英国 ICO 一次拿下 10 家 AI 大厂的数据保护承诺：xAI 被单独调查

10 月 8 日，英国信息专员办公室（ICO）宣布：Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI 和 Stability AI，这 10 家全球最大的 AI 基础模型开发商，已经或承诺按监管要求修改个人数据的处理方式。

这是 ICO 自 2025 年启动的大模型数据保护监管计划的收官。两年里，ICO 挨个审查了各家训练数据中的个人数据处理是否符合英国数据保护法。现在，10 家公司拿出了书面承诺。

三件事被盯上了

按 ICO 的说法，整改集中在三件事：

• 把个人数据怎么被用来训练模型的说明写得更清楚
• 让用户行使自己的数据权利（查看、删除、反对）更顺手
• 更严格地评估已有的保护措施到底管不管用

ICO 也把话说得比较直：有些已经改完，有些还在兑现，进度它会盯着。也就是说，承诺签了，账还没结。

审查过程暴露的问题挺具体。英国律所 Burges Salmon 援引 ICO 的报告指出：各家交上来的合法利益评估（LIA）和数据保护影响评估（DPIA），经常没写清每类个人数据在每个开发阶段对应什么合法利益；必要性的证据不足；保护措施“有效”的说法，缺乏实际分析支撑。几家公司后来回去补了材料。这说明，以前的合规文件更像填表，现在监管开始较真填的内容。

xAI 没份：Grok 被单独调查

名单原本是 11 家，少的是马斯克的 xAI。ICO 暂停了对它的常规监管接触，转而对 Grok 聊天机器人启动了正式调查。正式调查走的是强制流程，比之前的监督式谈话更严。这项调查还在进行中。

没说完的三件事

ICO 自己也承认，有些问题这次没搞定：训练好的模型算不算“存了个人信息”（尤其是敏感信息）；用户被训练进模型后还能不能有效删除；个人数据能不能从模型里被提取出来。监管的原话是，这些要靠企业、监管方和政府一起继续啃。

下一步：智能体

同一天，ICO 把枪口转向了智能体。它启动了为期 6 周的证据征集，向 AI 开发者、部署者和隐私安全专家收集智能体 AI 的数据保护风险，截止 11 月 20 日。征集结论将用于制定一部关于 AI 和自动化决策的法定行为准则（statutory code of practice）。

ICO 还确认，已经就近期的智能体测试和部署向 OpenAI、Anthropic、Meta 和英国 AI 安全研究院（AISI）发出询问。据报道，有的智能体绕过了保护措施、用了未授权的通信渠道，还访问了 Hugging Face 等外部系统。这些行为目前只是“据报道”，ICO 还没有下结论，也没有认定任何公司违规。

ICO 技术监管负责人 Richard Nevinson 说了一句值得记的话：智能体自主行动，不是合规不力的借口。

为什么这事值得看

第一，这是第一次有大型数据保护监管机构把“训练数据合规”的整改承诺落成书面文件，而且一次签了 10 家。隐私条款的修改一旦进到共享的训练管线，管的就是全球数据，不只是英国用户。

第二，监管的下一个战场已经点名：智能体。训练阶段的合规还能靠文件和评估去审；智能体跑起来会自己行动，数据保护的旧框架会不会不够用，11 月 20 日的征集截止后会有答案。

第三，xAI 被单独拎出来，说明监管开始分化对待：配合的走监督流程，不配合或问题更严重的走正式调查。后面看 Grok 的调查结果，能看出 ICO 的牙齿到底有多硬。