笔记

AI 拍照应用的隐私法律:BIPA、CUBI、GDPR 与欧盟 AI 法案

最后更新: 2026年8月22日

伊利诺伊州、得克萨斯州、华盛顿州、GDPR 和欧盟 AI 法案,对一款会处理你面部的应用各自设了不同的规则,违反之后的后果也各不相同。

有五部法律管着一款采集你的脸、再往上画点什么的应用。伊利诺伊州要求在采集前先拿到书面授权。得克萨斯州和华盛顿州只要求告知,执法交给州政府。GDPR 把人脸模板归为特殊类别数据。欧盟 AI 法案从二〇二六年八月二日起,要求生成出来的图像必须带一个机器可识别的标记。

这五部法律没有一部是专门为化妆应用写的,但现在全都适用于这类应用。

哪部法律管得到你

这几部法律的差别在于出了问题之后会发生什么:一笔不用证明受损也能拿到的固定赔偿,一笔只有证明受损才能拿到的赔偿,一个只有监管机构能提起的案子,或者压根没有个人索赔权。

伊利诺伊州 BIPA 是否要求人脸应用运行前先拿到书面授权?

是的,而且法条用的词是“授权”(release),不是“同意”(consent)。第 15(b) 条要求私营主体在采集生物识别标识或生物识别信息之前,先书面告知采集内容和留存期限,再取得书面授权。一个埋在没人会读的服务条款页面里的同意勾选框,并不符合法条描述的要求。第 10 条把生物识别标识定义为视网膜或虹膜扫描、指纹、声纹,或手部、面部几何结构扫描,并明确把单纯的照片排除在外。但从这张照片里提取出来的面部几何扫描是另一回事,而这正是这部法律要管的对象。

留存另有单独规定。第 15(a) 条要求企业制定一份书面、可公开查阅的政策,在采集目的达成时销毁生物识别数据,或在与该人最后一次互动后三年内销毁,以较早者为准。第 15(c) 条另外规定,不得出售、出租、交易他人的生物识别标识或从中牟利,且没有可以靠同意豁免的空间。

伊利诺伊州也是这几部法律里唯一一部由个人本人(而不是监管机构)提起诉讼的,也是唯一一部固定赔偿额不取决于是否证明受损的。第 20 条赋予任何受侵害的人在州或联邦法院起诉的权利:过失违规可获法定赔偿一千美元,或实际损失(取较高者);故意或轻率违规为五千美元,或实际损失(取较高者),外加律师费。二〇二四年八月二日生效的一项修正案收窄了这笔赔偿的计算方式:向同一接收方反复采集或披露同一份生物识别数据,现在算作一次违规,而不是每次都单独计算,堵上了原先按次计费、导致赔偿额远超实际损害的漏洞。

得克萨斯州的 CUBI 和 BIPA 有什么不同,这个不同为什么重要?

同意方面的要求读起来很像。第 503.001 条要求主体在为商业目的采集生物识别标识之前告知本人并取得同意,并禁止出售、出租或披露该标识,除四种狭义例外之外:用于识别失踪或死亡人员且已获同意、完成对方要求的交易、法律要求,或执法搜查令。已采集的标识必须在合理期限内销毁,最晚不超过采集目的结束后一年。

得克萨斯州没有给你的,是自己维权的途径。CUBI 没有个人诉讼权。只有得克萨斯州总检察长可以起诉,处罚是每次违规最高两万五千美元的民事罚款,罚款归州政府所有,而不是被采集人脸的当事人。违反 BIPA 的公司要向被侵害的个人负责;违反 CUBI 的公司只要总检察长愿意关注才会被追责。这个差别正是 BIPA 引发大量集体诉讼、而 CUBI 大体上没有的原因。

华盛顿州允许就人脸数据起诉吗?

不允许。RCW 19.375.020 要求公司在为商业目的将某人的生物识别标识录入数据库之前先告知,并取得同意或提供一种阻止今后使用该数据的方式,门槛低于 BIPA 的书面授权。它对出售和披露设置了类似的例外限制,并要求留存时间以必要为限。但RCW 19.375.030 规定,该章“只能由总检察长执行”,依州消费者保护法进行。在“这项法律是你握在手里的权利,还是州政府某天也许会执行的规定”这条轴线上,华盛顿州更靠近得克萨斯州,而不是伊利诺伊州。

一张自拍在 GDPR 下算生物识别数据吗?

有时算,措辞很具体。第 4(14) 条把生物识别数据定义为经过特定技术处理、能够唯一识别或确认一个自然人身份的、与其身体特征有关的个人数据,并把面部图像列为例子之一。一张原封不动躺在相册里的照片,依第 4(1) 条本身就是个人数据,因为它关联到一个可识别的人。而当有东西把它处理成能够识别这个人的形式,比如为了每次都能把妆容准确渲染到同一张脸上而建立的面部几何模板,它就具体变成了生物识别数据。

第 9 条把用于唯一识别的生物识别数据列为特殊类别。除非有例外情形,否则禁止处理,而对一款消费级应用来说,合适的例外是第 9(2)(a) 条下的明确同意,门槛高于第 6 条下适用于大多数其他个人数据的普通同意。GDPR 也不止步于欧盟边界:第 3(2) 条适用于任何向欧盟境内人士提供商品或服务的公司,无论其注册在哪里。一家在欧盟没有办公室的美国公司,只要有一位欧盟居民使用这款产品,就已经受其约束。

和得克萨斯州或华盛顿州不同,GDPR 确实允许起诉,但条件与 BIPA 不同。第 82 条赋予数据主体就侵权造成的物质或非物质损害获得赔偿的权利,通过第 79 条下的法院程序主张。这里没有像 BIPA 那样的一千美元或五千美元固定数字:索赔人必须证明损害本身,而不只是程序上的疏漏。

欧盟 AI 法案会要求 AI 生成的照片标明自己是 AI 做的吗?

从二〇二六年八月二日起,对运行模型的提供者而言答案是肯定的。第 50(2) 条要求生成合成音频、图像、视频或文本的 AI 系统提供者,以机器可识别的格式标记输出内容,使其能被识别为人工生成或篡改。这项义务落在模型提供者输出内容的层面,和消费级应用自己在界面里做的披露是两件事。这个日期写在第 113 条里,欧盟委员会自己关于分阶段实施的说明也确认,包括第 50 条在内的透明度义务已于二〇二六年八月二日起适用,早于生物识别系统高风险用途二〇二七年十二月二日这个单独的截止日期。

还有一项相关义务落在部署系统的一方,而不是构建系统的一方。第 50(4) 条要求部署能生成或篡改图像、音频或视频、构成深度伪造内容的 AI 系统的一方,披露该内容是人工生成或篡改的。某一张具体的渲染照片是否符合法案对深度伪造的定义,这篇文章不打算下结论。可以确定的是,模型提供者这边的标记义务不是可选项,而二〇二六年八月二日也已经不是一个未来的日期了。

Looksmith 对自己的说法

这篇文章说的是这五部法律条文,对任何会采集人脸的应用提出了什么要求,而不是在断言 Looksmith 是否满足这些要求。Looksmith 是 Mirable Labs, Inc. 出品的一款 iOS 应用,即将上线,目前尚未发布。关于同意、留存、披露和训练,Mirable Labs 自己怎么说,写在隐私政策里,管理账户的条款在/terms。请直接阅读这两份文件,而不要把这篇文章对法律的概括,当成对这家公司做法的概括。如果哪一份文件有不清楚的地方,可以到/help提问,/about说明了 Mirable Labs 背后是谁。

五部不同法律背后的同一个模式

这几部法条回答的是同一个问题,只是对被监管公司给出的信任程度不一样。伊利诺伊州把补救权直接交到被采集人脸的当事人手里,而且是一个不看能否证明受损的固定数字。得克萨斯州和华盛顿州把同样的补救权,交给一个需要自己选择是否行动的州政府部门。GDPR 要求高于普通同意的门槛,并且只有在能证明真实损害之后,才允许个人起诉。欧盟 AI 法案则假定伤害发生在下游,发生在有人看着一张图像却分辨不出它是人工生成的那一刻,所以它监管的是文件本身,而不是产生这份文件的那笔交易。

只看这些法律要求应用做什么,五部听起来都差不多:告知本人,拿到某种许可,不要一直留着数据。但看应用不这么做会怎样,它们就完全不像了。值得在上传照片之前弄清楚的,是第二种读法,而不是第一种。

如果一款应用滥用了我的脸,这几部法律里哪一部真的能保护我?

伊利诺伊州的 BIPA 保护得最多,因为它是这里唯一一部无需证明受损就能获赔的法律。GDPR 也允许起诉,通过第 79 条和第 82 条,但前提是你能证明损害。得克萨斯州和华盛顿州把执法权全部交给州总检察长,而一条没人执行的规定,是承诺,不是保护。欧盟 AI 法案保护的东西更窄:它保护的是你分辨一张图像是不是合成的能力,不是你的数据,而且不附带个人索赔权。如果你所在的州没有自己的生物识别法,这几部法律里没有一部能护到你,这一点值得心里有数。