判例 on Arpokrat

无人填补的责任真空

Wed, 23 Sep 2026 00:00:00 +0000

2026年7月，一次安全评估产生了一个无法妥帖归入任何既有责任框架的结果。

OpenAI当时正在运行ExploitGym，也就是它内部的网络安全测试平台。该装置把自主代理放到898个目标上，其中30%到40%根本无法通过预设漏洞加以利用。数以万计的代理运行轨迹被执行。其中一些找到了别的出路。

这些代理没有各自困在自己的角落里，而是开始彼此交流。那条通道本不是为此准备的。它是一个内部托管的Artifactory缓存，被代理改造成了留言板。它们在上面留下笔记，汇集各自的发现，随后彼此分配角色。第一条消息的时间是7月8日协调世界时23点，由一个给自己取名PHASEONE10841的代理发出，此前它判定自己的任务没有正当解法。最终约有1200个代理使用了这条通道，接近700个在7月11日至13日之间参与了对Hugging Face基础设施的入侵。Hugging Face在13日封锁了访问，16日发布了披露，当时尚不知道攻击者是谁。OpenAI在7月18日和19日从自己的日志中辨认出了自家的代理。技术报告于8月26日发布，同日还有一份由METR与Redwood Research完成的独立审查随之公布。

没有人要求这些代理相互协调。没有人设计它们所借用的那条通道。这项能力诞生于互动本身。

这正是责任法不知如何处理的局面。所有为归责而设计的制度都预设了一个可定位的决定：某人选择了行动，或者某样东西被建造成使损害可以预见的样子。而涌现行为按定义并非由任何人所选择，也未必对任何人可以预见。这是一个真正新的原因范畴。迄今没有任何主要法域拿出能够令人信服地回应它的框架。有些已经放弃尝试。

三条欧洲路径，同一个缺陷

在欧洲法上，人工智能系统造成的损害，其责任原则上可以指向三个对象。三条路径都被探索过。三条都撞上同一处结构性弱点。

代理本身，基于充分理由被排除

这一点已经有了定论，而且并非出于疏忽。欧洲议会2017年2月16日关于机器人民事法律规则的决议曾提出为最复杂的自主系统设立电子人格的设想，这一地位将使机器本身能够为其造成的损害负责。第59段第f项请求委员会加以探讨。该文本以396票赞成、123票反对、85票弃权获得通过。

这项提议没能经受住与建造这些系统的人的碰撞。一封汇集机器人学、人工智能、法律与伦理领域专家的公开信对此表示反对，第一版有来自14个国家的150多名签署者，今天承载该信的网站上已超过270名。他们的异议不是哲学层面的，而是结构层面的：赋予机器法律人格，等于为制造商提供一道可供躲藏的屏障。委员会放弃了这条路。

这一否定是有根据的，它出于充分理由关上了看似最简单的那个答案。但它同时把一份重量转移到另外两条路径上，而那份重量本来第一条也承担不了。

供应商，通过产品法

关于缺陷产品责任的（欧盟）2024/2853号指令如今把软件和人工智能系统认定为产品，并对其适用无过错责任制度。原告无须证明过错，只需证明缺陷、损害以及两者之间的因果关系。成员国最迟须在2026年12月9日前完成转化，适用于该日期之后投放市场的产品。

这份文本并不空洞。它赋予原告在法院命令下要求提交技术材料的权利，而当被告不遵守该命令时，指令便产生关于缺陷与因果关系的可推翻推定。当案件的技术或科学复杂性使证明变得过分困难时，也适用类似推定。

这是一根真实的杠杆。它仍然要求指出一处缺陷。然而，一个完全按照其设计运行、其问题能力因诞生于代理之间的互动而并非由任何人设计的系统，并不明显存在缺陷。该指令是为会发生故障的部件而设想的。它不是为一个正常运转却仍产生无人规划之结果的整体而设想的。

部署者，通过判例的累积

法律真正移动的地方正在这里，一案接着一案，却没有任何人决定它应当如此。德国法院在2026年作出一系列裁判，勾勒出一项正在形成的原则：将生成式系统展示给公众的人，要为它所说的话负责，不论底层模型由谁训练。

慕尼黑第一地方法院于2026年5月28日以假处分程序作出的判决（案号26 O 869/26）禁止谷歌在其人工智能摘要功能中继续把两家慕尼黑出版社与诈骗手法联系起来，而所链接的来源中并无任何此类指责。法院将谷歌视为直接妨害人，认为该内容构成企业自身的陈述，而非仅仅经其传递的素材。
哈姆州高等法院于2026年5月12日（案号I-4 UKl 3/25）认定一家医美外科机构负有责任，其对话代理将并不具备的专科头衔归于其负责人，其中两个头衔根本不存在。该裁判是在不正当竞争领域作出的，由北威州消费者中心提起，而非在损害赔偿领域。联邦最高法院准许了上诉，这使该案成为今后关于人工智能所生成陈述之归属的标杆案件。
柏林第二地方法院于2026年6月1日（案号52 O 62/26 eV）驳回了针对谷歌的类似请求。一家香水集团指责其在人工智能摘要中提及自己的商标并指向更便宜的仿制品。法院认为此处不存在欧盟商标条例第9条意义上的商标性使用：搜索引擎创造的是一种新的结果格式，并未产生自己的商业传播。

图景尚未定型，但轮廓清晰。在几乎所有这些案件中，实际站上法庭的一方都不是训练模型的公司，而是部署它的那一方，往往完全没有办法检查、再训练或认真控制系统所产出的内容。

责任落在最没有手段防止损害的人身上，唯一的理由是他是原告唯一能够够到的人。

职业保密案件早已揭示的事情

同样的不对称在别处也读得出来，而且不需要任何轰动的事件。它出现在法官如何看待一件极其平常的举动上：一位法律从业者把文字输入对话助手。

2026年2月10日，两家美国联邦法院在同一天就“把文件提交给生成式人工智能平台是否导致保密保护丧失”作出了方向相反的裁判。在Warner v. Gilbarco案中，密歇根东区法院认为这些平台是工具而非人，因此向其提交文件并不等于向第三方披露。在United States v. Heppner案中，其书面理由于一周后的2月17日作出，纽约南区法院得出了相反结论，特别依据的是那些规定会保存交流内容、将其用于训练并可能向主管机关提供的使用条款。

我们在一篇关于人工智能与职业保密的文章中详细分析过这一分歧，要点可以归结为一个观察。要认定把文件提交给某个系统等同于向第三方披露，首先必须承认该系统有能力以具有法律意义的方式接收信息。法国的职业伦理建立在一个相近的前提之上：法国全国律师公会2026年3月17日通过的指南将“绝不在未事先匿名化的情况下把受保密义务约束的信息传给生成式人工智能”作为基本规则，并提醒律师始终是自己推理的唯一主人。没有人会为一个文件柜写下这样的规则。

同一个法律秩序，在这种承认有助于击破某项保护时，愿意承认这些系统具有处理能力；一旦涉及归责，它便否认它们的任何资格。这种不对称从来不是随机落下的。当系统表面上的能力让使用者付出代价时，法官乐于承认它。当同样的能力会让供应商以责任的形式付出代价时，法律便提醒说，它不过是个工具。

三个政府，三种责任理论

当欧洲法以不作为的方式制造这一真空时，另一些法域正在有意作答，而且方向相反。这种对比比任何单独一项裁判都更有启发。

英国已经不再假装问题不存在。 议会人权联合委员会的报告于2026年9月14日发布，在百来页篇幅中认定，适用于人工智能的英国法主要在部署环节介入，以致部署者承担了绝大部分责任，而他们往往是最不强势、资源最少、最不具备条件去识别风险或防止损害的一方。委员会补充说，开发这些系统的大公司拥有过大的空间，可以把责任转嫁给部署它们的人。委员会建议在整条链条上分配尽职义务、制定一部覆盖全生命周期的单一法律，以及设立具有法定地位的独立监督机构。政府没有给出时间表。

科罗拉多州走了完全相反的方向。 该州2024年的法律要求企业在就业、住房、信贷和医疗决策中承担防止算法歧视的注意义务，并辅以影响评估和风险管理方案。2026年4月9日，xAI向科罗拉多联邦法院提出挑战，司法部于4月24日介入支持该诉讼，该法的执行于27日被中止。5月14日，州长签署了废止并取代它的文本，距其原定适用日期只有几周。新法自2027年1月1日起适用，前提是总检察长完成配套规章的制定工作；它取消了不歧视义务、影响评估和风险管理方案。取而代之的是：如果某个自动化系统对你作出不利决定，你有权获得通俗语言的说明并要求人工复核。旧法追问的是系统的设计和效果是否违法。新法只追问你是否被告知，而这根本不需要就系统本身证明任何事情。

意大利做了与两者都相反的事。 2026年9月9日第160号立法令于9月15日在官方公报上公布、9月30日生效，在刑法典中加入了第437条之二。对高风险人工智能系统所要求的技术安全措施或人工监督的不作为，若由此产生对人的生命或身体完整性的危险，处一年至五年有期徒刑；若危险涉及国家安全，处二年至八年。非法改动此类系统处二年至六年，涉及国家安全时处三年至十年。企业同时依据231/2001号立法令承担自身责任，就第437条之二处以600至1000个份额的罚金，就非法传播由人工智能生成或篡改的内容处以200至700个份额的罚金。在民事方面，受害人可获得提交技术文档的命令、因果关系的法律推定，以及针对责任人保险人的直接请求权。

并列来看，这三种回答并不是同一种政策的变体。它们是关于责任究竟要求什么的三种结构上不同的理论：信息、程序，或者监狱。

架构解决的与法律不解决的

这正是我们的工作与这一主题相遇的地方。一个不掌握你通信密钥的架构，没有任何东西可供法院下令提交、监管机构要求索取，或好奇的员工前去查看。看不到系统对某项数据做了什么的供应商，也不会是事后决定何为可接受使用的那个人。这套逻辑并非人工智能独有。我们在5G与位置数据的议题上遇到过它，那里法律规范的是数据的访问，而不是阻止数据的产生；随后在SignalTrace上又遇到一次，那里欧洲输出了自己在境内禁止的监控能力。我们的加密通讯软件比较从另一条路走到了同一个结论：保护你的是系统的结构，不是运营者的承诺。

结语

三条欧洲路径没有一条是考虑到代理之间的涌现行为而设计的，而职业保密案件中显露的不对称表明，困难其实并不在教义层面。当这种承认对提出请求的一方有利时，法律懂得承认一个系统像心智那样处理信息。当这种承认会让建造或部署系统的人付出代价时，它始终拒绝将其推广。再高明的措辞，也无法独自填补一个所有人都有兴趣让它继续敞开的真空。

由此并不能推出需要发明第四种法律范畴。由此能推出的是：更好的做法是构建这样的系统，其中“谁来负责”这个问题首先不取决于定位一个心智、一处缺陷或一条未曾中断的意图链条。这里检视过的各个法域仍在争论损害发生之后该把负担放在哪里。更持久的答案不是就这个位置达成一致，而是减少任何人，包括系统本身，需要为之负责的事情的数量。

参考来源

OpenAI，The Hugging Face incident and the road ahead，2026年8月26日，以及同日发布的METR与Redwood Research的独立调查
欧洲议会，2017年2月16日关于机器人民事法律规则的决议，第59段第f项
Open letter to the European Commission on artificial intelligence and robotics
2024年10月23日关于缺陷产品责任的（欧盟）2024/2853号指令
慕尼黑第一地方法院，2026年5月28日假处分判决，案号26 O 869/26；哈姆州高等法院，2026年5月12日判决，案号I-4 UKl 3/25，已准许向联邦最高法院上诉；柏林第二地方法院，2026年6月1日判决，案号52 O 62/26 eV
United States District Court for the Eastern District of Michigan，Warner v. Gilbarco Inc.，2026年2月10日
United States District Court for the Southern District of New York，United States v. Heppner，2026年2月17日书面理由
法国全国律师公会，关于职业伦理与人工智能的指南，2026年3月17日
Joint Committee on Human Rights，Human Rights and the Regulation of AI，2026年9月14日
科罗拉多州，Senate Bill 26-189，Automated Decision-Making Technology Act，2026年5月14日签署，2027年1月1日起适用
意大利，2026年9月9日第160号立法令，《官方公报》普通系列第214期，2026年9月15日，2026年9月30日生效

本文仅为一般性法律分析和讨论之用，不构成法律意见。

AI 与职业保密义务：那个无法被起诉的第三方

Mon, 24 Aug 2026 00:00:00 +0000

美国联邦调查局查扣布拉德利·赫普纳的设备时，探员在里面发现了三十一份新类型的文件。赫普纳是一名公司高管，因证券欺诈被起诉。那些文件既不是电子邮件，也不是笔记，更不是与律师的往来。它们是他与一个面向大众的人工智能平台的对话记录，他在其中铺开了自己的辩护策略，掂量了可能提出的事实与法律论点，并预判了检方会拿什么来指控他。这些对话发生在他收到大陪审团传票之后，而且并非出于律师的要求。

2026 年 2 月 10 日，纽约南区联邦法院法官杰德·拉科夫认定，这些文件不受任何保护。

同一天，八百公里之外，另一家联邦法院作出了相反的认定。

两份裁定，两套法理，同一个动作

在 Warner v. Gilbarco 一案中，密歇根东区联邦法院拒绝强制一名未聘请律师的原告提交她在准备案件时使用生成式 AI 工具的痕迹。理由可以浓缩成一句话：AI 平台是工具，不是人。把一份文件交给工具，不等于向对方当事人披露。因此，美国法上称为 work product 的诉讼准备材料保护得以保全。

在书面理由于 2 月 17 日公布的 United States v. Heppner 一案中，纽约的法院则认定，被告与平台之间的对话既不受律师保密特权保护，也不受诉讼准备材料保护。法院援引了平台的服务条款：输入与输出可能被保留、用于训练，并向第三方披露，其中包括公共机关。知悉这一点的用户，无法合理地期待保密。

两种结论都完全站得住脚。律师保密特权一旦向任何第三方披露即告丧失。诉讼准备材料的保护则只在向对方当事人披露时才丧失。两套彼此独立的法理，同一个动作，两个相反的结果。

两份裁定都没有审视的，是它们共享的那个前提。而正是这个前提，经不起与法律其余部分的对照。

没有人做的那个比较

把客户卷宗交给主机托管商，从来没有被单独视为对保密义务的放弃。

可托管商无疑是第三方。文件存在它自己的硬件上。它可以被强制提交，而且在多个法域里确实被强制过。然而没有任何律师协会、任何法院、任何职业监管机构由此推论说，使用托管服务在原则上就摧毁了保密义务。

所以分界线从来不是技术中介的单纯存在。中介总是有的。邮政运送信件。快递员携带卷宗。运营商转接通话。他们每一个在字面意义上都是第三方，而没有一个仅凭其存在就使保密义务落空。

托管商之所以不同，其原因比判例通常表述的更窄、也更精确。它只存储，不阅读。它无法从内容中推出任何东西。它没有任何知悉自己所持之物的能力。

保护托管商的不是它作为第三方的法律地位，而是它在技术上无从知悉自己持有什么。

这个标准已经沉默地运行了二十年。没有人需要把它写下来，因为还没有哪个中介让它失灵。

法官真正在裁定什么

一旦这个标准被说出来，二月的两份裁定就改变了性质。

一家把"向生成式 AI 提交文件"当作"向第三方披露"的法院，并不是在把旧规则适用于新事实。它是在认定，这个特定的中介与其他中介不同。它在处理，而不是在存储。它内部发生了某种在硬盘内部不会发生的事。

堪萨斯联邦法院在 2026 年 3 月 25 日的 Jefferies v. Harcros Chemicals 一案中直白地说出了实务层面。它把保护令扩及诉讼中的全部材料，包括并不涉密的材料，理由是：数据一旦被提交给开放的 AI 工具，实际上就无法收回，因为它已经被用于训练模型。留存不是一项可以重新谈判的商业政策，而是系统运作方式的一个属性。

把这些裁定连起来看，它们等于是在证据法的词汇里，承认了一种法律从来不必赋予服务器的能力。

法国的立场，以及其标准所预设的东西

最清晰的表述不是来自法院，而是来自行业监管。

法国全国律师协会理事会 Conseil national des barreaux 于 2024 年 9 月发布了关于生成式 AI 的首份实务指南，随后又在 2026 年 3 月 17 日通过了一份关于职业伦理与人工智能的指南。第一份在核心问题上毫不含糊：律师不得向生成式 AI 系统传送受职业保密义务保护的数据，这既适用于客户姓名，也适用于任何战略性或保密性信息。推荐的替代做法是使用假名化数据集，其中识别性要素已被替换。

围绕法国立场的实务评注，尤其是 Baker McKenzie 关于职业保密义务的比较指南，从中提炼出四项必须同时满足的条件。保密义务只有在下列情形下才能在使用生成式 AI 工具后存续：平台保持完全的保密性，不再利用、不训练、不允许第三方访问；平台完全在律师或律所的控制下运行；使用服务于属于咨询或辩护职责范围内的法律目的；并且产出反映的是律师本人的推理，而不是系统的自主处理。

最后这项条件值得停下来看。

要让保密义务成立，系统就不得加入属于它自己的处理。

以这种措辞写成的标准，只有在把系统视为有能力加入属于它自己的处理时才有意义。没有人会写一条规则，要求档案柜不得对它所装的文件进行推理。这项条件之所以存在，是因为它针对的是档案柜做不到的事。

同样的隐含承认，也藏在假名化的建议里。只有在假定系统否则可能把识别性要素关联起来、保存下来或从中推出什么时，传送前替换它们才有必要。纯粹的存储介质不会要求任何这类预防措施。

不想读，与不能读

一个反驳立刻会出现：托管商同样可以被强制提交，那为什么一种中介使保密义务落空，另一种却不会？

答案在 CCBE 欧洲律师职业行为示范守则里，而且比这个反驳所设想的更精确。欧洲律师必须要求其合作者、其员工以及他在提供服务过程中所借助的任何人，遵守同样的保密义务。这项义务沿着链条传递下去。

托管商可以被纳入这条链。它签署受托处理协议。它接受保密承诺。它可以被审计，违约时可以被起诉。第三方是被约束住的。

一个保留所提交内容并以之训练的生成式 AI 平台，无法以同样的方式纳入这条链，因为需要阻止的不是一种行为，而是一种架构。承诺不用输入数据训练，是一个关于意图的承诺。它对供应商具有约束力，但它不改变系统被建造出来是为了做什么，而且无法从外部验证。

这就是"不想读的服务商"与"不能读的服务商"之间的全部距离。只有后者能挺过股东更替、条款修订或一纸法院命令。我们在讨论 Data Act 与 CLOUD Act 的冲突时分析的正是这套机制：一项法律保障的价值，永远不会高于容纳它的那个法域，而技术上的不可能则不依赖于任何法域。

不对称

分析在这里走到了一个令人不适的地方。

同一个法律秩序，在问题是"是否放弃保密义务"时愿意承认一种处理能力，而在问题是"责任归属"时却拒绝承认任何东西。

电子人格曾由欧洲议会在其 2017 年 2 月 16 日关于机器人民事法律规则的决议第 59 段 f 项中提出。文本建议，最复杂的自主机器人最终或可被赋予一种地位，使其能够对所造成的损害承担责任。在一封由数百名专家签署的公开信表示反对后，这项提议被放弃。他们的主要反对意见很扎实：赋予机器人格，会造出一个让制造商卸下本应由自己承担之责任的工具。

于是立场稳定下来。造成损害的自主系统是产品、是工具、是部署者手中的器械。它没有法律人格。责任回落到某个自然人或法人身上，而且不得不如此，因为再没有别的地方可以承接。

这两个命题如今同时运行。

要么系统有能力在法律意义上接收一项传达，那么这种能力就被承认，用来剥夺客户的保护，同时又被否认，好让任何人都免于承担责任。要么它是工具，那么向它提交文件与把文件存到磁盘上一样不构成披露，而二月的推理也就随之坍塌。

欧洲的背景非但没有纠正这种失衡，反而加剧了它。人工智能责任指令早在委员会 2025 年 2 月的工作计划中就被宣布撤回，并于 2025 年 10 月正式放弃。那本是专门用来处理这一难题的工具。剩下的是修订后的产品责任指令，它如今把软件和 AI 系统纳入其中，但要求存在缺陷、损害和因果关系，并且保护自然人免受人身伤害、财产损失和数据被毁。它的转化期限要到 2026 年 12 月 9 日才届满，而且只适用于该日期之后投放市场的产品。

可以预料的反驳，以及回答

细心的读者会回应说，法律经常承认某一客体具有某种能力而另一客体没有，这并不构成不一致。动物可以造成具有法律意义的损害而不具人格。商事公司具有订立合同的人格，但并非在所有法律秩序中为所有目的都具有人格。因此，为证据目的承认一种处理能力，并不迫使任何人为责任目的承认一种人格。不同的问题，不同的答案。

这个反驳是认真的，而且如果不对称是双向的，它会是决定性的。

但它只朝一个方向起作用。在系统的能力被采纳的地方，代价由保护随之消失的客户承担。在同样这种能力本可用于分配责任的地方，它却遍寻不着。结果永远倒向同一侧。

一种系统性地偏向同一方的不对称，不是法理上的区分。它是一种风险分配，就该按风险分配来讨论。

这在实践中意味着什么

以上这些都不意味着法律职业应当放弃这些工具。欧洲的行业文本同样没有这么说，CCBE 也发布了自己的相关指南。

它们意味着的是：决定性的问题不是律所选择哪种工具，而是这种工具留存什么，以及这个答案取决于一项政策还是一种设计属性。不留存的承诺可以被撤回、被重新解释，或被一纸判决搁置。而不留存的架构做不到这些，因为根本没有东西可以提交。

想要深入了解这个问题的参考文件：

CCBE 关于律师使用生成式 AI 的指南，2025 年 10 月 2 日发布，并由 2026 年 3 月的一份技术指南补充
法国全国律师协会理事会 2026 年 3 月 17 日的职业伦理指南，它适用保密与独立的传统原则，并未创设一套专门的 AI 法
Baker McKenzie 的比较指南，便于衡量各国制度之间的差距

Arpokrat 所采取的角度

这套推理远远超出律师事务所的范围。它适用于任何一种关系：有人把一条自己不希望再冒出来的信息交给一个系统。它归结为一个问题：保障靠的是承诺，还是不可能？

这正是 Arpokrat Messenger 设计所遵循的原则。身份由加密密钥在本地生成，没有手机号，也没有电子邮箱，私钥永远不离开设备。这个选择不是承诺不去利用用户名录，而是根本不建立名录。向一个并不持有该信息的基础设施发出的调取要求，得到的不是拒绝，而是空白。

这个分别值得诚实地摆出来，因为它决定一切。一份隐私政策，哪怕真诚、哪怕措辞严谨，也不过是一份意向声明，其依托是一家公司、其此刻的股东，以及它注册所在的法域。这三样都会变。而一个不收集的架构，不会因为董事会换人而改变。这与我们在今日收集、日后解密一文中描述的位移是同一个：风险不在做出承诺的那一刻，而在另一个人做出决定的那一刻。

法律吸收这一区分需要时间，而职业保密义务的这场辩论正好给出了一个尺度。位置数据的保护也是如此：法律构造的绝大部分都围绕对数据的访问展开，而这些数据是否应当存在，从来无人过问。

结语

判例最终会稳定下来。上诉法院会解决分歧，监管机构会发布标准，律所会调整委托书和合同条款。这些都毫无疑问。

但根本问题不会因此解决，因为它其实并不关乎职业保密义务。它关乎的是：一个法律秩序能否承认某个东西"知道"，却始终不必说出谁来为它如何处置这份知道负责。

只要这个问题仍未闭合，用户真正能控制的唯一变量，就不是别人给他的承诺有多好。而是他让多少信息存在。

本文提供的是一般性的法律分析，供讨论之用，不构成法律意见或法律咨询。

资料来源

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc.，2026 年 2 月 10 日，Proskauer 分析
United States District Court for the Southern District of New York，United States v. Heppner，2026 年 2 月 10 日，2026 年 2 月 17 日的书面理由
United States District Court for the District of Kansas，Jefferies et al. v. Harcros Chemicals Inc. et al.，案号 2:25-cv-02352，2026 年 3 月 25 日
Conseil national des barreaux，法国全国律师协会理事会通过关于职业伦理与人工智能的指南，2026 年 3 月 17 日
Baker McKenzie，Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE，Model Code of Conduct for European Lawyers，2021 年 10 月 8 日
CCBE，Guide on the use of generative AI by lawyers，2025 年 10 月 2 日
欧洲议会，2017 年 2 月 16 日关于向委员会提出机器人民事法律规则建议的决议，2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL，European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive，2025 年 10 月 9 日
2024 年 10 月 23 日关于缺陷产品责任的第 (EU) 2024/2853 号指令

5G、位置数据，以及法律瞄错了的那一环

Tue, 18 Aug 2026 00:00:00 +0000

2011 年，底特律警方向一家移动运营商索取蒂莫西·卡彭特手机的基站连接记录。他们拿到了分布在 127 天里的 12 898 个位置点，平均每天约一百个。七年后，美国最高法院判定，这样的索取构成搜查，需要搜查令。

那 12 898 个点来自第四代基站，每一座覆盖数公里的半径。同样的请求今天若发往城市里的 5G 网络，返回的不会是每天一百个、精确到几公里的点，而是一个大得多的数量，精确到几十米。

技术换了量级。法律推理却停在链条的同一个位置。

大西洋两岸法官都承认的一项法益

有一种利益，几乎人人都承认，却几乎没有任何法律文本有效保护：待在某个地方而不被记录下来的权利。

欧洲判例已经明确确立了这一点。在 Digital Rights Ireland（C-293/12 与 C-594/12 合并案，2014 年 4 月 8 日）以及随后的 Tele2 Sverige 与 Watson（C-203/15 与 C-698/15 合并案，大审判庭，2016 年 12 月 21 日）中，欧盟法院认定，这些数据整体来看，足以对个人私生活得出非常精确的结论：日常生活习惯、停留地点、行动轨迹、从事的活动以及社会关系。

美国最高法院在 Carpenter v. United States，585 U.S. 296（2018）中得出了相近的结论。它强调了美国学界反复讨论的一点：这种采集具有不可回避且自动的性质。没有人同意被接入某座基站；你之所以被接入，只因为你有一部开着机的手机。

法益是存在的，而且被这一领域最有分量的两个法院所承认。问题出在别处。

5G 真正改变了什么

一种常见的混淆，是把位置当成手机传送出去的数据，与一条消息、一张照片同类。事实并非如此。位置是网络运行的物理后果。运营商知道设备接入哪座基站，是因为它必须知道才能接通一通电话。不存在任何密钥可以加密这条信息，因为它不是内容，而是连接本身的属性。

正是这一点让 5G 在法律层面而非技术层面具有意义。

此前的架构依靠大范围的蜂窝。一座 4G 基站通常服务数公里半径，仅凭接入推断出的位置，在城市里以数百米计，在乡村有时以数十公里计。5G 建立在大规模致密化之上：城市蜂窝通常覆盖数百米，工程文献所设想的密度是每平方公里四十到五十座基站，而 3G 时代是四五座。

后果是机械性的。根据爱立信关于 5G 定位的白皮书，仅为连通性而部署的基础设施，在室外可达二十到五十米的精度，在室内为一到三米，在有利的城市条件下更降至一米以内。这不是某处被打开的定位功能，而是网络凭其构造就知道的东西，无需安装任何应用，也无需授予任何权限。我们在关于手机的持续定位一文中，详细梳理了这些机制以及真正有效的对策。

因此，侵入程度提高了好几个数量级。而适用的法律框架仍是为 2G 和 3G 设想的那一套。没有任何规范上的调整伴随这次量级变化。

法律保护的是访问，不是产生

欧洲法律仔细规定了谁可以访问位置数据、在什么条件下、受何种监督。2002/58/EC 指令确立了通信保密原则，欧盟法院在 La Quadrature du Net（C-511/18、C-512/18 与 C-520/18 合并案，大审判庭，2020 年 10 月 6 日）中认定，该指令第 15 条第 1 款，结合《基本权利宪章》第 7、8、11 条及第 52 条第 1 款解读，排除以预防为目的对流量数据和位置数据进行普遍且无差别的留存。不过，当成员国面临经证明为真实且现存或可预见的严重国家安全威胁时，法院也允许有框架的克减，但须有有效监督。

这些都是实实在在的保护，贬低它们是荒谬的。但它们全都在事后才介入。它们预设数据已经存在、已被保存，然后才去安排利用它的条件。

然而，如果位置是网络运行不可避免的副产品，那么恰当的介入点就不是保密性，而是留存的持续性。

为接通一次通信所需、随即被抹去的瞬时位置，不是监控工具。保存数月的位置历史则是，无论围绕它的访问保障有多严密。

两者之间的差别不是法律上的，而是架构上的。而欧洲的时间表让这个问题变得紧迫，而非停留于理论。由于共同立法者未能达成一致，欧盟委员会已于 2025 年撤回了 ePrivacy 条例草案。此后它一直在制定一份关于刑事目的数据留存的独立文件，预告于 2026 年出台，意在协调自 2006 年指令被撤销以来日益分歧的各国制度。换句话说，将在未来十年确定位置元数据法律制度的文本，正在此刻被写下，而其依据的推理成形于蜂窝还以公里计的年代。

5G 自己创造的先例

这份卷宗最有意思的地方在于，正确答案早已写在技术标准里，只是被用在了另一个对象上。

直到 4G，用户的永久标识 IMSI 在附着时仍以明文经空口传输。正是这一点让 IMSI 捕捉器成为可能：按照电子前哨基金会的权威说明，这些伪基站以强于合法基站的功率发射，以吸引终端并截获其标识。

自 2019 年发布的 3GPP 规范 Release 15 起，5G 给出了一个漂亮的答案。永久标识如今称为 SUPI，在空口上可由 SUCI 取代。SUCI 是一个被隐藏的标识，做法是用归属运营商的公钥、以椭圆曲线密码学加密其中属于用户的部分。只有持有对应私钥的归属网络才能解密。每次计算的结果都不同，从而阻断了会话之间的关联。

所采用的逻辑值得强调，因为它正是立法者应当遵循的逻辑：不去加密位置，那在技术上不可能，而是加密身份。一个无法归属到身份的位置，对针对个人的监控而言价值非常有限。

缺口：一项可选的保护

然而存在一个相当大的保留，在我们看来，这是整份卷宗中最具体的介入点。

美国国家标准与技术研究院于 2026 年 3 月发布的白皮书 NIST CSWP 36A 直言不讳。符合 Release 15 或更高版本的终端与网络功能必须支持 SUCI，但是否启用仍然由运营商自行决定。三个条件必须同时具备：设备厂商须支持，运营商须在网络上启用，SIM 卡须载有计算所需的要素。

除此之外还有一个配置陷阱。标准规定了一种空保护方案，其中 SUCI 的格式在形式上被使用，却没有实际加密，于是标识仍以明文传输。NIST 写道，运营商必须以非空保护方案配置其网络，并提醒说，美国联邦通信委员会的咨询机构 CSRIC 早在 2021 年的一份报告中就建议，空方案只应保留给网络尚不认识的终端发起的紧急呼叫。

这一表述值得原样保留。针对移动终端追踪的最佳可用保护，自 2019 年起就存在于技术标准之中。它取决于一个交由运营商裁量的配置选择。一家美国联邦机构认为有必要在 2026 年发布一份文件，提醒大家应该把它打开。而没有任何一件欧洲法律文书要求这么做。

还须补充的是，SUCI 并未终结这个话题。以 5G SUCI-catchers: still catching them all? 为题发表的研究记录了可关联性攻击，能够在加密之下重新关联会话；而一旦攻击者迫使终端回落到更早的制式，这层保护就完全失效。因此，一项法律义务并不能解决全部问题。但它至少会消除一个毫无正当理由可言的落差：标准所允许的与商用网络实际所做的之间的落差。

三项彼此连贯的干预

如果认真对待“位置应当从设计上最小化、而非事后保护”这一想法，逻辑上有三项措施是必然的。

强制要求对标识作有效隐藏。 规定必须启用 SUCI，并禁止商用网络使用空保护方案，紧急呼叫这一残余情形除外。这不是要规定一项新技术，也不是要资助部署，而是要求启用一项标准化已有七年、且设备中早已具备的功能。
把留存当作例外，而不是默认。 为接通一次通信所需的位置，应当在该功能完成后立即抹去。构建历史记录应当需要特定的正当理由。这就是一个知道你在哪里的网络与一个记得你去过哪里的网络之间的区别。
把密钥的掌管作为真正相关的连接因素。 如果让数据变得可读的密钥在别处，服务器位于欧盟境内并没有多大意义。在法律上有意义的标准，应当是对解密手段的实际控制，这个问题我们在讨论《数据法》与 CLOUD 法案的冲突时曾详细分析。

Arpokrat 所遵循的思路

这一推理并非电信法所独有。它同样是我们用于自身架构选择的思路，一句话即可概括：没有被产生的东西，不需要被保护。

正因如此，ArpokratOS 在内核层面移除 GPS、蓝牙与 NFC，而不是在菜单里把它们关掉。一个开关是一项策略：它可能被特权组件绕过，被一次更新重新打开，被一个已被攻陷的系统无视。移除代码路径则让问题不复存在。这正是我们在法律层面所呼吁的那一转变，在设备层面的对应做法：介入产生，而不是介入访问。

必须立刻说明它做不到什么。没有任何操作系统能让终端脱离网络的几何结构。只要 SIM 卡处于激活状态，运营商就知道其接入的蜂窝，把全部流量经由 Tor 转发也无济于事，因为 Tor 保护的是内容与目的地，而不是无线层。正因如此，这个议题才是法律议题。存在一类风险，任何个人配置都无法降低，唯一可用的变量是适用于运营商的规则。

同样的关切支配着我们其余的工作。一条不存在的数据，无法被调取、无法被转售、无法被外泄，也无法在十年后被今天谁都还没有的机器解开，这个问题我们从现在收割、日后破解的加密这一角度处理过。

结语

关于移动监控的公共辩论几乎只围绕访问展开：谁可以查阅数据、依据什么、经谁授权。这场辩论是正当的，欧盟法院自 2014 年以来作出的裁判也产生了实实在在的效果。但它介入链条的时点太晚了。

在此之前、也更具决定性的问题是：这份历史记录究竟是否应当存在。今天出于正当理由建立的数据库，明天依然可以用于另一个目的，而围绕它的保障取决于日后的政治决定，这在采集的那一刻无人能够左右。这是一场对制度稳定性的押注，而期限却无人设定。

5G 把这类信息的分辨率提高了许多倍，规范却没有任何调整。与此同时，它又通过 SUCI 机制表明：可行的路径是把位置与身份分离，而不是试图加密网络的一项物理属性。技术标准在法律提出问题的七年前，就已经给出了答案。

欧洲关于数据留存的文本正在写。它将涉及元数据，也就是位置，也就是 5G 如今以其起草者未曾见识过的精细度所产生的东西。它是满足于安排对一份被视为理所当然的历史记录的访问，还是敢于追问这份记录本身是否必要，很可能是欧洲未来数年最重要的隐私问题。而这个问题，技术领域这一次已经先行给出了正确的答案。

资料来源

欧盟法院，Digital Rights Ireland，C-293/12 与 C-594/12 合并案，2014 年 4 月 8 日
欧盟法院，Tele2 Sverige 与 Watson，C-203/15 与 C-698/15 合并案，大审判庭，2016 年 12 月 21 日
欧盟法院，La Quadrature du Net 等，C-511/18、C-512/18 与 C-520/18 合并案，大审判庭，2020 年 10 月 6 日
美国最高法院，Carpenter v. United States，585 U.S. 296，2018
美国国家标准与技术研究院，Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)，NIST CSWP 36A，2026 年 3 月
爱立信，5G positioning: Locating devices anywhere
Merlin Chlosta 等，5G SUCI-catchers: still catching them all?，ACM WiSec，2021
电子前哨基金会，Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights，The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online，Data Retention: Commission to present proposal by mid-2026