筆記

AI 拍照 App 的隱私法規：BIPA、CUBI、GDPR 與歐盟 AI 法案

最後更新: 2026年8月22日

伊利諾州、德州、華盛頓州、GDPR 和歐盟 AI 法案，對於一個會處理你臉部的應用程式各自訂了不同的規則，違反時的後果也各不相同。

有五套法律規範著會擷取你的臉、再在上面畫點什麼的應用程式。伊利諾州要求在蒐集之前先取得書面授權。德州和華盛頓州只要求告知，執法權則交給州政府。GDPR 把臉部模板列為特殊類別的資料。歐盟 AI 法案自二零二六年八月二日起，要求生成的圖片必須帶有機器可辨識的標記。

這些法律當初制定時，沒有一套是專門針對美妝應用程式寫的，但現在全部都適用。

哪一套法律適用於你

這些法律的差異在於出事之後會發生什麼：不用證明損害就能領取的固定金額、要證明損害才能領取的賠償、只有主管機關才能提告的案件，或是完全沒有個人求償權。

使用臉部 App 前，BIPA 是否要求先取得書面授權？

是的，而且法條用的字是「授權」（release），不是「同意」（consent）。第 15(b) 條 要求私人企業在蒐集生物識別資訊之前，先書面告知蒐集的內容與保留期限，再取得書面授權。埋在沒人會讀的服務條款裡的一個同意勾選框，不符合這條法規的要求。第 10 條 把生物識別標識定義為視網膜或虹膜掃描、指紋、聲紋，或臉部、手部幾何掃描，並明確排除單純的照片本身。從那張照片萃取出來的臉部幾何掃描是另一回事，而這正是法條真正規範的對象。

保留期限另有規定。第 15(a) 條 要求企業公開一份書面政策，說明在蒐集目的達成時，或在使用者最後一次互動後三年內（以先到者為準），銷毀生物識別資料。第 15(c) 條 另外禁止出售、出租、交易個人生物識別標識或藉此獲利，沒有同意即可豁免的例外。

伊利諾州也是這裡唯一一個由個人（而非主管機關）提告的司法管轄區，也是唯一一個固定賠償金額不需要證明損害的地方。第 20 條 賦予任何受害人在州法院或聯邦法院提告的權利：過失違規可請求 1,000 美元的法定損害賠償，實際損害較高則以實際損害計算；故意或魯莽違規則為 5,000 美元，實際損害較高則以實際損害計算，外加律師費。一項自二零二四年八月二日生效的修正案，限縮了這筆賠償的計算方式：對同一筆生物識別資料重複蒐集或揭露給同一接收方，現在只算作一次違規，而不是每次都各自計算，堵住了原本可能讓賠償金額遠遠超出實際損害的按次計算漏洞。

德州的 CUBI 和 BIPA 有什麼不同？這個差異為什麼重要？

同意的要求讀起來很類似。第 503.001 條 要求任何人在為商業目的擷取生物識別標識之前，先告知當事人並取得同意，並禁止出售、出租或揭露該標識，除非符合四項例外之一：取得同意以協尋失蹤或確認亡者身分、完成當事人要求的交易、法律要求，或執法機關的搜查令。擷取到的標識須在合理時間內銷毀，最遲不得超過蒐集目的結束後一年。

德州法沒有給你的，是自己執法的管道。CUBI 沒有個人提告權，只有德州檢察總長能提起訴訟，罰則是每次違規最高 25,000 美元的民事罰款，且這筆錢是繳給州政府，不是給臉被擷取的當事人。違反 BIPA 的公司要對受害的個人負責；違反 CUBI 的公司要對檢察總長負責，前提是檢察總長願意查。這正是為什麼 BIPA 會引發大量集體訴訟，而 CUBI 幾乎不會。

華盛頓州能讓你為臉部資料提告嗎？

不能。RCW 19.375.020 要求企業在將某人的生物識別標識建檔前先告知，並取得同意或提供日後阻止使用該資料的方式，門檻比 BIPA 的書面授權低。它限制在少數例外之外出售或揭露資料，並限制保留期限僅限於必要範圍。但RCW 19.375.030 明定該章「僅得由檢察總長執行」，依州消費者保護法辦理。在「這是一項你握有的權利，還是一條州政府哪天可能會執行的規定」這條光譜上，華盛頓州比較靠近德州，而不是伊利諾州。

自拍照在 GDPR 底下算生物識別資料嗎？

有時候算，而且用詞很具體。第 4(14) 條 把生物識別資料定義為經特定技術處理後、源自身體特徵、可用來確認或唯一識別個人的個人資料，並舉臉部影像為例。一張原封不動放在相簿裡的照片，依第 4(1) 條仍屬於個人資料，因為它關聯到一個可識別的人。但當某個處理程序把它轉換成能夠識別這個人的形式時，它就具體變成了生物識別資料，例如為了每次都能正確套用到本人臉上而建立的臉部幾何模板。

第 9 條 把用於唯一識別的生物識別資料列為特殊類別。除非符合例外，否則禁止處理，而對一般消費型應用程式而言，唯一能用的例外是第 9(2)(a) 條的明確同意，門檻高於第 6 條規範多數其他個人資料的一般同意。GDPR 也不以歐盟邊界為界：第 3(2) 條 適用於任何向歐盟境內人士提供商品或服務的公司，無論公司設在哪裡。一家在歐盟沒有辦公室的美國公司，只要有歐盟居民使用其產品，一樣受規範。

GDPR 確實讓你可以提告，這點和德州、華盛頓州不同，但條件和 BIPA 也不一樣。第 82 條 賦予資料主體因違規而受有物質或非物質損害時的求償權，透過第 79 條 規定的法院程序提出。這裡沒有像 BIPA 那樣 1,000 美元或 5,000 美元的固定金額：申訴人必須證明損害本身，而不只是程序上的疏失。

歐盟 AI 法案會要求 AI 照片標示自己是 AI 生成的嗎？

自二零二六年八月二日起，對於運作模型的業者而言，答案是會。第 50(2) 條 要求提供能生成合成音訊、影像、影片或文字之 AI 系統的業者，以機器可辨識的格式標記輸出內容，使其能被偵測為人工生成或經過處理。這項義務落在模型提供者輸出的內容上，和消費型應用程式在自己介面裡揭露的內容是分開的兩件事。該法案在第 113 條訂定了這個日期，歐盟執委會自己針對分階段實施時程 的說明也確認，包括第 50 條在內的透明度義務已於二零二六年八月二日起生效，早於針對高風險生物識別系統用途訂定的另一個期限二零二七年十二月二日。

另一項義務則落在系統部署方，而不是開發方身上。第 50(4) 條要求部署會生成或處理構成深偽（deepfake）之影像、音訊或影片內容的 AI 系統者，揭露該內容是人工生成或經過處理的。至於某張特定生成的照片是否符合法案對深偽的定義，這篇文章不打算下定論。可以確定的是，模型提供者的標記義務並非選擇性的，而二零二六年八月二日也已經不是未來的日期了。

Looksmith 對自己的說明

這篇文章描述的是五套法律文本對任何一個會擷取人臉的應用程式提出的要求，不是在說 Looksmith 是否符合這些要求。Looksmith 是 Mirable Labs, Inc. 開發的 iOS 應用程式，即將推出，尚未上線。Mirable Labs 對於同意、保留、揭露與訓練資料的具體說明，寫在隱私權政策裡，帳號相關條款則在/terms。請直接閱讀這些文件，不要把這篇文章對法律的整理，當成對這家公司的整理。如果其中有不清楚的地方，可以到/help 詢問，/about 則說明 Mirable Labs 背後是誰。

五套不同法律背後的共通模式

這幾套法律文本回答的其實是同一個問題，只是對受規範的公司給予的信任程度不同。伊利諾州把救濟權直接交到臉被擷取的當事人手上，並訂出一個不需證明損害的固定金額。德州和華盛頓州把同一種救濟權交給一個必須主動決定要不要出手的州政府單位。GDPR 要求的同意門檻高於一般標準，而且只有在能證明真實損害時，個人才能提告。歐盟 AI 法案則假設傷害發生在下游，也就是有人看著一張圖片卻無法分辨它是不是真的的那一刻，因此它規範的是檔案本身，而不是產生檔案的那筆交易。

從「應用程式該做什麼」的角度來看，這幾套法律聽起來都很相似：告知當事人、取得某種授權、不要無限期保留資料。但從「應用程式沒做到會怎樣」的角度來看，它們立刻就不再相似了。在上傳一張照片之前，值得認真想清楚的是第二種讀法，而不是第一種。

如果一個 App 濫用了我的臉，這幾套法律裡哪一套真的能保護我？

伊利諾州的 BIPA 保護得最多，因為它是這裡唯一不需要證明損害就能拿到賠償的法律。GDPR 也讓你可以提告，透過第 79 條和第 82 條，但前提是你能證明損害。德州和華盛頓州把執法權完全交給州檢察總長，而一條沒有人執行的規定，只是一個承諾，不是保障。歐盟 AI 法案保護的範圍比較窄：它保護的是你分辨合成影像與真實影像的能力，而不是你的資料本身，也沒有附帶個人求償權。如果你住的州沒有自己的生物識別法，這些保障對你來說什麼都沒有，這點值得先知道。