立法者拟禁止 AI 公司出售你的健康数据

背景

随着生成式人工智能（AI）在医疗领域的渗透日益加深，用户隐私保护面临前所未有的挑战。近期，美国参议员伊丽莎白·沃伦（Elizabeth Warren，D-MA）和众议员玛丽·盖·斯坎隆（Mary Gay Scanlon，D-PA）计划推出新版《健康与位置数据保护法》（Health and Location Data Protection Act）。

该法案的前身于 2022 年 6 月首次提出，主要禁止数据经纪人（data brokers）收集和销售健康及位置数据。四年后的今天，随着 AI 聊天机器人成为用户披露敏感信息的新渠道，该法案进行了重大修订，旨在适应 AI 时代的需求。新法案不仅扩大了监管范围，禁止其他公司向数据经纪人出售此类数据，还特别将输入到 AI 系统中的数据纳入保护范畴。

与此同时，美国目前缺乏统一的联邦数据隐私框架，尽管多年来各方尝试立法，但进展缓慢。在这种背景下，AI 公司如 OpenAI、Anthropic 和 xAI 纷纷进军医疗健康领域，引发了关于数据安全和隐私保护的广泛担忧。

核心内容

新版《健康与位置数据保护法》的核心目标是限制包括 AI 聊天服务在内的各类公司向数据经纪人出售美国人的健康和位置信息。

1. 监管范围的扩展 旧版法案仅针对数据经纪人。新法案则进一步禁止其他公司（包括 AI 公司）将用户的健康和位置数据出售给数据经纪人。这一修订特别针对那些通过 AI 系统收集用户输入数据的企业，确保用户在与 ChatGPT 或 Claude 等 AI 聊天机器人交互时披露的信息受到同等保护。

2. AI 公司在医疗领域的激进布局 各大 AI 实验室正积极构建健康和医疗产品，这加剧了数据隐私的风险：

• xAI / Grok：今年 1 月，Elon Musk 公开呼吁人们将 MRI 扫描等医疗记录上传至 xAI 的聊天机器人 Grok。
• OpenAI / ChatGPT：同月，OpenAI 推出了 ChatGPT Health，这是一个被视为更安全的沙盒式标签页，鼓励用户上传医疗记录和其他敏感信息。此外，OpenAI 还推出了面向医疗提供者的 ChatGPT for Healthcare。
• Anthropic / Claude：在 OpenAI 发布后的几天内，Anthropic 迅速跟进，推出了 Claude for Healthcare。这是一款面向个人、医疗提供者和医院的“HIPAA 就绪”（符合《健康保险流通与责任法案》要求）工具。

3. 法律保护的缺失与现状 尽管 AI 公司推出了医疗相关产品，但用户在面对数据泄露或未授权访问时，往往处于被动地位。伊利诺伊大学厄巴纳-香槟分校的法学教授 Sara Gerke 向 The Verge 指出，OpenAI 和 Anthropic 等工具的数据保护“很大程度上取决于公司在隐私政策和用户条款中的承诺”。由于美国缺乏整体性的联邦数据隐私框架，这种依赖企业自我监管的模式存在巨大漏洞。

4. 法案的执行机制与资金支持 该法案由参议员 Ron Wyden（D-OR）和 Bernie Sanders（I-VT）共同赞助，并包含具体的执行条款：

• 快速立法：要求联邦贸易委员会（FTC）在 180 天内制定相关规则。
• 多方诉讼权：允许 FTC、州总检察长以及受影响的个人提起诉讼以强制执行该法案。
• 资金保障：在未来 10 年内为 FTC 执行该法案划拨 10 亿美元专项资金。

关键要点

• 禁止数据买卖：新法案旨在全面禁止向数据经纪人出售美国人的健康和位置信息，无论这些数据是通过传统渠道还是通过 AI 聊天机器人（如 ChatGPT、Claude）获取的。
• 填补法律空白：针对 AI 时代的新风险，将“输入到 AI 系统的数据”明确纳入受保护范围，弥补了 2022 年旧版法案的不足。
• 行业乱象凸显：Elon Musk、OpenAI 和 Anthropic 等巨头纷纷鼓励或允许用户上传敏感医疗数据，但在缺乏联邦法律约束的情况下，用户隐私高度依赖企业的隐私政策。
• 强化执法力度：法案赋予 FTC、州总检察长和个人起诉权，并承诺提供 10 亿美元的长期执法资金，以确保法律落地。
• 参议员立场：伊丽莎白·沃伦参议员强调，打击那些通过出售美国人最敏感信息来获取巨额利润的数据经纪人比以往任何时候都更重要，特别是在更多人将私人健康数据输入 AI 的背景下。

意义与影响

1. 确立 AI 数据隐私的新基准 如果该法案通过，它将成为美国在 AI 数据隐私领域的重要里程碑。它明确指出了 AI 公司不能像传统数据经纪人那样随意买卖用户敏感信息，特别是健康和位置数据。这将迫使 AI 公司重新评估其数据收集、存储和共享策略。

2. 遏制“数据经纪人”产业链 法案直指数据经纪人这一灰色产业链。通过禁止 AI 公司和其他企业向数据经纪人出售数据，法案试图切断敏感信息流入黑市或被滥用的渠道。沃伦参议员提到的“最高出价者”利用数据的问题，正是该法案试图解决的核心痛点。

3. 推动联邦数据隐私立法的进程 尽管美国多年来未能通过全面的联邦数据隐私法，但此类针对特定高风险领域（如健康数据、AI 数据）的立法尝试，可能为未来的全面立法铺平道路。它展示了立法者如何应对技术快速迭代带来的监管滞后问题。

4. 增加 AI 医疗产品的合规成本 对于 OpenAI、Anthropic、xAI 等公司而言，这意味着它们必须更加谨慎地处理用户上传的医疗数据。虽然它们推出了“HIPAA 就绪”工具，但新法案要求 FTC 制定具体规则，这可能带来更严格的合规要求，增加运营成本，但也可能提升用户对 AI 医疗产品的信任度。

5. 赋予个人更多维权手段 通过允许受影响的个人提起诉讼，法案赋予了用户更强的法律武器。这改变了以往用户面对数据泄露时只能依赖企业自我纠错的局面，增加了 AI 公司违规的成本。