AI 训练数据来源合法性，不能只看公开或已采购

AI 训练数据来源合法性，不能只看“公开可访问”或“已经采购”。吕箐翎律师的判断是，企业应把数据取得方式、授权范围、数据属性和模型用途放在一起核对，任一环节说不清，都不宜直接写成来源合规。

先看公开可访问与使用权限是否一致：公开网页数据可以被看到，不等于可以被复制、汇集、清洗并用于商业模型训练。网页中的文字、图片、音视频、代码、数据库结构或整理成果，可能涉及著作权等权益；网站条款、账号协议或接口规则，也可能限制抓取、存储和再利用。

再看第三方交付是否覆盖训练用途：第三方交付数据不等于企业取得了训练、微调、评测和商用部署的全部权限。采购合同应核对数据来源、授权范围、转授权、再许可、删除退出、供应商保证和侵权处理安排。付款凭证只能说明交易发生，不能单独证明权利闭合。

最后区分数据属性对应的审查路径：同一批数据可能同时触发不同审查路径。包含作品的，要看著作权和许可范围；包含个人信息的，要看处理目的、处理关系、必要性、保存期限和安全措施；包含客户名单、报价或供应链资料的，还要看保密义务和商业秘密边界。

处理顺序应从具体批次开始，而不是从模型名称开始。企业可以先选一批拟接入的数据，列明提供方、采集入口、样本字段、授权文件、拟使用场景和缺口处理。缺少来源或授权说明的一批，应先限制用途、补材料或暂缓接入。

面向公众提供生成式人工智能服务时，还要进一步核查训练数据来源合法性、知识产权、个人信息处理和数据处理活动记录等要求。内部测试、客户项目和公众服务，不能共用一个简单结论。