“AI换脸”侵权场景下个人信息权益的保护边界

　　随着生成式人工智能技术的发展，“AI换脸”技术门槛进一步降低，被更为广泛地应用于娱乐、影视制作等领域。该行为可能涉及肖像权、名誉权、著作权及个人信息权等多项权益侵害。因此，相关个人信息侵权纠纷的处理，需平衡好技术创新、表达自由及个人权益保护之间的关系。

　　只要上传一张人物照片，就可以将照片中的人合成到模板中去，一键换脸，秒变视频主角。这类“换脸”软件风靡一时却不能忽视潜藏的侵权风险。今年6月，北京互联网法院一审开庭宣判两起“AI换脸”软件侵权案件。被告某科技公司未经廖女士和吴女士授权，将其出镜视频去除人脸信息后，用作“换脸”软件的付费模板。法院认为，被告公司此举构成对原告个人信息权益的侵害，一审判决其向原告道歉，并赔偿精神损失和经济损失。该案被誉为北京市首例“AI换脸”软件侵权案。

　　该案的核心争议在于被告公司以技术手段去除原告的人脸信息后，其提供的换脸服务是否仍构成侵权？法院判决认为，该案中即使不涉及肖像权侵犯，未经授权处理他人人脸信息的行为，也构成对个人信息权益的侵犯，行为人应承担相应的侵权责任。该案的判决对同类案件具有重要指导意义，值得深入分析。

　　“AI换脸”侵权行为的类型化审视

　　随着“AI换脸”技术的广泛应用，侵犯肖像权、著作权、个人信息权益等新型侵权行为时有发生。明确“AI换脸”侵权行为的表现形式，是准确认定相关行为、划定技术应用边界的重要前提。此前，未经他人授权擅自使用他人人脸信息制作换脸视频、侵犯他人肖像权等权利，是较为常见的“AI换脸”侵权行为类型。而本案则揭示了“AI换脸”侵权行为的新型样态：即使行为人未实际使用他人人脸信息，仅在未经授权的情况下获取、处理了他人人脸信息，也可能涉及对他人个人信息权益的侵犯。准确认定相关行为，将有助于更清晰地认识“AI换脸”场景下的法律边界。

　　当下，“AI换脸”侵权行为的表现形式已呈现多样化，其法律关系也较为复杂，可能涉及肖像权、名誉权、著作权，以及个人信息权等多项权益侵害。侵权行为包括但不限于如下类型：其一，侵犯肖像权。例如，将明星的人脸替换到影视作品中，或将他人的面部合成到不雅视频中。其二，侵犯名誉权。例如，将视频中的人脸抠取后用于制作鬼畜（注：一种视频制作手法。代表特点为画面和声音重复率极高，且富有强烈的节奏感。）视频，丑化、贬损他人形象。其三，侵犯著作权。例如，在换脸过程中，以电影、电视剧等视频作品片段作为基础，对未经授权的不同视频素材进行混合剪辑。其四，侵犯个人信息权益。未经授权获取、处理、使用人脸信息的行为，均可能涉及对个人信息权益的侵犯。在现实中，“AI换脸”侵权行为可能同时触犯多项权益，构成侵权行为的竞合，还可能涉及不正当竞争，甚至转化为利用“AI换脸”技术实施诈骗、入侵特定个人账户等犯罪行为。

　　个人信息权益侵犯的认定边界

　　该案中被告公司虽以盈利为目的使用了原告的出镜视频，但最终的换脸模板视频由于去除了原始人脸信息，并不具备肖像意义上的“可识别性”，相关行为并非对原告肖像的直接利用，因而不构成肖像权侵犯。此外，原告也未就著作权等请求基础主张权利。因此，法院需处理的核心争议在于被告公司对人脸信息的处理和替换行为，是否侵犯了原告的个人信息权益。

　　首先，需明确被告所获取、处理的原告人脸信息作为重要的生物识别信息，属于敏感个人信息，未经授权对其进行处理，本身就涉嫌侵权。在该案中，以“AI换脸”技术合成新视频的过程并非简单的静态替换，而是通过使用人脸识别技术，结合原视频中的人脸特征进行算法融合，属于对原告敏感个人信息的处理，一旦超越个人同意的场景而被滥用或泄露，流入网络黑灰产渠道，则可能会对信息主体的人格、财产甚至人身安全造成持续性损害，存在不可逆的技术风险。因此，《中华人民共和国个人信息保护法》第二十八条、第二十九条规定，个人信息处理者处理敏感个人信息，应同时满足以下条件：具有特定的目的和充分的必要性，采取严格保护措施，且取得个人的单独同意。根据该规定，被告公司在未经原告同意的情况下，对其敏感个人信息进行处理，违反了单独同意规则，属于未经授权处理他人敏感个人信息的违法行为。尽管最终的换脸模板视频并未侵害具有“可识别性”特征的敏感个人信息，但这并不影响被告公司在对原告的人脸信息进行前期处理时已经涉嫌侵权的事实。

　　其次，仍需细致推敲，是否只要未经同意对敏感个人信息进行处理，均一律属于侵权，特别是在行为人并未实际使用特定人脸信息的情况下，可否基于侵害风险较小等理由给予豁免？这一问题关涉个人信息权益的保护边界。对此，该案判决的立场是，信息处理者对敏感个人信息的处理应当负有更强的保护义务，必须严格贯彻告知同意原则。即使最终未使用特定人脸信息，未经授权处理敏感个人信息的过程本身即构成侵权。包括生物识别信息在内的敏感个人信息，只要被非法处理，即存在实际的侵害风险。因此，对敏感个人信息的处理不仅要使之不具备“可识别性”，即不应以直接或者间接方式识别出特定个体，还必须事先获得用户的单独同意。

　　值得注意的是，《中华人民共和国民法典》第一千零三十六条规定了个人信息处理的豁免情形，例如对自然人自行公开或其他已合法公开的信息进行合理处理。但是，对于未经同意处理敏感个人信息的行为，特别是针对人脸信息等生物识别信息的非法处理，通常难以适用该豁免条款。因为敏感个人信息涉及个体的核心隐私和利益，未经授权的处理行为本身就具有极高的侵害风险，一般难以被认定为“合理处理”。至于原视频中肢体部分的体态、肢体动作特征是否属于个人信息，以及是否可以基于合理处理原则予以豁免，则需要结合具体情况判断。若该体态、肢体动作特征能够识别特定自然人，且与该自然人的重大利益相关，则未经授权的处理行为仍可能构成侵权。

　　个人信息侵权纠纷处理的利益平衡

　　随着生成式人工智能技术的发展，“AI换脸”的技术门槛进一步降低，被更为广泛地应用于娱乐、影视制作等领域，这使得个人信息权益的保护边界争议日益凸显。因此，相关个人信息侵权纠纷的处理，亦需平衡技术创新、表达自由及个人权益保护之间的关系。

　　首先，对于个人信息权益这一重要的私权利，应秉持“严防风险，积极保护”的原则，给予优先保护。特别是未经授权的人脸数据处理，属于对生物识别信息这一敏感个人信息的处理，关涉个体重大利益。涉及相关维权主张时，法院应积极回应当事人的诉求，切实维护其合法权益。相关纠纷的处理往往以当事人的积极主张为前提，对当事人合法权益的保障并不会阻碍技术创新。在个案裁量过程中，还需区分不同的人脸数据使用场景，准确判断是否属于“合理处理”的例外情形，避免“一刀切”，审慎界定个人信息权益的保护边界。针对利用“AI换脸”技术侵害个人信息权益，甚至实施违法犯罪的行为，亦需探索如何提升对敏感个人信息的保护力度。

　　其次，在保护公民个人信息权益的前提下，可通过对创新过程的合规引导，促进技术创新和行业发展。需引导相关企业严格贯彻落实《互联网信息服务深度合成管理规定》《信息安全技术 个人信息处理中告知和同意的实施指南》等规定中关于敏感个人信息收集、存储、使用、删除等环节的要求，督促相关企业履行事前安全评估义务和个人信息保护义务，探索更具有操作性的单独同意方式，以有效防范侵权风险。此外，结合个人信息保护和生成式人工智能技术的发展需求，慎重研究完善生成式人工智能服务场景下人脸信息等敏感个人信息处理、使用的规定，以更好地助推相关创新实践。特别是在视频生成模型训练场景下，是否有必要对未经单独同意处理人脸数据的行为进行特殊界定，仍有待进一步研究。

　　（作者单位：吉林大学法学院）