摘要：

大语言模型的泛化应用对《个人信息保护法》（以下简称《个保法》）的传统规制逻辑构成严峻挑战，集中体现为“知情—同意”规则实效衰减、“合理范围”与“重大影响”等法律概念外延的模糊性。究其本质，这是既有法律调整对象与方法在技术场景下面临的适应性危机。反身法理论为回应技术动态发展中的制度优化提供了有力分析工具，其通过促成“基于权利”与“基于风险”范式的“视界融合”，能够有效增强法律体系的内生适应性。作为反身法理论的制度延伸，应在维系《个保法》文本稳定性的前提下，构建立体化的运行机制：即从单一的规则制定转向程序框架设计，以风险要素量化推动权利保护的具象化，并确立基于整体治理能力的认证与监督体系，最终实现技术创新与权益保障的动态平衡。

关键词： 大语言模型；法律边界；反身法；个人信息保护法；知情—同意

正文：

大语言模型作为人工智能领域的颠覆性技术，其广泛应用正深刻解构着现行《个人信息保护法》的规范体系。《个保法》所倚重的法定与约定、原则与例外，本质上均属“区间性”判断要件。当这些要件与新兴技术业态交融时，极易出现上下限模糊的边界困境，亟需通过认识论与方法论的再体系化来实现规范适用的优化。立法论层面，学界多主张确立风险导向的规范逻辑，优化侵权责任配置；解释论层面，则倾向于通过法教义学将“风险性损害”纳入既有评价体系。然而，大语言模型具有的动态性、涌现性及算法黑箱的不可解释性，决定了单纯追求概念“静态”闭环的思维进路存在天然缺陷。立法论仰赖于对社会事实的精准预判，解释论受制于法律文本的文义射程。因此，《个保法》的完善路径不应局限于静态的概念涵摄，而应在文本与适用的互动中厘清权利实现方式与风险防范形式，构建场景化的机制保障。

一、大语言模型对《个保法》的挑战：规则边界的模糊与失能

大语言模型的技术特性与传统个人信息保护规则之间产生了剧烈的结构性张力。一方面，《个保法》确立了“知情—同意”的先决地位，并辅以算法解释框架以平衡商业创新与法律责任；另一方面，二者间的逻辑抵牾使得体系解释与目的解释在治理场景中难以奏效。这种挑战的实质是主体行权边界的模糊与要件解构理据的匮乏，具体表现为“知情—同意”规则虚置、合理范围划定困难以及“重大影响”标准缺失。

（一）现有保护规则的运行梗阻

在大语言模型语境下，传统规则面临三重深层困境，折射出既有规范体系与技术发展之间的适应性断层。

1. “知情—同意”规则实效衰减。 模型训练语料中的个人信息主要分为两类：一是服务商通过多渠道抓取的海量信息，因其体量大、溯源难，往往被置于告知范围之外；二是用户在使用过程中的输入数据，模型会自发将其纳入迭代语料，而服务商对此通常缺乏充分释明。这导致“知情—同意”的第一步——“告知”严重不充分。加之信息主体与处理者在技术能力与信息资源上的结构性不对等，以及隐私协议的“一揽子概括同意”模式，使得用户难以真正理解授权内容与潜在风险，导致“同意”沦为一纸空文。

2. “合理范围”边界难以锚定。 《个保法》第27条允许在合理范围内处理已公开个人信息，但“合理范围”缺乏明确标尺。大语言模型的训练过程具有内在不可预知性，服务商难以在事前设定固定的信息用途。出于通用性的设计初衷，模型应用场景往往开放且多变，这使得基于特定场景构建的“合理范围”标准失去了适用基础，反过来掣肘了服务商对数据的合法利用。

3. “重大影响”内涵模糊致边界混淆。 《个保法》第27条规定，对已公开个人信息的处理若对个人权益有“重大影响”，则需重回“知情—同意”轨道。然而，何为“重大影响”？是指风险预判还是损害结果？对于海量数据如何处理？这些问题均缺乏明确规定。概念的不确定性导致法律适用边界不清，既可能因合规成本过高而抑制创新，也可能因监管缺位而纵容风险。

（二）规则边界失序的三重表征

上述规则障碍并非孤立存在，而是共同指向了规则边界的系统性失序，主要表现为僵化、模糊与失能。

1. 例外机制不周延导致边界僵化。 “知情—同意”规则的困境源于其“一般—例外”结构失衡。现行法列举的例外情形具有封闭性与滞后性，难以覆盖大语言模型动态、通用的处理场景。当大量具有社会正当性且风险可控的处理活动无法纳入例外清单时，便被迫归入“需获同意”的一般规则。同时，例外适用标准（如“合理范围”）本身的模糊性，加剧了合规的不确定性。结果是，一般规则的刚性被不当强化，同意机制要么被架空，要么成为数据流通的壁垒。

2. 技术逻辑冲击导致边界模糊。 司法实践中，对已公开个人信息处理的合法性认定，往往沿用针对未公开信息的审查逻辑，强调合法、正当与必要，这在实质上抹平了二者应有的保护梯度。此外，大模型处理数据是针对整个数据集的整合训练，而非针对特定数据单元，这使得以具体信息为对象的传统边界划定方式失效。技术特性还切断了单一处理行为与特定损害结果之间的显性因果链，使得基于传统侵权法的边界划定面临认识论难题。

3. 场景化考量缺失导致边界失能。 《个保法》第27条试图通过“对个人权益有重大影响”这一要件来转换保护规则，但因缺乏场景化考量而难以操作。不同应用场景下，信息处理行为的影响性质、强度与归责逻辑差异巨大。脱离具体场景对“重大”进行抽象解释，要么导致过度规制抑制创新，要么导致规制不足纵容风险。

二、反身法理论对二元规范结构的重释

前述困境的本质是《个保法》既有调整范式在技术场景下的自适应性不足。反身法理论（Reflexive Law）强调法律系统通过自我反思与程序建构，引导社会子系统形成自我规制能力，这为化解“基于权利”与“基于风险”的范式张力提供了理论基石。

（一）理论基石：权利与风险的共生与张力

1. “基于权利”范式的价值与局限。 该范式通过预设权利与义务，确立了保护基线。其价值在于彰显人格尊严，并为交易提供稳定预期。然而，在大语言模型生态中，其局限性凸显：一是“理性人假设”破灭，用户无力理解复杂的数据处理风险；二是静态赋权无法防御动态涌现风险，单次同意难以覆盖数据的全生命周期复用；三是个体化救济难以应对规模化、弥散性的算法歧视或数据泄露。

2. “基于风险”范式的内核与兴起。 该范式依据处理活动对法益侵害的可能性与严重性，配置差异化的管控义务。它承认主体的有限理性，要求处理者进行风险评估、采取相称措施并建立问责机制。这是一种从事后追责转向事前预防的治理逻辑。

3. 反身法理论的统合功能。 反身法理论主张法律不应直接规定技术细节，而应构建引导自我规制的程序与沟通框架。它旨在促成“基于权利”与“基于风险”的“视界融合”：法律设定目标（权利保护），但通过程序控制（风险管理）来实现。这有助于在动态适用中校准“重大影响”等概念，增强法律的概念适应性与场景回应性。

（二）问题重析：边界失序的生成机理

在反身法视域下，三类边界问题的生成机理得以清晰呈现：

1. 缺乏例外是沟通失败的产物。 “知情—同意”的僵化，源于传统范式将同意视为合法性的唯一开关，挤压了“风险可控性”等规范价值的考量空间。这本质上是法律系统对技术子系统运行规律的认知隔阂。

2. 转换通道阙如导致范围模糊。 “合理范围”的失焦，是因为法律未能建立权利逻辑向风险逻辑转换的制度接口。反身法则提示，法律应监督企业“自我规制”的组织架构，而非干预具体的技术参数。

3. 规范与评价的结构性错配。 “重大影响”的界定困境，反映了法律“点状”评价模式与技术“线状”风险轨迹的错位。风险的累积性要求规制焦点从结果归责转向对风险控制流程的前瞻性审查。

三、面向二元规范结构的规则校准

基于反身法理论，应从规则制定转向程序设计，通过内嵌风险要素，实现技术逻辑与法律逻辑的耦合。

（一）从制定规则走向设计程序框架

1. 建立基于场景风险的差异化同意机制。 法律应作为“框架性规范”，引导企业构建反思性同意路径。对于敏感个人信息，坚持“明示同意”的刚性约束；对于一般已公开信息，可豁免繁琐的点对点同意，转而强化企业的公示与保障义务；对于未公开的一般信息，强化告知义务并畅通退出渠道。

2. 设立“合规例外”的法定条件与风险补偿。 确立“合规例外”制度，允许企业在履行严格程序的前提下豁免部分同意要求。企业需完成正当性论证、风险评估及最小化验证，并建立完整的合规档案。监管机构作为“次级观察者”，重点审查程序的完整性与履职的有效性，实行“程序合规即免责”的推定机制。

（二）以风险要素推动权利保护清晰化

1. 为核心法律概念提供“要素化指引”。 放弃从正面界定“合理范围”，转而设定负面清单（如涉及敏感信息必须明示同意）。同时，将合规判断标准从“行为结果”转向“流程正当性”，重点审查组织架构、程序规范与沟通渠道的完备性。

2. 构建“场景—风险—权利”联动响应模型。 由行业协会牵头，组织多方主体参与，对应用场景进行类型化，并设定风险基准线。引入涵盖数据、算法、算力维度的量化指标体系进行动态评级。根据风险等级，自动触发差异化的权利义务配置：低风险场景简化流程，高风险场景激活算法解释、人工复核等强保护机制。

（三）确立基于整体治理能力的认证与监督体系

1. 以第三方认证查验企业整体数据治理体系。 建立科学的认证标准，考察治理结构权威性、流程完整性、技术前瞻性与人员意识。确保认证机构的独立性，将认证结果作为企业合规能力的重要证明，驱动企业从“合规成本”思维转向“信任资产”思维。

2. 以全生命周期合规档案追溯风险轨迹。 要求企业以结构化形式记录数据收集、训练、应用及销毁的全过程。该档案具有法定证明效力：档案完整连续可作为尽职免责的证据；档案缺失或伪造则可直接推定过错。此举将监管的重心从事后惩罚转向对全过程风险控制能力的监督，构筑透明、可问责的防护底线。

四、结束语

生成式人工智能的演进倒逼个人信息保护规范底层逻辑的革新。《个保法》的适用困境，本质上是传统权利逻辑与新型技术风险的结构性错配。应对之道不在于机械地扩张或限缩解释，而在于治理路径的范式转型。引入反身法理论，融合权利保障与风险预防的双重诉求，通过程序框架设计、风险要素量化及治理能力认证，引导企业形成“受规制的自我规制”生态。这不仅能平衡技术创新与权益保护，更能推动我国个人信息保护从静态的“概念法学”迈向动态的“反身法理”，构建具有韧性、精确性与可持续性的数字法治秩序。