3. 个人信息与敏感个人信息的识别与分类

在AI项目中，数据合规的第一道关口不是“能不能用”，而是“用的是什么数据”。如果连一条数据属于一般个人信息还是敏感个人信息都判断不清，后续的授权、脱敏、留存和跨境判断都会失去基准。本节围绕《个人信息保护法》第4条、第28条、第29条以及《信息安全技术 个人信息安全规范》等要求，把识别与分类落到AI训练和推理场景中可执行的操作上。

一、识别起点：先判断“是否属于个人信息”

《个人信息保护法》第4条将个人信息定义为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。这里的关键是“可识别性”。在AI场景中，很多字段单独看不像个人信息，但组合后可以指向特定自然人，就仍然属于个人信息。

例如，一条训练样本包含“设备ID + 精确到秒的时间戳 + 商圈WiFi热点名称”，单独看都不是姓名，但三者组合后可能稳定追踪到某个人的活动轨迹，因此应认定为个人信息。识别时建议采用“直接标识符—准标识符—行为特征”三层扫描：直接标识符包括姓名、手机号、身份证号、人脸、声纹；准标识符包括生日、邮编、设备ID、IP地址；行为特征包括浏览记录、点击序列、位置轨迹、消费偏好。AI训练数据中，行为特征往往数量最大，也最容易被忽略。

二、一般个人信息与敏感个人信息的法定边界

《个人信息保护法》第28条明确，敏感个人信息是“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。第29条进一步要求，处理敏感个人信息应取得个人的单独同意。

在AI场景中，这条边界会以更隐蔽的方式出现。比如，用用户上传的语音训练语音合成模型，声纹属于生物识别信息；用医疗问诊对话训练辅助诊断模型，健康信息属于敏感个人信息；用带GPS轨迹的出行数据训练路径预测模型，行踪轨迹属于敏感个人信息。即使数据已经去掉了姓名，只要仍能识别到具体个人，敏感属性依然成立。

三、AI训练与推理场景的分类分级实操

落地时，建议把分类分级做成一张可执行的判定表，而不是停留在原则层面。以下给出一个面向AI项目的分类分级示例，字段和级别可根据企业实际调整，但判定逻辑应保持一致。

这张表的使用方式不是“贴标签”，而是驱动后续动作。L1可直接进入预训练；L2需在进入训练管线前完成去标识化与重识别风险评估；L3需在特征工程阶段做掩码或哈希；L4则必须走单独同意、影响评估、加密存储和隔离训练环境四道关卡。分类级别越高，可用的训练方式越受限，推理阶段能保留的上下文也越少。

四、把分类结果接入AI数据管线

分类分级只有嵌入数据管线才有意义。建议在数据接入层设置“分类标签”字段，每条样本在入库时即携带级别标记，后续训练任务根据标签自动选择处理策略。例如，L4数据进入训练前必须经过三道检查：是否取得单独同意、是否完成个人信息保护影响评估、是否已加密并隔离存储。任一不满足，训练任务应直接阻断，而不是先训练再补手续。

在推理阶段，分类分级同样影响上下文构造。对于L4数据，推理请求中不应携带原始敏感字段，而应使用脱敏后的特征或摘要；对于L3数据，可在会话内临时使用，但不得写入长期日志。这样做的目的不是降低模型效果，而是把“最小必要”原则变成工程上可执行的约束。

最后需要强调的是，分类分级不是一次性工作。随着模型能力提升，原本认为无法重识别的数据可能变得可识别；随着业务场景变化，原本用于内部训练的数据可能被用于对外推理。因此，建议每季度对训练集和推理日志做一次抽样复核，重点检查L2是否因字段组合升级为L3、L3是否因场景变化升级为L4。只有把识别、分类、处理、复核连成闭环，AI项目才能在合规前提下持续迭代。