爱尔兰DPC对X公司（XIUC）启动大规模GDPR调查：Grok生成式AI被指产出涉儿童的非自愿亲密图像，直指第25条与第35条

爱尔兰数据保护委员会（DPC）宣布依《2018年数据保护法》第110条，对**X Internet Unlimited Company（XIUC）启动调查**（决定于2026年2月16日通知XIUC，2月17日对外公布）。这是欧盟主要监管机构针对生成式AI产出非自愿亲密图像的首批系统性执法动作之一，本库此前仅有美国侧针对xAI/Grok的私人诉讼记录，本条为**首条欧盟监管机关的公法调查记录**。 一、调查事由。DPC指出，调查涉及"在X平台上借助Grok大语言模型的生成式AI功能，**明显生成并发布潜在有害的、非自愿的亲密及/或性化图像**，其中包含或以其他方式处理了**欧盟/欧洲经济区数据主体（包括儿童）的个人数据**"。 二、审查的GDPR条款。DPC明确将审查XIUC是否遵守：**第5条**（处理原则）、**第6条**（处理的合法性）、**第25条**（设计与默认的数据保护）、**第35条**（数据保护影响评估DPIA义务）。其中第25条与第35条是生成式AI场景下最具杀伤力的两项——前者要求"通过设计"预防风险，后者要求在产品上线**前**完成影响评估。 三、主监管机关身份与程序意义。DPC副专员Graham Doyle表示，自数周前媒体首次报道X用户可提示@Grok账户生成真人（含儿童）的性化图像以来，DPC一直与XIUC保持接触；作为XIUC在欧盟/欧洲经济区的**主监管机关（Lead Supervisory Authority）**，DPC已启动大规模调查。这意味着本案可依托GDPR"一站式"机制产生覆盖全欧的执法效果。 四、实务意义。对在欧盟提供生成式AI能力的平台与模型方，本案确立三项可预期的审查重点：①**训练与生成环节是否完成DPIA**（第35条），尤其是可被用于生成性化/亲密图像的模型能力；②**是否在设计阶段内置防护**（第25条），而非事后以内容审核补救；③**合法性基础的单独说明**（第6条）——以既有平台用户协议或"服务改进"概括涵盖生成式AI的再处理，在DPC口径下难以成立。对中国出海欧洲、提供AI图像生成或集成第三方生成能力的社交与内容产品，建议在上线前完成面向"非自愿亲密图像"风险的专项DPIA，并保留模型能力变更时的复评记录。（本条为库内补录，原始公布日期2026年2月17日。）