香港虚拟资产服务提供者牌照：2026年逐步指南
香港《个人资料（私隐）条例》与人工智能系统：业务必须了解的事项
在香港部署人工智能系统，使业务面临《个人资料（私隐）条例》（第486章）项下的义务。该条例自1995年生效以来一直是香港的基础性私隐法例。虽然《个资条例》比人工智能时代早数十年，其核心原则——合法收集、目的限制、资料安全及个人查阅权——直接适用于处理个人资料的人工智能系统。本文说明《个资条例》六项资料保护原则如何适用于人工智能资料收集、训练及自动化决策；审查资讯专专新兴的人工智能指引；并为在香港部署人工智能系统的业务提供实务指引。
《个资条例》框架：结构与适用范围
《个资条例》是香港的主要私隐法律。它不设立具有直接发牌权限的行业专专监管机构（与欧盟或新加坡的资料保护机构不同）；而是建立由资讯专专专员公署（资讯专专）执行的一般私隐义务，资讯专专是一个独立的法定机构，有权调查投诉、进行合规审查及发出强制执行通知。
《个资条例》适用于在香港收集、持有、处理或使用个人资料的任何人（自然人、公司或机构）。《个资条例》涵盖所有涉及属于在世个人的个人资料处理，但对法律执行、国家安全及某些内部行政目的有限引用例外。
《个资条例》不要求机构向资讯专专登记或在部署人工智能系统前获得批准。相反，《个资条例》对资料处理活动施加实质义务。不遵守《个资条例》可能导致：(a) 资讯专专正式调查；(b) 合规命令；(c) 对受影响个人的赔偿责任；及(d) 在涵盖非法播露个人资料的恶劣情况下承担刑事责任。
六项资料保护原则及其对人工智能的适用
资料保护原则一：收集个人资料。资保原则一对个人资料的收集建立三项核心要求：(a) 资料对收集目的而言充分但不过多；(b) 收集必须出于合法目的；及(c) 必须向资料当事人提供“收集个人资料声明书”（PICS），载明收集目的、拟使用途径及资料转移对象。
适用于人工智能系统时，资保原则一创造了多项义务。首先，收集资料以训练人工智能模型的机构必须能够阐明收集资料的合法目的。目的不得过于宽泛，而应该相当具体。其次，收集必须通过合法手段进行。第三，至关重要的是，若个人资料是基于一个目的收集的，该资料不得在没有另行知情同意的情况下用于训练商业人工智能模型。
资料保护原则二：准确性与保留。资保原则二要求机构持有的个人资料必须准确，且保留期限不得超过必要范围。适用于人工智能时，此原则对以下方面创造义务：(a) 用于训练人工智能模型的资料的准确性；(b) 训练资料集的保留——训练完成和模型部署后，应删除属于小型资料集内的原始训练资料；及(c) 日志和审计蹟迹——许多人工智能系统会生成输入和输出资料的日志。
资料保护原则三：个人资料的使用。资保原则三是“目的限制”原则：基于一个目的收集的个人资料不得用于不同目的，除非新目的与原始目的直接相关或资料当事人同意新用途。在人工智能场景中，这项原则经常遇到违规。
示例：一家机构以“客户支持和质量保证”为封收集客户服务电邮和聊天记录。后来，该机构决定使用这些电邮和记录来训练客户情绪分析模型，并将情绪报告出售给第三方。这一新用途与原始的“客户支持”目的没有直接关系。在没有寻求客户另行同意的情况下，将资料用于此新目的违反了资保原则三。
资料保护原则四：个人资料的安全。资保原则四要求实施适当的安全保障措施，以保护个人资料免遭未经授权或案发的存取、修改或播露。适用于人工智能系统时，这意味着：(a) 包含个人资料的人工智能训练资料必须存放在有存取控制的安全服务器上；(b) 若人工智能系统输出包含个人资料或可用于推断个人资料，必须对其进行保护；(c) 机构必须根据资料敏感性和系统风险设定适当的网络安全控制。
资料保护原则五：公开性。资保原则五要求机构在可查阅的隐私政策中播露其资料处理实践。适用于人工智能时，机构应发布清晰的隐私政策和资料治理文件，说明其人工智能系统如何使用个人资料。
资料保护原则六：查阅与更正。资保原则六赋予个人查阅机构持有的其个人资料以及要求更正不准确资料的权利。对于机构而言，当涉及人工智能系统时，这将带来操作上的挑战：若个人资料已用于训练人工智能模型，该资料已嵌入模型的参数中，在实际意义上无法轻易“查阅”或“更正”。
自动化决策与明确权利的缺少
欧盟《通用资料保护法规》（GDPR）第22条赋予个人权利，使其不受到完全基于自动处理（包括分析档案）且具有法律效力或重大影响的决策的约束。香港的《个资条例》没有相等条文。然而，资讯专专于2021年发布的《自动化决策系统中使用人工智能指引》建议，机构应对重大的自动化决策保持人类监督，并为个人提供有关决策过程的有意义资讯。
缺乏明确的法定权利并不意味着自动化决策不受监管。相反，它受到现有资保原则的限制。使用人工智能系统对决策做出重大决策的机构应：(a) 确保将个人资料用于自动化决策与最初收集目的一致；(b) 为受影响个人提供有关决策方式的有意义查阅资讯；及(c) 对重大决策保持人类审查能力。
生成式人工智能工具与员工资料
在工作场所部署生成式人工智能工具提出了专门的《个资条例》问题。许多生成式人工智能服务会保留用户输入内容，并用于模型改进、再训练或市场扩展目的，除非用户选择退出或签订特殊资料处理协议。
最佳实践是：(a) 实施内部可接受使用政策，明确禁止将个人资料输入公用人工智能工具；(b) 确保员工了解哪些资料属于个人资料且不应播露；(c) 对于需要广泛使用人工智能工具的机构，与人工智能供应商签订资料处理协议；及(d) 对员工进行《个资条例》风险引导训练。
跨境资料传输与云端人工智能服务
大多数生成式人工智能和机器学习服务在香港境外托管的云端基础设施上运行。当机构在这些服务上处理个人资料时，就是将该资料转移到香港境外。资保原则三含有一项条款——有时称为“转移限制”——说明除非提供充分的保障措施，否则个人资料不得转移到香港境外。
在实务中，大多数依赖美国云端人工智能服务的机构使用云端提供商的标准资料处理协议（通常包括提供商的安全认证和隐私承诺）作为合同保障措施。资讯专专和香港法律实务通常将其视为充分的保障措施。
资讯专专的人工智能指引：主要建议
资讯专专于2021年12月发布了《自动化决策系统中使用人工智能指引》。该指引不具指导性，但反映了资讯专专的监管预期。主要建议包括：
- 责任制。机构应指定负责的责任官员或职能（首席资料官、隐私官），负责对人工智能系统中的《个资条例》合规性。
- 可解释性。机构应保存有关人工智能模型如何做出决策、使用哪些训练资料以及模型可能具有哪些限制或偏差的文件。
- 人类监督。对于影响个人的重大决策，人工智能系统应结合有意义的人类审查和推翻能力。
- 资料最小化。机构应仅收集训练和操作人工智能系统所需的最少限度个人资料。
- 个人权利。机构应就人工智能处理资料建立个人行使资保原则六权利的程序。
人工智能系统运营者的实务合规清单
在香港部署人工智能系统的机构应实施以下合规措施：
- 声明书审查与实施。对于个人资料将用于人工智能系统的每个资料收集点，确保将符合规定的声明书提供给资料当事人。
- 目的限制审计。对照人工智能系统中所有个人资料用途与原始声明的收集目的。
- 资料目录与保留期限。维护用于人工智能训练的个人资料的详细目录。
- 供应商尽调审查。若使用第三方人工智能供应商或云端提供商，审查其资料处理协议、安全认证和隐私政策。
- 安全评估。对人工智能系统中保存、处理和传输个人资料的系统和流程进行安全评估。
- 人类监督政策。对于对个人做出重大决定的人工智能系统，建立人类监督和推翻机制。
- 资料当事人权利程序。建立回应个人要求的程序。
- 隐私政策与透明度。发布清晰的隐私政策，具体说明机构对人工智能系统和个人资料的使用。
- 员工培训。对处理个人资料的员工提供《个资条例》和人工智能隐私培训。
Alan Wong律师事务所如何提供协助
本文仅供一般资讯及教育目的。本文不构成法律意见，不应被依赖为此。法律及监管要求可能随时更改。您应在采取任何行动或依赖本文任何资讯之前，就您的具体情况寻求独立法律意见。
