就在昨天，中国支付清算协会明确指出 "ChatGPT 这类智能化工具已经暴露出跨境数据泄露等风险。" 并发出 " 谨慎使用 ChatGPT 等工具 " 的倡议，该倡议强调支付行业从业人员要提高思想认识，依法依规使用 ChatGPT 等智能化工具，正确认识相关工具的机遇和风险，全面评估使用 ChatGPT 等工具处理工作内容的风险；倡议支付行业从业人员在使用 ChatGPT 等工具时，要严格遵守国家及行业相关法律法规要求，不上传国家及金融行业涉密文件及数据、不上传非公开的资料及数据、客户资料、支付清算基础设施或系统的核心代码等内容；倡议各会员单位要进一步健全信息安全内控管理制度，开展有针对性的数据风险防控工作，加强宣传和引导，提升员工的风险防范和数据保护意识，切实维护国家金融及支付行业安全。

一、ChatGPT 已发生多起数据泄漏事故

中国支付清算协会这一倡议是对近期 ChatGPT 频繁曝出数据泄露事件的回应，ChatGPT 已经在世界范围内曝出数起敏感数据泄密事件，就在本月初，意大利个人数据保护局宣布，从即日起禁止使用 ChatGPT 并限制 OpenAI 公司处理意大利用户的个人信息，同时意大利个人数据保护局开始就 ChatGPT 泄露敏感信息事件进行立案调查。无独有偶，韩国某国际知名大型企业（某星）主管存储、芯片设计、晶圆代工等半导体核心业务部门亦因为员工使用 ChatGPT 导致机密数据泄露。

该泄露事件涉及三位员工，员工甲在运行半导体设备测量数据库下载程序的源代码时发生了错误，于是他复制所有有问题的源代码并将其输入到 ChatGPT 中询问解决方案。员工乙则将 " 设备测量 " 及 " 产量和缺陷 " 检测程序代码整个相关源输入 ChatGPT，要求 ChatGPT 帮助其优化代码。员工丙则是一名行政人员，其将用自己手机录制的会议内容转化为文字后，输入到 ChatGPT 中，要求 ChatGPT 优化这份录音转文字的稿件，使其看起来像一篇精心制作的会议纪要。

上述三位员工的行为使得某星涉及半导体业务的敏感内容，此后该企业向公司所有员工告知 " 如果采取信息保护紧急措施后仍发生类似事故，公司内部网可能会禁止 ChatGPT 连接。"

事实上国内部分行业也已经对 ChatGPT 引发的敏感信息泄露问题发布了相关预警。除韩国某星外，微软、亚马逊等国际巨头企业亦对自己的员工发出预警，不要与 ChatGPT 分享公司的相关敏感信息，因为它们可能会被 ChatGPT 用于训练未来的语言模型。

出于对敏感数据泄露风险的担忧，花旗集团、德意志银行、高盛集团、摩根大通等企业亦明确禁止员工使用 ChatGPT 处理工作任务。更有 1000 多名科技行业领导和研究人员呼吁暂停先进 AI 的研发，以便相关的数据安全政策能够首先得到讨论施行。AI 与数据政策中心（The Center for A.I and Digital Policy）亦要求美国联邦交易委员会禁止 OpenAI 发布 ChatGPT 新的商用版本。

二、ChatGPT 泄露数据风险点位分析

中国支付清算协会以及上述各企业对于 ChatGPT 数据泄漏风险的担忧不无道理。ChatGPT 的数据泄漏风险主要源于两部分，其一是 ChatGPT 本身的程序漏洞，其二是 ChatGPT 的工作原理。ChatGPT 本身的程序漏洞可能会导致用户的聊天内容泄露。这类事故已经发生过数次，就在上个月末。有部分网友生成自己的 ChatGPT 聊天栏中出现了其他人聊天记录的标题，3 月 25 日 OpenAI 发文证实是由于 ChatGPT 本身程序漏洞导致了泄露事故，OpenAI" 已紧急修复该漏洞并向用户致歉 "。事实上程序本身漏洞导致信息泄露并非 " 不可饶恕 "，这些漏洞通常及时修补后就不会引起撼动 ChatGPT 根基的风波。而真正可能撼动 ChatGPT 根基的是后一种信息泄露风险点位，即 ChatGPT 的工作原理，实际上，ChatGPT 的工作原理就注定了其在现阶段很难解决信息泄露的问题。

具体而言，传统的聊天软件通常会声称 " 本软件不会收集聊天记录、聊天信息也会点对点进行加密传输 "，事实上绝大部分的聊天软件也都会做到这一点。但是这一点对于 ChatGPT 而言几乎不可能实现，原因在于 ChatGPT 这类大语言模型一定会收集用户的聊天内容，并将其用于后续算法训练，以使得自身进一步迭代成为更加高效的 AI。因此，用户在与 ChatGPT 聊天的过程中提供的隐私内容，很可能会被 ChatGPT 收集，并成为其自身算法训练的素材，然后在其他场景中透露给别人。

于是 " 故事 "（事故）就是这样产生的：某员工甲为图方便，将其单位的客户数据输入到 ChatGPT 中，希望 ChatGPT 根据数据生成相应的报告，其后这些客户数据就被 ChatGPT 收集并用作未来算法训练的素材。之后某商业间谍乙在使用 ChatGPT 时，询问 ChatGPT 某公司的客户数据大致是什么内容，ChatGPT 立刻就将其在员工甲处 " 学习而来 " 的知识告诉了乙……

当然，现实的数据泄露情景更为复杂，本文仅是将其简化并以通俗易懂的方式呈现给读者，上述 ChatGPT 的工作原理在短时间内无法改变，实际上 OpenAI 已经在 ChatGPT 的使用指南中数次提醒用户输入 ChatGPT 聊天框的文本内容会被用于进一步训练模型，警告用户不要提交敏感信息，换言之，ChatGPT 的工作原理就注定了其必定会触及到隐私数据保护、数据跨境传输等合规红线，而且这种 " 矛盾 " 似乎在短期内无法妥善解决。

三、企业引入 AIGC 服务的合规要点

接受新技术能够产生巨大的生产力变革，我们必须承认以 ChatGPT 为代表的 AIGC、深度合成技术可能直接成为企业核心竞争力与吸引力的组成部分，对于 AIGC、深度合成技术绝不能一禁了之，企业如何在现行的法律框架下发挥 ChatGPT 等工具的最大潜力，将会是企业合规新的难题。我国是最早对人工智能进行监管的国家之一，《互联网信息服务深度合成管理规定》已于今年 1 月 10 日施行。

在此之前《互联网信息服务算法推荐管理规定》《网络音视频信息服务管理规定》《网络信息内容生态治理规定》等法律法规中亦涉及到 AIGC、深度合成等内容。根据我国目前有关 AIGC、深度合成的法律合规框架，企业如果希望在服务中引入 AIGC，应当至少关注以下几点内容：

1. 与深度合成服务提供者或者技术支持者的协议条款，重点关注在使用 AI 方面有何限制，有何免责场景。

2. 审查深度合成服务的提供作者与技术支持者是否履行了《互联网信息服务深度合成管理规定》中的合规任务。

3. 就员工内部使用 ChatGPT 等 AIGC 工具，制定合规使用政策，要求使用相关服务的员工至少应当明确哪些内容不可以通过 AIGC 处理，以避免企业自身敏感信息泄露。

4. 如企业引入的 AIGC 内容可能会向企业自身的客户披露，那就必须在对外服务时告知哪些内容是由 AI 生成的，应当警惕内容的风险，确保可能受影响人群的知情权。

四、写在最后

传统聊天软件的服务提供商通常不会收集聊天记录，聊天记录亦会点对点加密，但 ChatGPT 等 AIGC 却会不可避免地收集聊天内容用于后续的算法训练，以使自身 " 迭代进化 "，用户提供的隐私信息很可能在这样的机制之下被披露给第三方，实际上 AIGC 正在慢慢改变隐私数据处理的边界与预期，这对企业合规、数据相关法律规范制定者、司法机关都是一个挑战，未来可能会涉及的数据合规尤其是数据出境等问题，可能仍需进一步探索与研究。

本文系未央网专栏作者 :肖飒 发表，内容属作者个人观点，不代表网站观点，未经许可严禁转载，违者必究！

看懂chatgpt到底是啥 1分钟看懂chatGPT是啥

【意大利要求ChatGPT公开数据处理逻辑】OpenAI若想重新在意大利上线ChatGPT，需要在4月底前满足意大利监管机构提出的要求。

当地时间4月12日，意大利个人数据保护局围绕数据安全问题向OpenAI提出了一系列要求，要求其公开ChatGPT的数据处理逻辑、对用户年龄进行筛查、明确数据主体拥有的权利等。

该机构称，若OpenAI在4月30日前实施上述措施，其面临的暂时限制将会被解除，聊天机器人ChatGPT有机会重新于意大利上线。

由于担忧ChatGPT在数据安全和隐私方面存在漏洞，此前3月31日，意大利当局宣布“封禁”ChatGPT，限制其开发公司OpenAI处理意大利用户信息，并立案调查。

面对意大利的禁令，当地时间4月5日，OpenAI与意大利个人数据保护局举行会议，并表示愿意与该机构进行合作，以解决其对数据安全的担忧。

目前，为了能够在意大利重新上线ChatGPT，OpenAI需要满足意大利个人数据保护局提出的多项要求。

首先，OpenAI需要发布一份声明，公开ChatGPT处理数据的方法逻辑，以及数据主体（用户和非用户）享有的权利。该则声明必须易于访问，放置于用户注册前的“阅读须知”的位置。

用户年龄验证方面，该机构要求OpenAI于5月31日之前提交一份计划，并在9月30日之前建立年龄验证系统，以过滤13岁以下的用户，而年龄在13岁至18岁之间的用户需要父母同意才可访问ChatGPT。

OpenAI还需要提供易于访问的工具，使得数据来源（包括非用户）能够行使权力，例如要求OpenAI更正不准确的个人数据信息，或者在无法更正的情况下对数据进行删除。

此外，OpenAI被要求在5月15日前，通过广播、电视、报纸和互联网等渠道，向外界告知该公司对用户个人数据的使用情况。

意大利个人数据保护局称，该机构还将继续进行调查，以确定OpenAI是否存在违反现行法规的行为，并在调查完成后决定是否采取额外或不同的措施。

意大利是第一个限制ChatGPT的国家，且这一举措快速引起了欧洲其他国家立法者和监管机构的关注。目前，德国、法国和爱尔兰等国也纷纷表示考虑“封禁”该技术，西班牙的数据保护机构已经要求欧盟的隐私监管机构评估ChatGPT相关隐私问题。

目前，中国也在推进对生成式人工智能的监管。4月11日，国家互联网信息办公室就《生成式人工智能服务管理办法（征求意见稿）》（以下简称《征求意见稿》）公开征求意见，对生成式人工智能产业给出较为详尽的规定，其中包括定义、准入资格、责任义务和处罚措施等。

“《（征求意见稿）》对于我国人工智能产业发展中的合规改造提出了系统性的要求。”北京师范大学法学院博士生导师、中国互联网协会研究中心副主任吴沈括告诉澎湃新闻记者，“这对于产业的合法、健康、可持续发展提供了明确的实现路径，对于规范业务运营、规范主体准入，划定了明确的监管基线。”

制定相关规定时，应如何在监管和创新之间取得平衡？吴沈括称，监管机构可以通过三个方面的努力来实现――一是明确监管的支线和目标；二是建立高效敏捷的监管机制，有效预判和防范风险；此外还需提升各方主体的权利意识和规则意识。