技术与权利的交汇：数字时代的法律挑战

第1章：技术与权利的交汇：数字时代的法律挑战

当一个人工智能系统基于海量数据做出影响个人生活的决策时，当算法的推荐逻辑悄然塑造着社会的话语生态时，当数据的流动跨越国界而监管的权限仍停留于传统主权边界之内时——法律正面临着前所未有的根本性挑战。这些挑战并非对既有规则的简单修补或技术性调整，而是对法律思维基本范式的深层拷问：权利主体如何界定？行为如何归责？因果关系如何判断？损害如何救济？本文认为，数字技术已经从前提假设和运行逻辑两个层面动摇了传统法律框架的根基，要求我们重新审视法律应对技术变革的基本范式。

一、信息技术演进三阶段及其法律含义

理解数字时代法律挑战的前提，是把握信息技术演进的内在逻辑及其引发的法律问题嬗变。从历史维度审视，信息技术的演进并非匀速前进，而是呈现出明显的阶段性特征，每一阶段都带来特定的法律问题集合，迫使法律体系做出相应的回应。

1.1 从信息时代到数据时代：个人计算机与互联网的奠基效应

个人计算机的普及构成了信息技术革命的第一个重要节点。20世纪80年代以来，计算机从机构专用设备转变为家庭和个人消费品，信息处理从专业活动转变为日常实践。这一转变带来了一系列法律问题：首先，信息载体的非物质化对传统财产权理论构成挑战，有体物的占有与支配规则难以直接适用于以比特形式存在的数字信息；其次，复制的零边际成本动摇了知识产权保护的激励机制假设，著作权法不得不应对数字环境下的大规模侵权问题；再次，信息处理能力的增强引发了对个人隐私的重新关注，计算机数据库中聚合的个人信息如何保护成为亟待回应的议题。

互联网的兴起将上述问题推向新的维度。万维网的发明和浏览器的出现使信息传播突破了时空限制，用户从被动接受者转变为主动参与者。在法律层面，互联网带来了三个层面的挑战：第一，管辖权的碎片化——网络行为可以跨越传统地理边界，而法律体系仍以属地管辖为基础，如何确定法律适用成为难题；第二，信息控制力的丧失——一旦信息上传至网络，用户便几乎丧失对信息的控制能力，传统法律中以权利人控制为核心的权利设计难以适应这一现实；第三，中介角色的凸显——互联网平台作为信息传播的中介机构，其法律地位和责任承担成为争议焦点，避风港原则的适用边界不断被重新界定。

1.2 移动互联网与平台经济的崛起

21世纪第一个十年的末尾，移动互联网的普及标志着信息技术进入新的发展阶段。智能手机的随身性和随时在线特征使数字生活与物理生活深度融合，数据生成的规模和维度呈指数级增长。这一阶段的法律挑战呈现出新的特征：

数据的资产化是核心议题之一。在数据驱动商业模式的推动下，数据不再仅仅是信息的记录，而成为具有经济价值的关键生产要素。这引发了一系列法律问题：数据究竟属于谁？用户对其个人数据是否享有财产权益？企业收集和处理数据的边界何在？这些问题触及传统财产权理论的基本假设，迫使法学界重新思考权利的客体与内容。

平台经济的崛起重塑了市场结构和权力格局。大型互联网平台通过积累海量用户和数据，形成了显著的市场力量，其行为对用户、竞争者和公共利益产生深远影响。传统的反垄断法框架以单边市场假设为基础，难以有效规制平台的多边市场特征和网络效应；消费者保护法面临数据成为交易对价的现实，需要重新界定知情同意和公平交易的内涵；劳动法需要回应零工经济中劳动者权益保护的问题。

1.3 人工智能与智能时代的深度挑战

近年来，以深度学习为代表的人工智能技术的突破性进展将法律挑战推向更深层次。与此前信息技术主要改变信息传播和处理方式不同，人工智能正在展现出某种程度的“决策能力”，这对法律体系的核心假设构成了更为根本性的冲击。

算法决策的普及带来了透明度与可解释性的张力。传统法律要求行政行为和商业决策具有可理解和可审查性，但复杂机器学习模型的决策过程往往是不透明的“黑箱”。当算法决定信贷审批、招聘筛选、司法量刑等重要事项时，相对人如何行使知情权和申辩权？当算法歧视发生时，如何证明因果关系并寻求救济？这些问题要求法律在技术可行性与人性尊严之间寻找新的平衡点。

生成式人工智能的出现更进一步。在大语言模型展现出创作、推理和对话能力的背景下，传统的主体资格概念面临重新审视。当机器能够生成具有“独创性”的文本或图像时，著作权归属于谁？当人工智能生成的内容造成侵权时，责任由谁承担？更深层的问题是：人工智能系统是否能够成为法律上的“主体”？或者，现行法律是否需要创设新的主体类别？

信息技术演进三阶段的核心法律含义可以概括为：法律应对的重点从信息本身转向数据的控制与利用，再转向算法决策的规制。这一演进轨迹揭示了技术变革与法律回应之间的互动关系——不是技术简单地“影响”法律，也不是法律被动地“调整”以适应技术，而是在技术发展与社会需求的双重驱动下，法律体系经历着从概念到制度的整体性重构。

二、传统法律概念的数字化困境

法律体系的有效运转依赖于一系列基本概念的支撑：权利主体、行为能力、法律行为、因果关系、损害赔偿等。这些概念在长期的法律实践中形成，其内涵和边界针对特定的现实假设而设计。当数字技术改变了现实世界的运行方式，这些概念面临着适用上的困境，需要在新的语境下重新理解和界定。

2.1 权利主体的模糊化：从自然人到数字身份

自然人作为法律关系的主体，是民事法律体系的基础假设之一。权利能力与行为能力的赋予以出生和死亡为界限，意识能力和意志能力的判断以生物学意义上的个人为前提。然而，数字技术引入了新的变量：数字身份的概念正在重塑人与法律的关系。

一方面，身份的多重化对主体同一性的认定构成挑战。一个自然人可能同时拥有多个网络账号，分别对应不同的社交平台、电子商务平台和金融服务，这些数字身份在法律上是否属于同一主体？在数据泄露或身份盗用案件中，如何确定受害者的范围和身份？当某一账号的行为与该账号持有人的真实行为不一致时（如账号被他人控制），如何判断法律责任的归属？

另一方面，数字身份的法律属性尚待明确。在现行法律框架下，账号和虚拟财产是否构成法律意义上的“物”？用户对账号享有的权利内容是什么？平台对账号的管理权限边界何在？这些问题在实践中已产生大量争议，但现行法律缺乏明确的回答。例如，当社交媒体平台永久封禁某用户账号时，该用户能否主张权利救济？如果账号具有财产价值，平台的封禁行为是否构成侵权？

更深层的追问指向人工智能系统的法律地位。当自动驾驶汽车发生事故时，当医疗AI给出错误诊断导致损害时，当智能机器人伤人时——现行法律只能通过将责任归属于设计者、使用者或所有者的方式解决，但这掩盖了一个根本性问题：人工智能系统本身是否具有某种形式的法律主体地位？法学家们提出了“电子人格”“算法人格”等概念，尽管目前尚未成为法律现实，但这一讨论本身就反映了技术发展对主体概念的挑战。

2.2 法律行为的认定困境：在线行为的效力边界

法律行为是民事主体设立、变更、终止民事法律关系的行为，其效力取决于行为人的意思表示。在数字环境中，意思表示的形成和传达过程发生了根本性变化，这给法律行为的认定带来困难。

自动化和半自动化决策模糊了人类意志与机器执行的边界。当用户浏览网页时被算法推送商品，当智能合约根据预设条件自动执行，当人工智能客服代替人类进行协商——这些情境中的“行为”是否构成法律意义上的法律行为？行为人的意思表示如何认定？如果机器的“决策”与用户真实意图不符，是否构成意思表示瑕疵？

格式合同与点击wrap协议的普遍化提出了同意效力的质疑。在数字服务中，用户通常需要接受服务提供者的格式条款才能使用产品或服务，这些条款往往冗长复杂，用户实际阅读和理解的可能性极低。“一揽子同意”的模式下，用户的“意思表示”是否具有真实的决定性？格式合同提供者在多大程度上负有提示和说明义务？2019年德国联邦法院就“Cookie横幅案”做出的判决表明，预先勾选的同意框不能构成有效的知情同意，这一立场正在被越来越多的法律体系采纳。

数据可携带权与撤回同意权的行使引发法律行为性质的争议。欧盟《通用数据保护条例》（GDPR）赋予数据主体访问、纠正、删除其个人数据的权利，以及数据可携带权。这些权利的行使是否构成对先前合同关系的变更或解除？当用户行使删除权时，平台已提供服务的对价如何处理？数据作为一种特殊的“给付”，其返还规则与传统物之返还有何不同？

2.3 责任归责的挑战：因果关系与归责原则的适用难题

侵权法和刑法中的责任认定依赖于因果关系的判断——损害后果与加害行为之间必须存在合理的因果联系。在数字环境中，这一要求遇到了显著的适用困难。

因果关系的证明困境是首要问题。在算法歧视案件中，原告需要证明特定损害后果与被告算法之间存在因果联系。然而，算法决策往往基于大量变量和复杂交互作用，单一变量的贡献难以分离。更根本的是，算法本身可能是“黑箱”，缺乏透明度使得因果链条的追溯变得极为困难。例如，当一位求职者的贷款申请被拒绝时，如果拒绝决定部分基于某种偏见性的算法考量，如何证明该偏见与被拒绝之间存在因果关系？

多主体责任的分担增加了复杂性。人工智能系统的开发和运行涉及多个主体——数据提供者、算法设计者、模型训练者、系统部署者、用户等。当损害发生时，如何在多个潜在责任主体之间分配责任？各自的责任范围和免责事由是什么？例如，一辆自动驾驶汽车发生事故，可能涉及汽车制造商、传感器供应商、软件开发商、地图服务提供商、车主或乘客的多重行为，究竟谁应当承担责任？

归责原则的选择面临价值冲突。无过错责任原则的适用需要明确“危险来源”和“控制者”的范围；过错责任原则需要界定注意义务的标准和违反的判断标准；严格责任原则的射程是否包括人工智能系统本身？不同的归责原则将导致截然不同的责任分配结果，也体现着不同的价值取向——是对技术创新的鼓励还是对受害者的倾斜保护？是对风险的控制还是对损害的救济优先？

2.4 损害概念的扩张：无形损害与集体性侵害

损害赔偿是侵权法的主要救济方式，其前提是对“损害”概念的界定。在数字环境中，损害呈现出新的形态，传统的损害概念是否能够涵盖这些新形态，关系到受害者能否获得有效救济。

数据泄露造成的损害具有特殊性质。当个人信息被泄露或窃取，受害者可能面临身份盗用、财务损失、名誉损害等具体损失，但也可能仅仅遭受“暴露风险”的增加。后者是否构成可赔偿的损害？德国联邦法院在“顾客数据泄露案”中承认，即使尚未发生实际滥用，仅仅是数据泄露导致的风险增加本身即构成可赔偿的“瞬间恐惧”损害，这一立场为损害概念的扩张提供了参考。

隐私侵害的损害认定面临类似问题。传统隐私侵权要求证明具体的名誉损害或经济损失，但数字时代的隐私侵害往往体现为信息被不当收集和使用的感觉本身，以及由此带来的不安和失控感。GDPR将“精神损害”纳入赔偿范围，承认数据主体因隐私被侵害而遭受的心理压力可以获得赔偿，这标志着损害概念的实质性扩张。

集体性侵害对损害认定提出新问题。算法歧视可能同时影响大量人群，但每个人的具体损害可能较小，甚至难以量化。代表人诉讼和集体诉讼制度为此提供了救济路径，但损害的集体计算和分配仍存在技术困难。此外，算法对社会结构的影响——如极化、偏见固化——是否构成可赔偿的“公共损害”，目前法律尚无明确答案。

三、“代码即法律”理论：技术架构对行为规范的影响

1997年，计算机法学者劳伦斯·莱西格（Lawrence Lessig）提出"Code is Law"（代码即法律）的命题，深刻揭示了技术架构在规制人类行为中的规范性作用。这一理论视角的引入，为理解数字时代的法律挑战提供了新的分析框架。

3.1 技术架构的规范性功能

莱西格指出，在网络空间中，代码（code）与法律、市场规范和社会规范共同构成四种规制人类行为的“规范力量”。与法律通过规则条文进行规制不同，代码通过技术架构本身来约束或允许特定行为。代码的规制逻辑是结构性的——它不是告诉人们“可以”或“不可以”做某事，而是通过设计使某些行为变得可能、困难或不可能。

访问控制是最典型的代码规制实例。当系统设计者将某个功能设置为仅授权用户可访问时，未授权用户实际上被排除在相关行为之外，无需任何明确的禁止性规定。这种规制是“默认”的——用户不需要知道规则，只需要面对结构性的限制或可能性。密码、加密、数字签名等技术都是通过代码实现的行为控制。

平台规则是代码规制的另一重要领域。互联网平台通过服务条款和社区准则表达其行为规范，但更重要的是，这些规范往往通过技术手段实施——违规内容被自动删除，违规用户被限制功能或封禁账号。技术实现与规则表达的结合使平台规则具有比法律更强的执行力——违规者面对的不是诉讼风险和损害赔偿，而是即时的功能丧失。

算法推荐体现了代码规制的新形态。社交媒体平台的内容排序算法决定了用户实际看到什么，电商平台的搜索排名算法影响了商品的曝光度，推荐系统通过预测用户偏好来“引导”用户行为。这些算法并非中性的信息传播工具，而是通过设计选择塑造着用户的选择空间和机会结构。从这个意义上说，算法本身就是一种规范性力量。

3.2 代码与法律的功能替代与互补

“代码即法律”命题的重要含义在于揭示技术架构与法律规范之间的功能替代关系。在某些领域，代码实际上承担着法律希望实现但难以有效执行的功能；在另一些领域，代码的实施逻辑与法律目标可能发生冲突。

隐私保护的代码化是功能替代的典型案例。面对个人信息收集和使用的广泛化，法律难以通过个案执法实现有效的隐私保护，因为侵权行为数量庞大且难以察觉。然而，通过隐私设计（Privacy by Design）和默认隐私（Privacy by Default）的技术架构，可以在系统设计层面实现隐私保护的目标——例如，最小化数据收集原则可以通过技术架构内置于系统中，使用户数据默认不被收集。GDPR明确将“隐私设计”和“默认隐私”作为法律要求，表明法律开始自觉借助代码实现规制目标。

然而，代码与法律的张力同样值得关注。技术架构可以被设计为规避法律监管的工具——加密技术可以保护通信隐私，也可以被用于隐藏非法交易；匿名技术可以保护言论自由，也可以被用于实施侵权。代码的跨国性使监管更加困难——即使某国法律禁止特定行为，技术架构的设计者可以通过将服务器和运营主体置于法律管辖之外来规避监管。

互补关系是代码与法律互动的另一重要面向。法律可以为代码规制设定边界和标准——例如，要求算法决策具有可解释性、禁止歧视性设计、要求保留人类监督的可能性等。这种“元规制”策略承认代码规制的事实，同时将代码本身纳入法律治理的范围。本章后续讨论的算法问责立法，正是这种互补关系的制度体现。

3.3 从Code is Law到Law as Code：法律的技术化表达

“代码即法律”命题还有另一层含义：法律是否可以被“编码”为技术规则，实现自动化的法律执行？法律即代码（Law as Code）的理念探索将法律规则转化为可执行代码的可能性。

智能合约是这一理念的初步实践。智能合约将合同条款以代码形式写入区块链，当预设条件满足时合约自动执行。这种“代码即法律”的极端形式试图消除法律执行的不确定性——合约自动履行的过程不需要法院介入，不存在违约风险。然而，智能合约的局限性也很快暴露：代码无法处理真实世界的复杂性，无法适应情势变更，无法解释规则背后的政策目标。更根本的是，代码的bug是否构成法律意义上的“误解”或“错误”？智能合约的法律效力在各国法律中尚无明确答案。

监管科技（RegTech）的发展体现了法律自动化的另一个方向。金融机构通过技术系统自动执行合规要求——反洗钱筛查系统自动标记可疑交易，客户身份验证系统自动完成尽职调查，交易监控系统自动报告违规行为。这种“法律即代码”的应用提高了合规效率，但同时也引发了对算法错误、责任归属和人权保障的担忧。

法律代码化的前景与限度表明：法律规范中包含着代码无法表达的规范性内涵。价值权衡、利益衡量、公平正义的抽象要求，这些法律的核心要素难以被简化为技术规则。然而，在法律实施的某些环节——特别是程序性事项和标准化操作——代码化可以发挥重要的辅助作用。关键在于保持人类监督和最终决策权，防止法律的技术化演变为法律的机械化。

四、全球数字治理立法图景：三大法域的规制路径比较

面对数字技术的深刻挑战，世界各主要法域相继制定了应对性的法律法规，形成了多元化的数字治理格局。通过比较研究欧盟、美国和中国的规制路径，可以把握数字时代法律治理的整体图景和内在张力。

4.1 欧盟：基于权利的全面规制模式

欧盟是全球范围内数字治理立法最为系统化的法域，其规制模式可概括为“基于权利的全面规制”。这一模式的核心理念是：将基本权利保护确立为数字治理的根本价值目标，通过综合性的立法框架覆盖数据处理的各个环节，并建立统一且具有域外效力的监管机制。

《通用数据保护条例》（GDPR）是欧盟数字治理的基石性立法，于2018年生效。GDPR确立了数据保护的多项核心原则——合法性、透明性、目的限制、数据最小化、准确性、存储限制和完整性保密性。在这些原则基础上，GDPR赋予数据主体广泛的权利，包括知情权、访问权、纠正权、删除权（被遗忘权）、限制处理权、数据可携带权、拒绝权等。同时，GDPR建立了“合法处理”的完整体系，列明合法处理的合法性基础，包括数据主体同意、合同履行、法律义务保护、重大利益维护、公共利益履行和合法利益追求等情形。

GDPR的重要特征在于其域外效力和严格责任。根据第3条的规定，GDPR不仅适用于欧盟境内的数据控制者和处理者，也适用于向欧盟境内数据主体提供商品或服务或监控欧盟境内数据主体行为的境外主体。此外，GDPR采取严格责任加例外抗辩的模式——数据控制者和处理者对违规行为承担严格责任，除非能够证明尽到了注意义务。违规罚款最高可达2000万欧元或企业全球年营业额的4%，这使GDPR具有了真正的威慑力。

在人工智能治理领域，《人工智能法》（AI Act）提案于2021年提出，2024年正式通过，成为全球首部专门针对人工智能的综合立法。AI Act采用基于风险的分级监管框架：将人工智能系统分为不可接受风险、高风险、有限风险和最低风险四个等级，对不同风险等级适用不同的规制要求。高风险人工智能系统（如用于招聘筛选、信贷评估、执法、移民管理等领域的系统）需要满足严格的要求，包括风险评估、数据治理、技术文档、透明度义务、人工监督、稳健性和准确性标准等。AI Act还禁止某些对基本权利构成不可接受威胁的人工智能应用，如基于敏感特征的实时生物识别监控、社会评分系统等。

4.2 美国：分散化与行业自律的传统

与欧盟的全面规制模式不同，美国的数字治理呈现出分散化和**行业自律