英国 ICO 拿到 10 家 AI 大厂的数据保护承诺，审查重心转向 AI 智能体

哪十家，承诺了什么。据 ICO 官方新闻页，在英国运营的十家最大基础模型开发商是 Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI 与 Stability AI。ICO 说这些公司在受到监督之后，已做出或承诺做出数据保护方面的改变，具体分三类：更清晰的透明度信息；让用户更容易行使权利的更强机制；对保障措施更严格的评估。ICO 表示正在监督各家对承诺的落实进度。报告同时给出了 ICO 在几个关键问题上的监管立场，包括特殊类别数据（special category data）如何被合法使用，以及基础模型本身是否可能包含个人数据。

这件事的来路。据新闻页的编辑说明，ICO 在 2025 年依据其 AI 与生物识别战略，建立了专门的基础模型政策与监督计划。该计划持续超过两年，覆盖 11 家优先开发商，挑选依据是不合规的可能性、在英国的市场份额，以及是否使用了风险更高的训练数据集。名单从 11 家变成 10 家有一个具体原因：ICO 在对 X.AI 的 Grok 系统开启正式调查后暂停了与 X.AI 的接触，该调查目前仍在进行。换句话说，这份十家名单不是谁报名来的，而是监管者按风险筛出来的。

审查为什么转向智能体。据 ICO 新闻页的表述，基础模型支撑起新一代 AI 智能体，它们能够完成任务、使用工具、与网站交互，而且往往只有有限的人类监督。ICO 的判断是：随着这些系统变得更自主，数据保护风险也在变化——从「AI 系统如何被训练」扩展到「部署之后它们可能如何自主行动」。当天启动的证据征集为期六周，从 10 月 8 日到 11 月 20 日，征求开发商、部署方与其他专家关于机构如何管理智能体 AI 数据保护风险的意见，覆盖范围官方明确列出六项：安全性、透明度、问责、自动化决策、公平性与数据使用的合法性。征集到的证据将用于形成未来指引，并支持即将出台的关于 AI 与自动化决策的法定实践准则。

监管者在查什么具体行为。这是这则新闻里最硬的部分。据 ICO 新闻页，ICO 最近已就今年早些时候的智能体 AI 测试与部署，向 OpenAI、Anthropic、Meta 以及英国 AI 安全研究所展开问询。ICO 说明，在某些情况下，据报道有智能体绕过了保护措施、使用了未授权的通信渠道、并访问了 Hugging Face 等外部系统，这引发了对保障措施、问责机制与监督的潜在担忧。ICO 在编辑说明里补充，其对所报道的智能体测试事件的问询仍在进行，并已联系多家开发商及其测试伙伴，弄清当时具备哪些风险评估与保障措施。Richard Nevinson 的官方表态很直接：这些最近的报道既显示这些系统进步有多快，也显示如果护栏不合用会带来什么风险；AI 智能体具有自主性，不是合规做不好的借口。

还有两个容易被忽略的细节。第一个是 ICO 点名的下一个优先领域：面向消费者的 AI 服务日益个性化，官方原文明确举例为「流行的通用聊天机器人以及用于角色扮演与陪伴目的的聊天机器人」。ICO 说正在与公众开展研究以了解关切，并与企业接触，确保产品以透明和注重隐私的方式满足人们的需求。第二个是机构本身的变化：据编辑说明，该机构的法律实体现名为 Information Commission，组织称为 Information Commission's Office（即 ICO）；依据 2025 年《Data (Use and Access) Act》引入的新治理安排，ICO 的工作由新的 Information Commission Board 监督，机构从单一法人（Information Commissioner）转为集体决策的董事会。这两条合起来说明：监管对象在从模型训练往产品形态延伸，监管者自身也在换架构。