事件经过
2026年10月21日至22日，欧盟理事会（成员国，在爱尔兰轮值主席国领导下）就委员会提出的数字综合法案（修订GDPR）通过了其谈判“授权”。理事会立场：（1）拒绝缩小“个人数据”的定义，并保留现有定义；（2）引入关于假名化和自然人识别的新条款；（3）为拟议的减损增加保障措施，该减损允许为生物识别验证以及AI系统的开发和运行（即AI模型训练）处理敏感数据；（4）拒绝建立单一的欧盟层面违规/事件报告门户，转而支持国家入境点加欧盟层面事件报告信息点；以及（5）维持放宽的cookie同意规则。
影响分析
这是一项正在进行的欧盟立法进展，直接为AI发展奠定了数据法律基础。理事会对AI训练数据减损以及AI系统开发/运行的特别类别数据处理立场，是决定哪些个人数据可在欧盟用于训练或运行AI的关键杠杆，而保留广义的“个人数据”定义意味着假名化的AI训练数据仍属于GDPR管辖范围。它塑造了与欧洲议会谈判的最终GDPR/AI综合法案文本，并可能实质性改变欧盟及面向欧盟市场的非欧盟AI提供商的合法依据、“合法利益”测试以及生物识别/AI处理条件。
建议行动
欧盟（及服务欧盟市场）的AI开发者和数据控制者应跟踪关于数字综合法案的三方谈判，为新的假名化和敏感数据来源保障措施做好准备，并审查基于个人数据的AI训练/处理的合法依据，以与新兴的减损条件保持一致。