TL;DR

欧盟人工智能法案禁止无差别爬取人脸图像用于构建识别数据库。Future of Privacy Forum 的深度分析指出，这项禁令针对人脸识别系统的供应链，为生物特征数据库运营者带来重大合规挑战。

关键事实

• 监管主体：欧盟，通过人工智能法案第 5 条禁令实施
• 监管内容：禁止无差别爬取人脸图像用于构建人脸识别数据库
• 生效时间：禁令作为欧盟人工智能法案实施的一部分生效
• 影响范围：影响在欧盟市场构建或运营人脸识别服务的公司

事件概述

欧盟人工智能法案已颁布禁令，禁止无差别爬取人脸图像用于构建人脸识别数据库。这项措施被编入人工智能法案第 5 条，是西方监管框架中对生物特征数据收集最重大的限制之一。

Future of Privacy Forum（FPF）发布了一份详细分析，检视了该禁令的范围、执法机制和技术实施挑战。根据 FPF 的分析，该禁令专门针对通过从公共来源大规模收集人脸图像来创建人脸识别数据库的行为，这些收集行为缺乏特定的目标正当性。

这项禁令与早期的生物特征隐私法规不同，它聚焦于数据收集阶段，而非仅仅限制人脸识别技术的部署或使用。运营人脸识别服务的公司现在必须证明其训练数据是通过有目标、经同意或其他合法合规方式获取的。

核心细节

FPF 的分析强调了该禁令的几个关键方面：

• 覆盖范围：禁令适用于无差别爬取，即在无特定识别目的的情况下，从互联网、社交媒体或公共场所不加区分地收集人脸图像
• 数据库创建：禁令专门针对人脸识别数据库的创建和扩展，而非使用现有合法获取的数据集
• 执法机制：每个欧盟成员国的国家主管机构将监督执法，对不合规行为处以重大处罚
• 技术验证挑战：数据库运营者现在必须建立并记录人脸图像的来源，这将产生大量合规成本
• 商业模式影响：基于大规模爬取数据构建服务的公司面临其现有数据库合法性的根本性问题

该法规在有目标收集和无差别收集之间建立了区分。例如，拥有司法授权的执法机构仍可为特定调查收集人脸图像，但无特定目的的大规模数据库构建被禁止。

🔺 独家情报：别处看不到的洞察

置信度: 高 | 新颖度评分: 76/100

大多数报道将此界定为隐私胜利，但其战略意义在于欧盟针对人脸识别供应链而非仅仅是部署环节。该禁令从源头攻击商业模式：Clearview AI、Pimloc 及类似服务的竞争优势建立在公开发布的图像可被爬取的假设之上。人工智能法案从根本上否定了这一前提，迫使企业转向基于同意或窄目标数据获取方式。然而，执法挑战仍未解决：验证数据库不含无差别爬取的图像需要尚未规模化存在的审计机制。

关键影响： 在欧洲运营的人脸识别供应商现在必须投资数据溯源系统和同意管理基础设施，这可能为验证过的人脸图像数据集和第三方审计服务创造市场。

影响分析

对人脸识别服务提供商的影响

在欧盟市场提供人脸识别服务的公司必须对其训练数据来源进行全面审计。依赖网络爬取数据的公司面临战略抉择：退出欧盟市场、通过经同意来源重建数据库，或开发新的获取模式。合规成本将不成比例地影响缺乏成熟数据合作伙伴关系的小型参与者。

对隐私倡导者和监管机构的影响

该禁令为人工智能系统的供给侧监管确立了先例。欧盟没有在部署后限制使用场景，而是向上游移动，限制数据收集实践。这种方式可能影响其他正在考虑生物特征隐私框架的司法管辖区，包括英国、加拿大和若干美国州正在进行的讨论。

值得关注

• 实施第一年各国国家主管机构的执法行动
• 人脸识别数据库来源第三方认证服务的出现
• 受影响公司就限制的相称性提出的法律挑战
• 合规成本推动小型运营者走向被收购或退出的市场整合

相关报道：

• 欧盟人工智能法案禁止在工作场所和学校使用情绪识别 - 另一项针对生物特征人工智能应用的第 5 条禁令

信息来源

• FPF: EU AI Act Ban on Untargeted Facial Scraping — Future of Privacy Forum, 2026