4. 告知同意机制在AI场景中的落地

告知同意是个人信息保护法制的基石，但在AI场景中，它面临三重现实挑战：一是AI处理链条长、参与方多，用户难以理解"我的数据被谁、以什么方式、用于什么目的"；二是用户画像、自动化决策、生物识别等场景往往涉及敏感信息或对个人权益有重大影响，普通概括同意不足以覆盖；三是同意不是一次性动作，而应贯穿数据全生命周期，支持撤回与变更。本章围绕"分层告知、单独同意、动态同意"三条主线，说明如何在AI产品中把同意机制真正落地。

一、分层告知：把"一次性长文"拆成可理解的层级

传统隐私政策是一份长文档，用户点击"同意"时往往并未真正知情。分层告知的核心思路是：按"即时—摘要—全文"三个层级组织信息，让用户在需要做决定的时刻，看到与当下场景最相关的关键信息，同时保留获取完整说明的路径。

第一层是即时告知，出现在具体功能触发点。例如用户首次开启"智能推荐"时，弹窗只说明：将收集浏览与点击记录、用于生成个性化推荐、可随时在设置中关闭。第二层是摘要告知，以卡片或折叠面板形式，按处理目的分组列出数据类型、使用方式、保存期限、共享对象。第三层是完整告知，即完整隐私政策与专项说明，供需要深入了解的用户查阅。

分层告知的关键不是"少写"，而是"在正确的位置写正确的话"。判断标准是：用户在做出同意动作的那一刻，是否能够理解该动作带来的主要后果。若某功能涉及敏感信息或对权益有重大影响，即时告知必须显著提示，而不能仅藏在摘要层。

二、单独同意：敏感场景不能"打包"

《个人信息保护法》要求，处理敏感个人信息、向他人提供个人信息、用于自动化决策等情形，应取得单独同意。单独同意意味着：不能与其他授权捆绑在一个勾选框里，必须让用户对特定处理活动作出独立、明确的意思表示。

在AI场景中，最典型的单独同意场景包括：

• 生物识别：人脸、声纹、指纹用于身份核验或情绪识别；
• 用户画像：基于行为数据构建标签体系并用于个性化推送；
• 自动化决策：由算法直接决定信贷额度、保险定价、招聘筛选结果；
• 对外提供：将数据共享给第三方模型服务商或广告平台。

落地时，单独同意应满足四个条件：目的特定（一次同意只对应一类处理目的）、动作独立（独立弹窗或独立勾选，默认不勾选）、信息充分（说明处理方式、影响与拒绝后果）、可追溯（记录同意时间、版本、方式与用户标识）。

三、动态同意：支持撤回、变更与到期重获

同意不是"一劳永逸"。动态同意要求系统能够响应用户的撤回、缩小授权范围、变更处理目的，并在授权到期或场景变化时重新获取同意。技术上，这要求同意状态与数据处理逻辑解耦：同意状态集中管理，各业务模块在调用数据前先校验当前授权。

一个可操作的实现方式是建立"同意凭证"机制。用户每次授权生成一条记录，包含：用户ID、处理目的编码、数据类型、授权范围、生效时间、到期时间、同意版本号。业务系统在处理数据前调用同意校验接口，若校验不通过则降级处理（如关闭个性化、改用默认排序）。撤回时，系统应同步停止后续处理，并按法规要求处理已收集数据。

四、典型场景的同意获取与撤回处理

用户画像场景。假设某电商AI推荐系统需要构建"价格敏感度"标签。合规做法是：在"个性化推荐设置"中单独列出该标签用途，说明将基于浏览、加购、比价行为推断，用户可单独关闭。若用户关闭，系统应停止使用该标签，但可继续使用非个性化排序。撤回后，已生成的标签应在合理期限内删除或匿名化，不能继续用于训练。

自动化决策场景。以信贷AI审批为例，系统根据收入、负债、消费行为自动给出额度。此类场景除单独同意外，还应提供"要求人工复核"的选项，并在拒绝授信时告知主要理由。同意记录中应保留决策规则版本号，以便后续审计与异议处理。

生物识别场景。人脸识别用于门禁或支付时，应提供替代验证方式（如密码、IC卡），不能以"不刷脸就不能用"变相强制。采集前需单独弹窗，说明存储方式（本地特征值还是原图）、保存期限、是否上传云端。撤回时，应删除人脸特征值并同步通知下游系统。

五、落地检查要点

在AI产品上线前，可用以下问题自查同意机制是否到位：即时告知是否出现在功能触发点而非仅藏在设置页？单独同意是否独立于其他授权、默认不勾选？同意凭证是否包含目的编码与版本号？撤回后下游处理是否同步停止？自动化决策是否提供人工复核入口？生物识别是否提供替代方案？

告知同意的落地不是法务单方面的工作，而是产品、算法、后端与合规共同参与的系统工程。只有把同意状态作为一等数据对象管理，把校验嵌入数据处理链路，才能在AI场景中既保障用户权益，又支撑业务可持续运行。