当代码遇见法典：为什么数字时代需要新规则

当代码遇见法典：为什么数字时代需要新规则

一、一个普通人的不普通的一天

2019年的一个普通工作日早晨，北京白领李明像往常一样打开手机，准备用打车软件叫一辆车去上班。让他感到奇怪的是，同一段路程，系统显示的预估价竟然比昨天贵了5块钱。他以为自己眼花了，但反复刷新几次，价格确实更高了。

李明没有多想，以为是高峰期调价。但当他到达公司后，和坐在隔壁工位的同事聊起这件事时，对方却一脸困惑：“不对啊，我也刚从家出发，怎么还是老价格？你是不是搞错了？”

李明愣住了。两个人住在同一个小区，上班地点也相距不远，怎么可能一个价格一个价？

这个看似微小的价格差异，背后藏着远比表面复杂的故事。打车软件通过算法分析李明的历史出行数据、手机型号、使用习惯，甚至他点击“确认下单”的速度——所有这些信息拼凑在一起，形成了一个关于李明的“数字画像”。算法认为他“可能愿意支付更多”，于是悄悄提高了报价。而他的同事，因为历史数据显示她对价格更敏感，系统反而给了她优惠。

这就是经济学上所说的“算法价格歧视”（Algorithmic Price Discrimination）。李明不是个案，无数人每天都在经历着类似的事情——只是大多数人从未意识到，自己的每一次点击、每一次滑动屏幕，都在被记录、被分析、被用来定义自己。

让我们把时间线再拉长一点，看看李明这一天的完整数据足迹。早上7点15分，他用手机APP购买了早餐咖啡，他的消费记录、购买时间、常去店铺被记录在案。7点40分，他扫码骑了一辆共享单车，这次骑行的时间、路线、停留地点被永久保存在某家科技公司的服务器里。8点05分，他叫了网约车，行程起终点被标记，APP还顺便记录了当时手机的电量——这可不是什么贴心功能，电量低意味着用户可能更急着下车，算法可以据此调整调度策略。

到了公司后，李明打开电脑处理工作邮件。中午休息时，他刷了半小时短视频，软件根据他停留的时长、跳过的频率、点赞的内容，为他构建了一个精确的兴趣图谱。下午3点，他用智能手环记录了一次心率监测，运动数据被同步到云端。傍晚6点下班，他在回家的路上路过便利店，用会员卡买了几样日用品，这次消费被加入了他的消费行为档案。晚上8点，他打开智能电视看了部电影，观影时长、中途退出的时间点被精确记录——这能反映用户的“弃剧率”，是流媒体平台调整推荐算法的重要依据。

躺在床上入睡前，李明习惯性地看了一眼手机。他不知道的是，当他滑动屏幕的那一刻，某家数据经纪公司（Data Broker）的服务器上，一份关于他的个人资料又被更新了一个字节。这份资料可能包含几百个甚至上千个数据标签：年龄、职业、收入水平区间、兴趣爱好、健康状况关注度、信用评分、社交活跃度……李明从未见过这份资料，也从未授权过任何公司收集这些信息，更不知道这些信息最终会被卖给谁、用作何种目的。

这就是数字时代每个普通人的日常。我们生活在一个被数据包围的世界里，每一次网络连接、每一次智能设备的使用，都在产生关于我们自己的信息。而这些信息，正在以我们难以想象的方式被收集、分析、交易，最终反过来影响我们自己的生活——有时候是善意的推荐，有时候是隐蔽的歧视。

二、法律的滞后：一个困扰全球的难题

李明的故事只是冰山一角。当我们把视角从个人上升到整个社会，会发现数字技术带来的法律挑战远比“价格歧视”复杂得多。

法律是什么？对于普通大众来说，法律是那个写着“禁止”“必须”“应当”的条文合集，是电视上穿着黑袍的法官敲响的法槌，是我们在遇到纠纷时才会想起的“最后防线”。在传统观念中，法律是严肃的、稳定的、权威的，它代表着国家意志，通过成文条例告诉人们什么可以做、什么不能做。

然而，这套运行了几百年的法律体系，在21世纪的数字浪潮面前，正在经历前所未有的冲击。

让我们先来理解一个核心概念：技术发展的指数级增长。如果把人类历史比作一天24小时，那么：

• 农业文明大约从凌晨3点开始
• 工业革命大约在晚上11点45分才到来
• 而信息技术革命，则是在最后一秒钟内发生的

这种加速发展的态势，用一个数学比喻来说就是：如果一辆车的速度每年翻倍，第一年你感觉它只是快了一点，第十年它可能已经超过了光速——虽然这在物理上不可能，但这个比喻说明了指数级增长的可怕之处。

现在的信息技术就是这样一辆不断加速的车。1990年代，我们还在用拨号上网，一个网页可能需要加载好几分钟。2000年代，宽带普及，网速提升了几十倍。2010年代，智能手机革命，我们随时随地接入互联网。2020年代，5G、人工智能、物联网、元宇宙……技术更新的周期从以“年”为单位缩短到以“月”为单位。

法律呢？ 法律的变化周期从来不是按月计算的。一部法律的制定，往往需要数年甚至数十年的酝酿。法律草案提出后，要经过反复讨论、修改、审议、表决。生效后，还需要配套的司法解释、行政法规、部门规章。更重要的是，法律一旦制定，就具有相对的稳定性，不能朝令夕改，否则社会成员将无所适从。

这种稳定性在过去是优点，在数字时代却成了致命缺陷。立法者可能刚刚为某项技术制定了规则，但技术已经迭代了好几代，原来的规则变得完全过时。

举一个具体的例子。2010年前后，随着智能手机的普及，移动应用开始大量收集用户的位置信息。一时间，围绕手机定位数据的法律问题层出不穷：应用未经用户同意收集位置数据违法吗？将这些数据卖给广告商需要通知用户吗？执法机关是否有权直接向企业调取用户位置数据？

面对这些问题，当时各国法律几乎是一片空白。美国、欧盟、中国都不得不紧急制定或修改相关法规。但等到这些法规真正落地，时间已经过去了五六年。在这五六年里，无数用户的位置数据已经被收集、被交易、被滥用。

这种“法律追着技术跑”的困境，有一个专有名词叫做“法律滞后性”（Regulatory Lag）。这个词描述的正是技术创新速度超过法律适应速度的现象。在传统行业，这个问题的严重程度相对有限，因为那些行业的技术进步通常是渐进式的。但信息技术不同，它的发展是颠覆性的、跳跃式的，今天的“不可能”可能在明天就成为“日常”。

更棘手的是，数字技术还有两个特点让法律滞后性问题雪上加霜：

第一是跨境性。 互联网没有国界。一个美国公司可以向全世界的用户提供服务，一个中国的APP可以在全球几十个国家上线。当某个APP涉嫌侵犯用户隐私时，应该适用哪个国家的法律？如果各国法律各不相同，企业应该遵守哪一套标准？这些问题在传统行业很少出现，但在数字时代却成了家常便饭。

第二是隐蔽性。 算法的运作往往是“黑箱”操作——输入数据，输出结果，但中间发生了什么，外人不得而知。一个用户在电商平台上看到的价格，可能经过了几十层算法模型的计算，但没有人能清楚地解释为什么是这个价格。这给监管带来了极大困难：监管部门甚至不知道该检查什么、怎么检查。

三、三个故事，三大问题

面对数字时代的法律困境，全世界都在寻找答案。在本书中，我们将围绕三个最核心的问题展开讨论。这三个问题分别对应着三种不同的权利边界，都是当前社会争论最激烈、法律空白最多、影响最深远的话题。

问题一：谁动了我的数据？

2018年3月，英国《观察者报》和美国《纽约时报》同时报道了一条震惊全球的新闻：一家名为“剑桥分析”（Cambridge Analytica）的数据分析公司，违规获取了8700万Facebook用户的个人数据，并利用这些数据为政治竞选服务。

这个事件的起因听起来像是一个“蝴蝶效应”。一位名叫亚历山大·科根（Aleksandr Kogan）的剑桥大学研究员，开发了一款性格测试APP。这个APP通过Facebook的开放接口，不仅收集了答题用户的数据，还通过“好友关系”获取了这些用户朋友的数据——每人平均能触达160多位好友的数据。

8700万用户的数据，最终被转手卖给了“剑桥分析”。这家公司表面上是做“政治咨询”的，实际上是通过分析用户的心理特征、兴趣爱好、社交网络，向他们精准推送政治广告，影响他们的投票倾向。有证据显示，这些数据被用于2016年英国脱欧公投和特朗普美国大选。

消息曝光后，Facebook创始人扎克伯格不得不亲自出面道歉，公司股价暴跌，市值蒸发数百亿美元。“剑桥分析”最终破产倒闭。但这起事件的影响远不止于此——它像一颗石子投入平静的湖面，激起了全球范围内对数据隐私保护的巨大关注。

数据隐私（Data Privacy）问题由此成为数字时代法律议题的重中之重。

所谓“数据隐私”，指的是个人控制自己数据的权利——包括谁可以收集我的数据、收集哪些数据、用于什么目的、是否可以删除、是否可以转移给他人。这个概念听起来简单，但在实践中却牵涉到无数复杂的问题：

比如，当你使用某个APP时，平台收集了你的设备信息、IP地址、浏览记录，这些算不算“个人信息”？如果这些数据经过匿名化处理，不再能直接识别你是谁，是否就可以自由使用？如果把这些数据聚合起来形成“大数据”，即使原始的个人数据已经被删除，是否仍然可能通过大数据分析“还原”出你是谁？

再比如，当你在社交媒体上公开发布了一条动态，这条动态算不算“公开信息”？平台是否可以自由使用这些公开信息来训练AI模型？如果某天你删除了这条动态，但已经有人截图保存、已经有人转发、已经有人用AI训练了模型，这些删除是否还有实际意义？

这些问题，在传统法律框架下几乎找不到答案。因为传统法律诞生于纸张时代，信息的收集、存储、使用都有物理痕迹可循。而数字时代的信息是虚拟的、可复制的、难以彻底删除的。我们需要一套全新的法律规则来应对这些新挑战。

问题二：当机器犯错，谁来负责？

2020年6月，美国加州发生了一起震惊科技界的事故。一辆处于自动驾驶状态的特斯拉Model 3，在高速公路上撞上了一辆侧翻的卡车。特斯拉的车主——一个55岁的白人男子——当场死亡。

事故的细节令人不寒而栗。根据事后公布的行车记录仪画面，当时天气晴朗，视线良好。特斯拉的自动驾驶系统Autopilot明明已经识别到了前方的卡车，却没有任何减速或避让的动作。事后调查发现，特斯拉的摄像头和毫米波雷达确实捕捉到了障碍物，但系统的判断是“这不是一个需要躲避的物体”——因为在它的训练数据中，横向停在路面的卡车是一种极其罕见的场景。

这就是人工智能的“阿喀琉斯之踵”（Achilles' Heel）：长尾问题（Long-tail Problem）。AI系统在训练数据充足的常见场景下表现优异，但在极端罕见的情况下可能犯下致命错误。而这些极端情况在训练数据中几乎不存在，AI从来没有“见过”这样的场景，自然也不知道如何应对。

事故发生后，一个尖锐的法律问题浮出水面：谁该为这次事故负责？

是特斯拉公司吗？毕竟它生产了这辆车，安装了这套自动驾驶系统。但特斯拉会辩解说，系统已经明确告知用户需要随时保持注意力、手握方向盘，系统只是“辅助驾驶”而非“完全自动驾驶”，用户没有遵守使用规范是自己的责任。

是车主本人吗？但如果当时确实是系统在控制车辆，车主是否有能力及时介入？一个普通人如何能够预判AI系统会在这个特定场景下失效？

是自动驾驶系统的开发者吗？他们编写的代码、设计的算法、训练的数据决定了系统的行为。但开发者可能会说，系统在绝大多数情况下是安全可靠的，这次事故是概率极低的意外事件。

这就是我们将在本书中深入探讨的第二个核心问题：AI责任（AI Liability）——当人工智能系统造成损害时，谁应该承担责任？如何界定人机协作中的人类责任边界？传统侵权法中的“过失”“因果关系”“责任承担”等概念，在人工智能时代是否需要重新诠释？

这个问题的重要性远不止于交通事故。随着AI在医疗诊断、法律咨询、金融决策等领域的广泛应用，AI系统的错误可能造成的影响越来越大。2019年，亚马逊的AI招聘系统被曝存在性别歧视，自动降权含有“女性”字样的简历。2021年，某个AI辅助医疗系统因为训练数据偏差，错误建议癌症患者停止治疗。这些案例都在呼唤法律的回应。

问题三：代码中的偏见

2016年，美国司法系统引入了一款名为“COMPAS”（Correctional Offender Management Profiling for Alternative Sanctions）的风险评估工具，帮助法官在量刑时评估被告再犯的可能性。

这个工具看起来很“科学”：它基于100多道问卷题目，评估被告的年龄、犯罪史、家庭背景、教育水平、工作状态等因素，然后给出一个1到10分的“风险分数”。分数越高，代表越可能再次犯罪。

然而，普林斯顿大学的研究员安妮·伯克（Anglic Bou）进行的一项研究揭露了这个系统的阴暗面。她通过分析COMPAS系统的预测结果，发现一个令人不安的事实：黑人被告被错误地标记为高风险的概率是白人被告的两倍。

具体来说，在所有最终没有再犯的被试中，黑人被标记为高风险的比例是44.9%，而白人的比例只有23.5%。换句话说，如果你是黑人，即使你真的不会再犯罪，你被系统认为“可能再犯”的概率也几乎是一个白人的两倍。

这不是一个孤立的现象。研究者们发现，类似的偏见广泛存在于各种算法系统中：面部识别系统对深肤色女性的识别准确率显著低于浅肤色男性；贷款审批算法对某些社区的申请人更加严格；简历筛选系统对“非主流”名字的候选人自动降权……

为什么会这样？答案在于“偏见进，偏见出”（Garbage In, Garbage Out）这个铁律。人工智能系统的“智慧”来源于训练数据。如果训练数据本身带有偏见——比如过去几十年里，黑人确实因为系统性歧视而在某些犯罪统计数据中占比更高——那么AI系统“学”到的东西，本身就包含了历史上的不公正。

这就好比一个孩子从小看着大人对某些人特别严厉、对另一些人特别宽容，长大后他也会继承这种偏见。AI没有道德判断能力，它只会忠实地学习数据中的模式——无论这个模式代表的是公平还是偏见。

这就是我们要讨论的第三个核心问题：算法歧视（Algorithmic Discrimination）。当算法决策被应用于信贷审批、司法量刑、医疗分配、就业筛选等高利害场景时，如何确保算法是公正的？如何检测和纠正算法中的歧视性偏见？如果算法歧视导致了实质性的伤害，受害者能否获得救济？

这些问题正在引发全球范围内的激烈争论。有人认为算法是客观的，因为机器没有感情、不会歧视。但越来越多的证据表明，算法的歧视可能比人类的歧视更加隐蔽、更难察觉、更难纠正——因为你甚至不知道自己被歧视了，更不知道该向谁讨个说法。

四、法律的回应：全球立法浪潮

面对这些前所未有的挑战，世界各国政府并没有坐以待毙。从2010年代中期开始，一场全球性的数字立法浪潮悄然兴起。

欧盟走在了最前面。 2018年5月25日，欧盟《通用数据保护条例》（GDPR）正式生效。这部法律被称为“有史以来最严厉的隐私保护法规”，对全世界的数字企业产生了深远影响。

GDPR的核心原则包括：数据最小化（只收集必要的最小数据）、目的限定（数据只能用于明确告知的目的）、存储限制（不再需要时必须删除）、用户赋权（用户有权访问、更正、删除自己的数据）。违反GDPR的企业，最高面临全球年营业额4%的罚款。

对于中国企业来说，GDPR最直接的影响是：只要向欧盟用户提供服务，就必须遵守GDPR的规定。这意味着，即使是完全在中国境内运营的APP，只要它有欧盟用户，就必须符合欧盟的隐私标准。

美国采取了不同的路径。 与欧盟的统一立法不同，美国选择了分领域、分州别的立法模式。2020年通过的《加州隐私权法案》（CPRA）是对2018年《加州消费者隐私法》（CCPA）的升级加强。加州是美国经济总量最大的州，加州的法律往往会成为其他州甚至联邦立法的参考模板。

美国在AI治理方面则相对保守。2023年10月，拜登总统签署了关于人工智能的行政命令，要求联邦政府在使用AI时遵循一系列原则，包括安全评估、公平性评估、隐私保护等。但这只是一个行政命令，法律效力有限，美国至今没有形成完整的联邦层面AI立法。

中国的立法进程同样在加速。 2021年，《数据安全法》和《个人信息保护法》相继出台，与此前施行的《网络安全法》一起，构成了中国数字领域的基本法律框架。此外，针对算法推荐、深度合成、生成式人工智能等新技术，国家网信办等部门也出台了一系列部门规章。

值得注意的是，各国的立法呈现出一些共同的趋势：

第一，从“知情同意”到“默认隐私”的转变。 传统的隐私保护模式依赖用户主动阅读隐私政策、主动勾选同意框。但研究发现，99%的用户不会阅读隐私政策，所谓的“知情同意”形同虚设。新的立法思路是：隐私保护应该是默认设置（Privacy by Default），企业必须主动证明自己收集数据的必要性，而不是让用户自己去发现和拒绝。

第二，算法透明与可解释性的要求。 越来越多的法规开始要求，对个人权益有重大影响的自动化决策必须具有可解释性。用户有权知道为什么算法给了自己一个较低的信用评分，有权要求人工复核。这意味着企业不能再用“商业秘密”作为借口，把算法完全锁在黑箱里。

第三，风险分级与差异化监管。 监管者意识到，不是所有的AI应用都面临同等程度的风险。一个推荐你买什么衣服的算法，和一个决定你是否应该被逮捕的算法，风险等级天差地别。因此，新的立法倾向于根据应用场景的风险等级，采取差异化的监管措施。

五、本书地图：一场关于权利边界的探索

在接下来的十四章中，我们将沿着三条主线，继续深入探索数字时代的法律边界。

第一部分：数据隐私（第二章至第五章）

我们将详细解读数据隐私的法律框架，包括个人信息的界定、数据主体的权利、企业的合规义务等。我们会通过具体案例，分析GDPR、中国《个人信息保护法》等法律的适用范围和实际影响，探讨数据跨境流动的法律问题，以及如何在数据利用与隐私保护之间寻找平衡。

第二部分：AI责任（第六章至第九章）

这一部分将聚焦人工智能的法律责任问题。我们会讨论AI系统的法律主体地位、传统侵权法在AI时代的适用、AI产品质量责任的认定，以及AI伦理与法律的关系。通过分析自动驾驶、医疗AI、金融AI等典型场景，我们将探索人机协作时代责任归属的新规则。

第三部分：算法公平（第十章至第十三章）

我们将深入研究算法歧视问题，探讨算法公平性的内涵与度量方法，分析不同场景下算法歧视的具体表现，以及如何从技术、法律、社会多个层面促进算法公正。特别地，我们会讨论算法审计、算法影响评估等新兴监管工具。

第四部分：治理与未来（第十四章至第十五章）

在接近尾声的部分，我们将把视野从具体问题扩展到整体治理框架，讨论数字时代的多元治理模式——包括政府监管、行业自律、技术标准、国际合作等。最后一章，我们将展望未来，探讨可能改变游戏规则的新技术（如量子计算、脑机接口）可能带来的新法律挑战。

在每一章中，我都会遵循同样的写作原则：用故事开场，从现象切入；以理论支撑，让论证深入；借案例说明，使抽象概念具象化。我希望这本书不仅是一本“法律书”，更是一本帮助你理解数字社会运行规则的“