场景
苏州工业园区一家做智能客服的科技公司，去年开始用客户对话数据训练自己的行业模型。公司让法务小周写一份《AI训练数据合规说明》，准备随产品一起交给合作方审查。小周熬了两个通宵，写了八页纸，把“我们重视数据安全”“严格遵守法律法规”翻来覆去讲了好几遍。结果合作方的合规负责人只回了一句话：这份文书看不出你们到底怎么做的，没法用。
另一边，公司的一位客户发现自己的通话录音可能被用于模型训练，向公司提出查阅和删除要求。公司翻出用户协议，里面只有一句“用户同意公司为改进服务使用相关数据”。客户不认可，双方僵住了。小周这才意识到，问题不在于态度写得好不好，而在于这份文书能不能说清楚“数据从哪来、凭什么用、用完怎么处理”。
法律规定
写这类文书，先要搞清楚法律到底要求你交代什么。
《个人信息保护法》第4条界定了个人信息的范围，第6条要求处理个人信息有明确、合理的目的，并且与处理目的直接相关、采取对个人权益影响最小的方式。第13条列了处理的合法性基础，第14条讲同意应当由个人在充分知情的前提下自愿、明确作出。第17条要求在处理前以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限等事项。第21条讲委托处理要约定权利义务，第23条讲向第三方提供要单独同意，第24条讲自动化决策的透明度和拒绝权。
训练场景里特别要注意第28、29、30、31条：敏感个人信息要单独同意，不满十四周岁未成年人的信息属于敏感个人信息，要取得监护人同意并制定专门处理规则。第38、39条讲跨境提供的条件。第44至47条讲个人的知情、决定、查阅复制、更正、删除权利。第50条要求建立个人行使权利的申请受理和处理机制，第51条要求制定内部管理制度和操作规程，第55条要求处理敏感个人信息等情形做个人信息保护影响评估。
《数据安全法》第21条讲数据分类分级，第27条要求建立全流程数据安全管理制度，第29条讲风险监测和补救，第30条讲重要数据处理者的风险评估。《网络安全法》第21条讲等级保护制度，第41条讲收集使用个人信息的合法正当必要和公开透明原则。
《生成式人工智能服务管理暂行办法》第7条要求训练数据来源合法、不侵害知识产权和个人信息权益，第9条讲服务提供者的责任，第11条讲对生成内容的标识，第14、15条讲违法内容的处置和配合监督检查。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，涉及数据使用的纠纷，法官往往不是只看协议里有没有“同意”两个字，而是看几件事：告知是否具体、同意是否单独、使用是否超出告知范围、有没有给个人留出拒绝和删除的通道。
普遍倾向是，笼统的“为改进服务使用数据”很难支撑模型训练这种处理方式，因为训练的目的、数据范围、保存期限、是否会对外提供，都跟一般服务使用不一样。文书如果只写原则不写流程，在争议中很难证明自己履行了告知义务和安全管理义务。另外，法院通常会结合处理目的是否明确、数据种类是否敏感、有没有做影响评估、有没有建立响应个人请求的机制来判断过错。
需要说明的是，个案差异很大，具体怎么认定要看证据和事实，上面讲的只是普遍倾向，不是固定结论。
边界与例外
也不是所有数据使用都要取得同意。《个人信息保护法》第13条列了几种合法性基础，比如为订立、履行合同所必需，为履行法定职责或义务所必需，应对突发公共卫生事件等。但“必需”有边界，不能把训练模型说成履行合同必需。
另外，第24条讲自动化决策，个人有权要求说明并拒绝仅通过自动化决策作出对其权益有重大影响的决定。第47条讲删除情形，处理目的已实现、无法实现或者为实现处理目的不再必要时，应当主动删除。第21条委托处理、第23条对外提供，都要单独处理，不能混在一份笼统的说明里。
《生成式人工智能服务管理暂行办法》第7条还特别提到训练数据涉及知识产权和个人信息权益的，不得侵害。这意味着文书里要能说清数据来源的合法性，而不是只写一句“数据来源合法”。
普通人能怎么做
如果你是小周这样的法务，写文书时至少把这几块写实：数据来源分类（自有业务数据、公开数据、合作方提供数据分别说明）；每类数据的合法性基础和处理目的；涉及敏感个人信息或未成年人信息的，单独说明同意和专门规则；数据保存期限和到期处理方式；是否委托处理或对外提供，对应第21、23条的安排；个人行使查阅、更正、删除权利的渠道和响应流程；有没有做个人信息保护影响评估；训练数据的管理制度和技术措施。
如果你是普通用户，看到一份AI服务协议，重点看它有没有告诉你数据用来干什么、用多久、能不能拒绝、怎么删除。只写“同意使用”而不写具体范围的，你可以要求对方说明。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及数据合规、个人信息保护和AI产品审查的事务，帮企业梳理过训练数据来源、告知同意文本和内部管理制度，也协助应对过个人提出的查阅删除请求。这类文书的难点往往不在法律条文本身，而在于把业务实际做法翻译成法律能检验的表述。如果你正在准备类似说明或者收到相关请求，建议尽早把数据和流程摊开来看，别等到争议发生才补文书。