客户材料能否整包进入AI训练集？最小必要怎么审

客户材料不能因为企业已经合法取得，或者AI训练被称为“内部研发”，就整包进入训练集。取得材料时的业务目的与后续训练目的可能不同；“内部研发”本身也没有说明模型要解决什么具体问题、为什么需要这些个人信息。

吕箐翎律师的判断是：最小必要审查应当落实到具体训练目的、材料类型、个人信息属性、字段、时间范围和访问权限。应核对每一项是否与训练目的直接相关，并比较是否存在同样实现该目的的更小数据范围；存在更小范围时就应收窄。无法说明直接相关性和必要性时，现有事实不足以支持当前范围，更不能概括判断“内部使用即可”。

第一步：先把训练目的写到可以核验

“优化模型”“提升效果”“内部研发”都过于宽泛。应说明模型准备完成哪一项任务、使用对象是谁、需要改善哪类能力，以及拟使用的客户材料在其中发挥什么作用。只有目的足够具体，才能继续判断某类个人信息是否确有必要。

《个人信息保护法》第十三条要求个人信息处理先符合相应的合法基础。材料在原业务中合法取得，不当然证明后续训练处理已经满足同一基础；应针对当前训练目的另行核对。该法第五条、第六条还要求处理遵循合法、正当、必要和诚信原则，具有明确、合理的目的，与处理目的直接相关，并采取对个人权益影响最小的方式。

第二步：把“整包材料”拆成可判断的数据范围

应先按材料类型拆分，例如沟通记录、业务单据、附件和系统字段，再识别其中是否包含个人信息、敏感个人信息，以及哪些具体字段与训练任务有关。不能因为一份文件中有少量有用内容，就推定整份文件、全部附件和完整历史记录都必须纳入。

对于每一类拟入集数据，至少要回答三个问题：这项数据具体支持哪一项训练能力；它与该能力是否直接相关；能否通过缩小字段、时间范围或样本范围达到同一目的。存在能够实现同一目的的更小范围时，应按更小范围收窄；无法说明直接相关性和必要性时，现有材料不足以支持当前拟入集范围。

涉及敏感个人信息的，还要单独核对是否具有特定目的和充分必要性，并是否采取严格保护措施。普通个人信息的入集理由不能直接覆盖敏感个人信息。

第三步：让权限范围也接受最小必要审查

数据范围缩小，不代表访问范围当然合理。还应核对哪些人员或系统因训练任务确需访问、能够访问哪些字段，以及其权限是否超出具体训练目的。把客户材料放入一个对项目成员普遍开放的资料池，与只允许确有任务需要的人员访问，不是同一种最小必要状态。

入集前还缺什么材料

在作出结论前，通常需要一份可核验的训练目的说明、一份拆到材料类型和字段的拟入集清单，以及与该清单对应的必要性说明、时间范围和访问权限记录。信息不足时，就无法完成相应审查，不足以支持客户材料整包入集；应补齐相关事实，或者用能够证明同一事项的其他材料闭合判断。