进行。上述“第二十九条工作组”的意见可以被视为风险管理的第二个目标，这为数据处理者提供更大的灵活性和可伸缩性。所以，在此意义上，“基于风险的分类方法”有利于为技术的创新提供足够的容错空间。

三、基于风险的分类方法的现实构建

（一）敏感个人信息和一般个人信息的风险等级划分

我国《个人信息保护法》将个人信息分为“敏感个人信息”和“一般个人信息”，《个人信息保护法》第二十八条将敏感个人信息表述为“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”。欧盟的《一般数据保护条例》认为敏感个人信息是类型特殊，需要特别关注的个人信息。如上文所述，按照《个人信息刑事案件司法解释》和《侵犯公民个人信息案件指引》的有关规定，我国刑事司法领域无疑也采取了敏感个人信息和一般个人信息分类保护的思路，即不同类型、不同级别的个人信息所承载的权益差别较大。但是我国刑事法律中的分类仅考虑了风险的大小，没有将风险发生的概率纳入考量。事实上，“基于风险的分类方法”对于风险的认定不仅考察风险的程度大小，同样也考虑风险的发生概率。

风险的概率和风险的程度都是针对法益而言的，个人信息权长期被视为民法意义上的私权，多数刑法学者在此思路下也将个人信息保护的法益视为私权意义上的个人信息权。但纵观域内外的立法动态，个人信息权逐步完成从公民私权到国家义务的主要转向⑦参见王锡锌：《个人信息国家保护义务及展开》，载《中国法学》2021 年第1 期，第151 页。。所以个人信息权并非静态的、不变的个人权利实体，而是动态的国家治理制度的体现。国家通过这一制度工具维护依附在个人信息上的法益。基于宪法原则，个人信息是人权的延伸。作为宪法秩序下的刑事法律体系，优先目标不是挖掘公民个人信息的利用潜力，而是防止各信息处理主体在信息处理的过程中侵犯公民的相关人格利益。此外，个人信息的法益同样包括社会法益，这是因为个人信息很大程度上是对社会的反映，所承载的不仅仅是个人利益。信息的充分流通是以ChatGPT 为代表的生成式人工智能发展的核心要素，考量社会因素也是为其发展划定足够的空间。故个人信息的社会法益可以作为对个人利益的限定，避免个人信息保护范围的无限扩张。

综上所述，刑法可以根据个人信息处理过程对法益的危害程度和概率来对个人信息进行细化分类。总体而言，刑法可以利用高风险、中风险、低风险三种概念将敏感个人信息与一般个人信息的内涵进行具体化：高风险的个人信息和中风险的个人信息即为敏感个人信息，而低风险的个人信息即为一般的个人信息。具体来讲，高风险的个人信息直接承载公民的人格和财产利益。例如公民的轨迹信息、财产收入账单等，这类信息如果被泄露和处理，会直接产生巨大的危害。中风险的个人信息不能直接关联公民的人格和财产利益，如果该类信息被泄露和处理，只有特定的情形下才能够转化为人身财产的风险，例如银行交易流水，只有在大量的银行交易流水存在或者该交易流水被具有财务专业知识的人员识别等情形下才能够对法益造成较大的危害。而低风险的个人信息属于一般的个人信息，仅承担工具的功能，对该类型个人信息本身的利用无法直接产生危害效果，例如身份证号码，单独的密码等。但是如果该类型个人信息与特定事物实现关联，则会产生风险。也就是说，低风险的个人信息只有在特定的人和特定技术的背景下，才会对信息主体产生风险。例如公安机关的相关工作人员可以利用身份证锁定当事人，但是一般人却难以实现该特定的关联。正如欧盟《一般数据保护条例》“重述”第二十六条的表述，对于特定信息的识别，应该考虑“所有合理和可能使用”的手段。故当“所有合理和可能使用”的手段无法对个人信息实现关联时，此时应当被认为是一般个人信息。

（二）个人信息处理行为的罪责轻重判断

如上文所述，个人信息在不同场景下会表现出不同的风险性。故对于上述个人信息分类的判断要置于具体的场景之中。在不同的场景之中，上述个人信息完全可能实现层级转化，由一般个人信息转化为敏感个人信息，由中风险敏感个人信息转化为高风险敏感个人信息。例如，公开的个人信息一般被认为是一般个人信息。但实际上，公开的个人信息也与公民的人格、财产利益存在一定程度的关联，当信息处理者对公开个人信息进行处理时，同样可能引起刑法所不允许的风险。对于此种行为，刑法必须对其进行打击。特别是在以ChatGPT 为代表的生成式人工智能平台迅速发展的背景下，个人信息之间的层级转化将更为突出。生成式人工智能高超的关联技术完全可以将一般个人信息转化为敏感个人信息，例如生成式人工智能具有更为强大的数据画像技术，可以通过公开的个人信息对相应主体的生活习惯进行画像，进而对人的行为作出预测。而且以ChatGPT 为代表的生成式人工智能应用的门槛校低，这为社会公民带来科技福祉的同时，也降低了犯罪的门槛，从而为普通人利用一般个人信息实施犯罪提供了可能性。

故为了更为精准地判断个人信息处理行为的罪责轻重，我们需要明确场景化的判断路径。本文从社会情景、处理主体、信息属性和传输原则4 个方面入手，解构生成式人工智能的具体应用场景，根据风险的大小及概率对生成式人工智能背景下的个人信息进行类型化保护。首先，社会场景要素。社会要素在过往的实践中已经被较多地关注，例如将个人信息的应用场景分为公共领域和私人领域，并在不同领域中为信息处理者附加不同的刑事注意义务。实际上，公共领域和私人领域的涵盖范围之内仍然存在多样的场景，例如教育场景、医疗场景等，这就要求我们对其进行更为具体的分析。其次，处理主体。信息的处理主体控制着信息的具体使用路径和流向，对个人信息风险影响较大。我们通常所言的个人信息的可识别性，往往是针对个人信息的处理主体是否具备识别能力而言的。例如欧盟《一般数据保护条例》将个人信息的处理主体认定是“控制者或者其他人”。尽管我国刑事法律体系规范和前置法规范都未明确规定个人信息处理主体，但是个人信息处理主体的主观目的和客观身份应当被考虑。再次，个人信息的属性同样也是值得考虑的因素，按照不同的内部属性对个人信息进行类别划分已经成为世界个人信息保护的共通做法，例如劳动者信息、儿童信息、妇女信息等，这些不同种类和性质的个人信息的风险也不尽相同。最后，传输规范，即我们个人信息法律保护体系所确认的相关原则。在个人信息的刑事治理中，尽管“基于风险的分类方法”相较于“基于权利的分类方法”具备极大的优越性，但全面抛弃权利概念并不现实，特别是我国已经制定了相对完备的个人信息权利体系，全面抛弃既有制度更不切实际。事实上，“基于风险的分类方法”和“基于权利的分类方法”并非绝对不兼容，权利的规则同样可以成为判断风险的依据，包括知情同意原则、保密原则、删除权、携带权等。当个人信息的处理行为符合前置法的规则时，就应当认为处理个人信息所产生的刑事风险处于合理的限度，若违反前置法的规则就应仔细考虑其可能产生的刑事风险。

另外，在个人信息的司法裁判中，法院往往针对具体的场景进行法律分析，这与生成式人工智能背景下的个人信息风险的场景依附性相契合。事实上，在域外的法律实践尤其是普通法系国家中，判例往往成为该国个人信息保护的重要法律渊源。例如美国联邦委员会在对企业隐私政策进行监管时，会依赖以往对于个人信息不当利用行为认定的判例，这些判例成为美国重要的普通法规则。“基于风险的分类方法”在我国司法实践中已经有所体现，例如在著名的“微信读书案”中，微信读书的账号尽管不关联个人微信号，也不关联手机号，但法院仍然认为这些信息在特定场景下可以反映相关个人信息主体的特征⑧北京市互联网法院（2019）京0491 民初16142 号民事判决书。。此时，此类个人信息处理便产生了风险，若风险较大则应当予以刑事规制。况且相较于域外，我国《个人信息保护法》赋予了个体在个人信息保护中直接起诉的权利，未来我国司法案例在个人信息风险的场景化判断中必将发挥更大的作用。

结语

以ChatGPT 为代表的生成式人工智能展示出极大的应用潜能，但是同时也给个人信息的保护带来了极大的风险。对个人信息予以分类保护是中共中央、国务院确定的化解数据风险的重要方式。传统的个人信息分类方式是基于权利的标准，与生成式人工智能时代背景下的要求并不相符。我们应该进一步引入“基于风险的分类方法”，利用个人信息处理对法益的危害程度、概率而对个人信息实现高风险、中风险、低风险的三种类型划分。在实际操作中，我们要将个人信息进一步还原到具体的场景中，借鉴各地司法案例来弹性地界定个人信息的分类范围。通过“基于风险的分类方法”实现个人信息保护和流通的平衡，在保障公民个人信息权益的同时，释放个人信息的应用潜能。