调查发现：OpenAI 在开发首个 ChatGPT 模型过程中违反加拿大隐私法

（大中网/096.ca讯） 加拿大环球邮报（Globe and Mail）报道说，联邦及各省隐私监管机构历时三年的调查发现，OpenAI 的 ChatGPT 最初版本发布时，处理个人信息违反了加拿大相关法律，但同时指出，这家总部位于美国旧金山的公司已作出调整，已解决主要隐私问题。

周三（5月6日）发布的报告指出，OpenAI 在缺乏充分保护措施及有效用户同意的情况下，大规模收集个人信息，许多用户甚至不知道自己的数据被收集并用于训练人工智能模型。联邦及省级监管机构还批评 OpenAI 未向加拿大人提供简单有效的方式来更正和删除个人信息，并且在未解决已知隐私风险前便推出 ChatGPT。报告还指出，OpenAI 未充分提醒用户 ChatGPT 回答中可能存在的不准确内容。

2023年4月，联邦隐私专员办公室（OPC）启动一宗针对 ChatGPT 投诉的调查。在那之后，OpenAI 在处理隐私问题的做法已发生改变。

这些改变包括：采用过滤机制检测并屏蔽个人信息；使用技术工具阻止 ChatGPT 泄露特定公众人物的个人资料；以及建立正式的数据保留与删除规则。

OpenAI 还同意在未来几个月内作出更多调整，包括公布更多有关其隐私规则及模型训练内容来源的信息。该公司还将更明确地提醒未登录、使用网页版 ChatGPT 的用户，他们的对话可能会被用于训练未来的 AI 模型，并建议他们不要分享敏感信息。

魁北克、艾尔伯塔及卑诗省的省级隐私监管机构也加入了调查。

周三（5月6日），加拿大隐私专员杜弗兰（Philippe Dufresne）在记者会上说：“我认为，OpenAI 已实施及即将实施的措施，将能够解决调查中发现的问题。”

OpenAI 发言人引用该公司最新社交媒体文章，解释其针对加拿大用户的隐私保护做法。发言人鲍尔（Shane Bauer）在一份电邮中说：“我们非常重视保护用户隐私。”

尽管魁北克省级隐私监管机构拥有对违规行为实施罚款的权力，但这次并未采取这种处罚方式。魁北克省信息委员会（CIQ）副主席阿约特（Naomi Ayotte）说：“我们决定以提出建议为主。”

渥太华法律教授斯卡萨（Teresa Scassa）指出，周三的报告重点在于解决监管机构发现的隐私问题。她说：“这确实具有价值，因为通过行业合作与参与，推动了隐私保护。这有点像是针对棘手问题达成的一种协商式解决方案。”

像 ChatGPT 这样的生成式 AI 应用，其模型建立在从公共互联网抓取的大量数据之上，同时也包括 AI 公司通过付费获得的授权内容。在这一过程中，来自社交媒体、博客文章等来源的个人信息也可能被一并收集。

企业通常会在训练模型前过滤数据，以删除个人信息和不适宜内容，并采用其他技术，避免模型记忆具体细节。AI 公司还会训练聊天机器人，在用户要求获取特定个人信息时予以拒绝。

自 OpenAI 于2022年底推出 ChatGPT 以来，AI行业做法持续演变。监管机构报告指出，OpenAI 早已淘汰最初的 AI 模型，不断推陈出新如今已成为行业常态。报告还提及，OpenAI 之前使用的第三方过滤工具只能删除部分可能涉及个人信息的数据，而新的方法则“显著”（significantly）减少了训练中使用的敏感信息。

联邦隐私专员杜弗兰表示，此次调查的一个直接结论是 OpenAI 建立了个人信息保留与删除规则。他说：“他们一开始并没有明确的数据保留时间表，而现在已经有了。”

渥太华大选法律教授盖斯特（Michael Geist）注意到，这份报告反映出政策制定者正努力追赶 AI 技术的发展。他说：“虽然这些模型如今已越来越无关紧要，但报告依然追溯到很久以前。”

事实上，联邦及省级隐私专员周三都强调，需要更新监管AI的工具。联邦自由党政府曾于2022年提出新的隐私与数据提案，拟授予加拿大隐私专员命令科技公司停止收集个人数据的权力，并对违法者处以高达全球总收入5%或2500万加元的罚款，以金额较高者为准。然而，该提案在2025年1月国会休会时流产，目前尚未重新提出新版本。

联邦 AI 部长所罗门（Evan Solomon）在一份声明中说：“现代化加拿大的隐私框架，仍是本届政府的优先事项。科技环境正在迅速变化，加拿大人应拥有一部能够与时俱进的全面监管法案。”

一个需要面对的问题是，当 AI 公司抓取公开互联网数据时，应如何处理数据收集同意的问题。艾省卡尔加里大学法律副教授莱德洛（Emily Laidlaw）说：“大多数情况下，要求 AI 模型取得每个人的明确同意并不现实。我们需要思考的，不只是同意本身，而是 AI 应建立怎样的收集方式和问责机制。”

艾省信息与隐私专员麦克劳德（Diane McLeod）周三同一天表示，加强监管、引入处罚机制，以及要求新产品推出前举行影响评估，都是“能够确保充分隐私保护持续存在的控制措施”，同时也能让创新继续发展。