范式危机：数字技术对传统法律秩序的挑战

2018年，当剑桥分析公司（Cambridge Analytica）被曝光通过Facebook平台非法收集8700万用户数据，并利用心理画像算法精准投放政治广告以影响美国大选与英国脱欧公投时，一场静默的范式危机终于以公共丑闻的形式进入主流视野。然而，这并非孤例。从美国各州法院采用的COMPAS（Correctional Offender Management Profiling for Alternative Sanctions）累犯风险评估算法，到荷兰最高法院因使用反欺诈系统SyRI（System Risk Indication）而判定其违反《欧洲人权公约》；从中国监管部门对算法歧视、"大数据杀熟"的专项整治，到欧盟历时五年制定的《人工智能法案》在2024年正式生效——一系列事件共同指向一个根本性命题：当代码日益承担规则制定与执行的功能时，以立法、执法、司法为核心的传统法律运行机制如何回应？这是数字时代法律理论必须回答的首要问题，也是本书展开全部讨论的逻辑起点。本章作为全书导论，将从技术逻辑、规范失灵、全球回应与理论重构四个层面，系统阐释数字技术对传统法律秩序的根本性冲击，并提出贯穿全书的双向互动分析框架。

一、数字技术的"代码性"与法律的"规范性"：本体论层面的结构性张力

数字技术对法律秩序的冲击，首先体现在其与法律规范之间存在深层的本体论差异。理解这种差异，是把握范式危机的逻辑前提。

劳伦斯·莱斯格（Lawrence Lessig）在《代码：塑造网络空间的法律》（*Code: And Other Laws of Cyberspace*，1999）中提出"代码即法律"（Code is Law）的著名命题，认为在网络空间中，代码正在替代法律成为规制人们行为的主要机制。这一论断在二十多年后的今天愈发显示出其预见性：算法决策已经渗透到信贷审批、就业筛选、司法量刑、内容分发、社会福利分配等几乎所有重要领域。然而，莱斯格命题的真正锋芒并不在于"代码像法律"，而在于揭示二者在本体论上的根本差异——这种差异正是范式危机的深层根源。

数字技术的"代码性"特征可从三个维度加以把握。第一，数据驱动的决策逻辑。 传统法律以规则（rule）为基础，规则的适用依赖对事实要件的逐一比对；而算法决策以数据（data）为基础，通过对海量数据集的统计学习生成预测模型。这种从规则到相关性的范式转换，使得决策依据从可陈述的规范命题转向难以言说的统计关联。第二，算法黑箱的技术特性。 即便是设计者也难以完全解释深度学习模型的决策路径，这不仅是技术局限，更涉及商业秘密、知识产权与系统安全的多重考量。第三，平台架构的强制性。 代码通过默认设置、接口设计与权限管理直接塑造用户行为空间，这种"被架构的自由"（architected freedom）使得守法问题在很大程度上被转化为无须选择的设计选择。Shoshana Zuboff所称的"监控资本主义"（surveillance capitalism）正是建立在这种架构性权力之上。

与此相对，法律的"规范性"特征表现为三个相互关联的属性。其一，商谈性（deliberative）。 立法过程是多元利益在公开程序下进行理性商谈的过程，规则的正当性源于程序的开放性与论证的可检验性。其二，透明性（transparent）。 法律规范必须公开发布方可生效，法官裁判必须说明理由，这是法治原则的基本要求。其三，可争辩性（contestable）。 法律决定可以通过上诉、申诉、违宪审查等程序被挑战，被错误适用者享有获得救济的权利。这三个属性共同构成了法律的"规范性内核"，也是正当程序原则（due process）的规范基础。

本体论差异所引发的张力，并非简单的"技术快、法律慢"这一表象命题。数字技术的真正颠覆性在于：它改变了规范发挥作用的社会机制本身。当算法在毫秒间完成数百万次交易决策时，法律的程序性时间结构被根本压缩；当代码通过架构强制实现特定行为模式时，法律的意志选择前提被悄然替换；当机器学习模型的决策依据连其设计者都无法解释时，法律的可问责性面临釜底抽薪式的挑战。这不是某一具体规则的滞后，而是法律作为一种规范性秩序的运行前提正在被重新定义。

更进一步，这种张力具有自我强化的特性。代码的运行逻辑遵循效率最大化与规模化的技术理性，而法律的运行逻辑则承载着正义、比例、公平等不可完全还原为效率的多元价值。当平台以"技术中立"为由规避法律评价时，其背后正是两种本体论之间的不可通约性。Frank Easterbrook与Daniel Fischel所提出的"赛博空间无法规制"的早期论断，正是基于这种本体论差异的误读——它将法律规范误认为仅仅是事后裁判规则，而忽视了法律通过塑造行为预期、引导技术路径从而介入代码形成过程的可能性。然而，仅承认这种可能性还不够，关键在于如何构建使这种介入得以实现的制度通道。这是后续章节将要展开的核心议题。

二、技术性正当程序的缺失：算法决策对法治核心原则的冲击

技术性正当程序（technological due process）概念由美国学者Danielle Citron于2008年在《技术性正当程序》一文中正式提出。她指出，算法决策的自动化本质正在系统性地侵蚀传统正当程序所保障的程序性权利。在算法广泛应用于公共与私人决策的当下，这一警示已经从理论预言变为现实挑战。本节聚焦于算法决策对透明度、可问责性与可救济性三大法治支柱的具体冲击，并通过典型案例剖析其失灵机理。

```mermaid flowchart TD A[传统法律运行机制] --> B[立法环节] A --> C[执法环节] A --> D[司法环节] A --> E[守法环节] B --> B1[立法滞后：技术迭代远超立法周期] C --> C1[执法失能：跨境管辖与黑箱识别困难] D --> D1[司法困难：算法不透明导致事实查明障碍] E --> E1[守法异化：代码强制替代意思自治] B1 --> F[范式危机] C1 --> F D1 --> F E1 --> F ```

透明性的冲击：黑箱与解释权的悖论。 透明度原则要求决策者说明作出决定的理由，以便被决定者理解并寻求救济。然而，算法决策的"黑箱性"使得这一原则面临根本性挑战。以COMPAS为例，这一被美国多个州法院用于量刑参考的累犯风险评估算法，其核心模型由Northpointe公司（后并入equivant）作为商业秘密持有。2016年，ProPublica记者Julia Angwin发起调查，发现COMPAS对黑人被告存在系统性误判——其将实际上不会再犯的黑人被告错误标记为"高风险"的概率是白人被告的两倍。然而，由于算法不公开，辩护律师无法在法庭上有效质询量刑依据，只能依赖厂商提供的有限说明。这一案例揭示了一个悖论：正当程序要求决策可解释，但商业秘密保护又限制了算法的解释可能，二者之间的张力构成了算法治理中最棘手的制度难题。

可问责性的冲击：多手问题与责任真空。 责任原则要求违法行为能够追溯到具体的责任主体并施加相应后果。算法决策的多主体参与特征——包括数据提供方、模型设计方、模型训练方、部署方、运营方、用户——构成了Algorithmic Accountability领域著名的"多手问题"（problem of many hands）。当一个算法决策造成损害时，究竟应由数据来源方、模型开发者、平台运营者还是最终用户承担责任？传统侵权法的因果关系链条在算法系统中变得模糊不清。以2018年的Uber自动驾驶汽车致死案为例，事故发生在亚利桑那州坦佩市，涉及行人、Uber测试驾驶员、系统设计方沃尔沃、技术提供方以及Uber本身等多方主体。最终的刑事责任归于安全驾驶员，而民事赔偿则通过Uber的保险机制解决，但算法本身的决策逻辑与责任归属并未得到充分的法律审视。这一案件凸显了算法责任分配的复杂性：法律需要重新识别"决策者"的概念边界。

可救济性的冲击：知情权与举证权的结构性障碍。 正当程序的最终保障在于受到不利影响者能够获得有效救济。算法决策对救济权的冲击体现在两个层面：一是知情权的缺失，被决策者往往不知道自己被算法评估，更不知道评估的具体依据；二是举证权的弱化，由于算法的技术复杂性，受影响者难以承担举证责任证明决策存在歧视或错误。欧盟《通用数据保护条例》（GDPR）第22条试图回应这一挑战，赋予数据主体不受纯粹自动化决策约束的权利以及获得人工干预的权利。然而，该条款的实际效果受到广泛质疑。法国数据保护监管机构CNIL的研究显示，仅有极少数数据主体实际行使了这一权利，主要原因在于知情障碍与举证困难。这一现象提示我们：仅有纸面上的权利宣告远远不够，必须配套以制度化的算法透明度义务、举证责任倒置规则与独立的技术审查机制。

剑桥分析事件是观察这三重冲击的综合性案例。该公司通过一款看似无害的性格测试应用，收集了Facebook用户的个人数据及其好友网络数据，共计涉及8700万用户，最终于2018年被曝光。在透明度层面，受影响的用户既未被告知数据被用于政治画像分析，也无从知晓自己如何被分类与定向；在可问责性层面，数据的非法共享涉及Facebook的数据政策制定者、第三方应用开发者、剑桥分析公司及众多政治客户，责任链条极为复杂；在可救济性层面，受影响的美国选民即便想要寻求救济，也面临管辖权、法律依据与举证能力的多重障碍。最终，剑桥分析公司宣告破产，Facebook虽然被美国联邦贸易委员会（FTC）处以50亿美元罚款，但绝大多数受害用户并未获得实质性救济。这一案例集中体现了算法治理时代法治核心原则所遭遇的系统性冲击。

三、全球数字治理的三大模式比较：欧盟、美国与中国的差异化回应

面对范式危机，主要法域基于各自的制度传统、产业结构与价值取向，形成了差异显著的治理模式。本节通过比较欧盟、美国与中国三种典型模式，揭示数字治理多元路径背后的深层逻辑。

欧盟模式：基于风险的分级规制。 欧盟数字治理的核心理念是以基本权利保护为出发点，采用预防性原则与基于风险的分级监管。这一模式的典型代表是2024年8月正式生效的《人工智能法案》（AI Act）。该法案建立了四类风险等级：不可接受风险（如社会评分、操纵性AI）全面禁止；高风险（如关键基础设施、招聘、教育、司法、执法领域的AI）适用严格的合规要求；有限风险（如聊天机器人）适用透明度义务；最低风险则不施加额外义务。这种分级逻辑源于欧盟一贯的"新方法"（New Approach）传统——通过设定基本安全要求，由技术标准细化具体规范，从而在保护水平与技术发展之间寻求平衡。

在配套制度层面，欧盟通过《通用数据保护条例》（GDPR，2018）、《数字服务法》（DSA，2022）、《数字市场法》（DMA，2022）构建了一个相互衔接的数字治理框架。GDPR保护个人数据权利，DSA规制在线平台的非法内容责任，DMA则针对"守门人"平台实施事前反垄断义务。这种立体化的制度安排体现了欧盟"布鲁塞尔效应"的扩张性影响力——通过域外适用条款，使欧盟标准事实上成为全球数字企业的合规基准。然而，欧盟模式也面临批评：过于严格的合规要求可能抑制创新，对中小科技企业造成不成比例的负担；风险分级的科学性与可操作性仍有待实践检验；对生成式AI等新兴技术的规则供给略显滞后。

美国模式：市场主导与分散规制。 美国的数字治理呈现出明显的市场导向与部门分散特征。与欧盟自上而下的统一立法路径不同，美国更倾向于通过现有法律框架（如反垄断法、消费者保护法、版权法、隐私法）的扩展适用，以及行业特定的部门立法（如《健康保险可携性与责任法案》HIPAA、《儿童在线隐私保护法》COPPA）来回应算法治理挑战。这种模式的核心假设是：现有法律体系经过灵活解释足以应对新技术带来的问题，无需建立全新的数字治理框架。

在联邦层面，美国国会在算法治理领域进展缓慢。2019年与2022年两次提出的《算法问责法案》（Algorithmic Accountability Act）旨在要求大型企业对高风险自动化决策系统进行影响评估，但均未通过。联邦贸易委员会（FTC）依据《FTC法》第5条的"不公平或欺骗性行为"一般条款，承担了主要的执法职能，2021年的《Aiming for truth, fairness, and equity in the FTC's approach to AI》报告确立了算法治理的执法原则。在州层面，加利福尼亚州的《消费者隐私法》（CCPA/CPRA）、伊利诺伊州的《人工智能视频面试法案》（AI Video Interview Act，2020）以及纽约市的Local Law 144（自动化就业决策工具审计法，2023）代表了分散化立法的典型尝试。美国模式的优点在于灵活性与创新友好性，缺点在于规制碎片化、监管确定性差、跨州差异显著，对全国统一标准的形成构成挑战。

中国模式：敏捷治理与综合规制。 中国的数字治理近年来发展迅速，形成了独具特色的"敏捷治理"（agile governance）模式。这一模式的特点是：监管节奏快速响应技术发展，监管工具组合灵活，规制对象覆盖算法、数据、内容、安全等多个维度，并强调政府、企业、社会多元共治。

具体而言，中国近三年密集出台了一系列数字治理规范：2021年的《互联网信息服务算法推荐管理规定》是全球首部专门针对算法推荐的部门规章，确立算法备案、安全评估、标识管理与用户选择权等基本制度；2022年的《互联网信息服务深度合成管理规定》将监管拓展至深度伪造领域；2023年的《生成式人工智能服务管理暂行办法》率先为生成式AI建立专门规则，强调发展与安全并重；2024年的《网络数据安全管理条例》进一步细化数据安全治理框架。这种"小步快跑"的规制节奏，体现了监管者对技术发展的紧密跟踪与快速反应。

中国模式的理论基础是"包容审慎"与"动态调整"的监管理念——在产业发展初期给予较大空间，待问题充分暴露后逐步收紧规则。这种模式的优势在于制度弹性高、调整速度快，能够及时应对新兴风险；挑战在于规则的稳定性与可预期性相对不足，企业的合规成本与不确定性较高，且对基本权利的保障机制有待进一步完善。

三大模式的深层逻辑比较。 三种模式并非简单的国别差异，而是反映了不同的治理哲学。欧盟模式以"权利保护优先"为价值取向，倾向于通过高标准的统一规则确立全球基准；美国模式以"创新效率优先"为价值取向，倾向于通过市场机制与分散监管实现弹性平衡；中国模式以"发展与安全并重"为价值取向，倾向于通过快速迭代的综合规制实现动态治理。这三种模式各有其制度合理性，也各自面临不同类型的挑战。值得指出的是，三种模式正在相互借鉴：欧盟开始关注创新友好性，引入"监管沙盒"机制；美国在州层面加强统一性探索；中国则在个人信息保护、数据安全等领域加强权利保障。这种趋同与分化并存的态势，预示着未来全球数字治理将进入一个多元共治与规则协调并重的新阶段。

四、"代码与规范"双向互动模型：法律规制代码与代码重塑法律的双向建构

面对范式危机，本书主张构建"代码与规范"的双向互动模型。这一模型的核心命题是：在数字时代，法律与代码不再是单向规制关系（法律规制代码），而是相互建构的共生关系（代码也重塑法律）。理解这种双向性，是把握数字时代法律变革的关键。

第一向度：法律对代码的规制。 这是当前学界与实务界关注较多的维度，即如何通过法律手段约束代码的设计与运行。这一向度的核心问题包括：算法决策应当符合何种实质正义标准？算法透明度应当达到何种程度？谁有权要求对算法进行审计？违规使用算法的法律后果如何配置？

在制度层面，法律对代码的规制可通过多种路径实现。事前规制路径包括算法影响评估制度（Algorithmic Impact Assessment）、算法备案制度、监管沙盒机制与强制性标准制定。欧盟AI Act确立的高风险AI事前合规制度、加拿大《自动化决策指令》（Directive on Automated Decision-Making, 2019）要求的算法影响评估，都是这一路径的典型实践。事中规制路径包括持续性监督、独立审计、用户投诉机制与监管机构的技术检查权。例如，欧盟DSA要求超大型在线平台（VLOPs）接受独立审计，中国《算法推荐管理规定》要求算法服务提供者建立用户投诉受理与处理制度。事后规制路径则包括民事赔偿、行政处罚、刑事追责与禁令救济。GDPR第82条规定的损害赔偿请求权、中国《个人信息保护法》第66条规定的行政处罚，都是事后规制的法律工具。

然而，法律对代码的规制面临深刻的可行性挑战。首先是技术能力的不对称——监管者往往缺乏理解与审查复杂算法的技术能力；其次是规则供给的滞后性——法律制定周期远长于技术迭代速度；再次是管辖权的边界模糊——数字活动的跨境性挑战传统的属地与属人原则。这些挑战意味着，法律对代码的规制不能仅依赖传统的"命令—控制"模式，必须发展新型的治理工具与制度安排。

第二向度：代码对法律的重塑。 这一向度被现有研究严重忽视，但其重要性可能更为根本。代码不仅是被规制的对象，也是塑造法律规范本身的积极力量。这种重塑作用体现在多个层面。

其一，代码改变了法律所调整的社会关系结构。 当平台通过算法将供需双方连接为"双边市场"并主导交易规则时，传统劳动法、合同法、竞争法所预设的平等主体关系被结构性重塑。外卖骑手、网约车司机与平台之间的劳动关系争议，正是这一重塑过程的典型表征。其二，代码改变了法律的运行机制。 智能合约（smart contract）的兴起使得合同条款可以通过代码自动执行，传统合同法所设想的违约—救济链条被"代码即执行"所部分替代。区块链技术则在版权保护、证据固定、身份认证等领域引发新的法律问题。其三，代码创造了新型的法律治理工具。 监管科技（RegTech）使得监管者可以实时监控被监管对象的合规状态；智能监管系统（smart regulation）使得规则可以通过代码即时部署与执行。这种"代码化的法律"或"数字化的规范"，正在成为法律运行的新形态。

双向互动的整合性框架。 上述两个向度并非孤立存在，而是相互关联、相互制约的。法律对代码的规制本身也通过代码实现（如同GDPR通过隐私设置界面实现），而代码对法律的重塑又需要在法律框架内进行合法性评价。这种双向性要求我们采取一种新的分析视角：既不将法律视为外在于技术的规范性框架，也不将技术视为中立的价值中立工具，而是将二者视为在特定制度环境中共同演化的耦合系统。

基于这一视角，本书提出"代码与规范"双向互动模型的三项基本命题。第一，法律对代码的规制不是简单的"约束技术"，而是参与到技术发展路径的塑造之中，技术中立性是一个应当被批判的虚构命题。第二，代码对法律的重塑不是技术对法律的取代，而是法律形态的丰富与扩展，法律的核心价值（正义、自由、平等）需要在新的技术环境中被重新表达。第三，双向互动的良性运行需要特定的制