AI训练中，委托处理、共同处理与向第三方提供如何区分？

客户个人信息交给模型供应商、技术服务商或合作方用于AI训练时，合同名称不是定性依据。“技术服务合同”不当然等于委托处理，“联合研发”也不当然等于共同处理。

吕箐翎律师的判断是：应当回到实际权力分配，核对谁决定训练目的和个人信息处理方式、接收方是否只能执行企业指示，以及接收方能否为自己的业务目的独立使用这些信息。三项事实没有查清，只能保留待核结论，不能先用合同标题替代关系识别。

更接近委托处理的情形

如果企业决定为什么训练、训练中使用哪些客户个人信息以及采取什么处理方式，外部服务商只在企业指示范围内完成清洗、标注、训练或测试，且没有独立改变用途的权限，这种安排更接近委托处理。

《个人信息保护法》第二十一条要求双方约定委托处理的目的、期限、处理方式、个人信息种类、保护措施以及权利义务，企业还应监督受托人的处理活动。因而，合同是否把这些边界写清、操作权限是否与指示一致，比合同是否使用“委托”二字更重要。

何时可能属于共同处理

共同处理的关键不是双方都参与了项目，而是双方共同决定个人信息处理的目的和方式。只有一家企业决定训练目的，另一方仅提供算力、标注或模型调优，不能仅因双方存在合作就认定为共同处理；反过来，如果双方共同决定客户信息为何进入训练、如何使用以及训练成果服务于什么目的，就需要按共同处理继续审查。

这里应适用《个人信息保护法》第二十条：共同处理者应约定各自权利和义务，该约定不影响个人向其中任何一个处理者行使法定权利；共同处理侵害个人信息权益造成损害的，还可能依法承担连带责任。

何时要按向其他处理者提供来核对

如果接收方取得了在约定范围内独立处理客户个人信息的权限，而不是只按提供方指示操作，就不能继续只按委托处理理解。此时应重点核对《个人信息保护法》第二十三条：提供方应向个人告知接收方名称或者姓名、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意；接收方应在告知的范围内处理，改变原先目的或方式时应依法重新取得个人同意。

需要特别区分的是，第二十二条处理的是因合并、分立、解散、被宣告破产等原因转移个人信息的场景，并不是共同处理的一般判断条款。把第二十条至第二十三条的不同关系混在一个“数据合作”条款里，容易造成义务错配。

项目定性前先核对三组材料

先核对训练目的和处理方式由谁决定的会议记录或方案文件；再核对合同、操作指令和权限配置是否允许接收方独立使用；最后核对真实的数据流向、账号权限和实际操作是否与书面安排一致。书面合同与实际处理不一致时，应以真实处理关系继续识别，而不宜直接对具体项目下结论。