某AI公司处理人脸等生物识别敏感信息未做保护评估案

【案件背景】
2025年，公安机关网安部门在全国范围内持续加强人工智能领域的数据安全监管。在对某AI科技有限公司进行日常网络安全检查时，发现该公司在训练人脸识别算法和声纹分析AI模型过程中，大规模采集和处理人脸图像、声纹等生物识别敏感个人信息，但未能提供依法应当事前进行的个人信息保护影响评估（DPIA）报告。进一步调查发现，该公司的训练数据来源涉及从公开网络爬取的人脸照片和语音片段，相关数据主体对此完全不知情，公司也未建立完善的数据安全管理体系。

【违法事实】
经调查认定，该公司存在以下违法行为：
1. 未依法进行个人信息保护影响评估：根据《个人信息保护法》第五十五条，处理敏感个人信息应当事前进行个人信息保护影响评估，并对处理情况进行记录，保存期限不少于三年。该公司处理的人脸图像和声纹数据属于法定的敏感个人信息，但公司在开始处理前未进行任何形式的DPIA，也未对处理情况记录存档；
2. 缺乏合法的处理基础：公司从互联网公开来源（社交媒体、新闻图片网站、公开语音语料库等）大规模爬取人脸照片和语音数据用于AI模型训练，但未取得数据主体的知情同意，也未论证处理活动是否符合《个人信息保护法》第十三条规定的任一合法性基础。特别是，将人脸图像提取生物特征（面部特征向量）并进行1:N比对训练的行为，构成对生物识别信息这一敏感个人信息的处理；
3. 未充分履行告知义务：《个人信息保护法》第十七条规定，处理个人信息前应当以显著方式、清晰易懂的语言向个人告知处理目的、方式、信息种类、保存期限等事项。该公司从未向被采集人脸和声纹信息的个人进行任何形式的告知，属于严重违反告知义务；
4. 缺乏数据安全管理制度：公司在数据采集、存储、标注、训练的全链条中，未建立分级分类存储、访问权限控制、加密保护等基本安全措施，训练数据存储在可通过公网访问的云服务器上，存在严重泄露风险。

【处罚决定】
属地公安网安部门依法对该公司作出行政处罚决定，责令其限期全面整改：删除所有未经合法授权收集的人脸图像和声纹数据；完成个人信息保护影响评估（DPIA）并报监管部门备查；建立健全数据安全管理体系和操作规程；在整改完成前暂停涉及敏感个人信息的AI模型训练活动。

【典型意义】
本案是AI领域DPIA合规的典型警示案例。随着生成式人工智能和大模型技术的蓬勃发展，大量AI企业需要海量数据进行模型训练，但训练数据的合法来源和敏感数据的合规处理往往被忽视。《个人信息保护法》明确要求处理敏感个人信息前必须进行DPIA，这不是可有可无的选择性程序，而是强制性的法律义务。对于从事AI视觉、语音识别等技术研发的企业而言，必须建立训练数据的合规审查机制：数据来源是否合法？是否涉及敏感个人信息？是否需要单独同意？是否完成了DPIA？缺少任何一个环节，都可能构成违法行为。