相反，如果评估确认风险等级较高，除了征得信息主体的明确同意之外，生成式人工智能技术服务提供者还应当启动增强性告知程序，充分发挥告知规则在个人信息保护中的风险交流作用。具体来看，除个人信息处理的范畴、类型、目的和必要性等基本内容之外，还应就以下内容进行补充告知：首先，算法逻辑。这要求生成式人工智能技术服务提供者就个人信息与模型训练的相关性进行说明，包括“人机对话即信息收集”这一事实以及个人信息的准确性将影响生成内容质量这些重要事项，以为用户进行风险判断提供指引。其次，次级处理者的名称、处理目的、期限、方式等相关内容。以OpenAI为代表的生成式人工智能技术服务提供方将其全部或部分处理活动委托给次级处理者，而用户并没有与这些第三方订立任何信息处理协议，这可能会给个人信息保护带来超出预期的风险。因此，在评估确认风险等级较高的情况下，生成式人工智能技术服务提供者应当向信息主体详细披露次级处理者的信息处理情况，使信息主体能够全面了解风险和后果，从而做出决策。
（二）推进最小必要原则的风险化解释
与告知同意规则着力于事前保护不同，最小必要原则主要强调信息主体合法权益的事中和事后保护，其通过相关性、最小化、合比例性三方面的要求来规制信息处理行为，在个人信息保护体系中发挥了不可或缺的重要作用。然而，最小必要原则的要求与生成式人工智能实现其主要处理目的之间存在巨大张力：生成式人工智能的运行机制决定了其需要大量数据驱动的模型训练，而这一过程容易导致超出必要范畴收集个人信息、信息处理期限不明、信息用途不清晰等问题，与最小必要原则要求产生冲突，使最小必要原则的应用在实践中受到限制。为化解这一困境，可以采用风险化转型的方式重新解释最小必要原则，即以场景分析下的风险控制为基准，推动最小必要原则向“合理必要”的转变。通过这种方式，可以在保留和承认最小必要原则的前提下，避免其僵化应用对生成式人工智能技术的发展造成限制。
此时，最小必要原则将被视为一种风险预防和预警机制，要求生成式人工智能技术服务提供者在处理个人信息时，必须将潜在风险控制在合理水平内。这将促使最小必要原则的灵活使用，使其得以更好地适应生成式人工智能的实际应用场景。与我国形成鲜明对比，欧盟法律体系下相关原则更加灵活。例如，欧盟GDPR规定了平衡测试的机制，要求数据处理者在权衡个人信息保护和处理的必要性和合法性时，需要考虑利益平衡和风险评估等因素，以确保个人信息合理利用和保护的动态平衡。实际上，最小必要原则在我国实践中的僵化适用已受到众多学者质疑。有学者认为，应将“禁止过度损害”作为最小必要原则适用的一个重要考虑因素。也有学者提出，在特定情形下应当以“有限性原则”替代最小化原则，这些主张实际上都蕴含着风险控制的思维。可见，在生成式人工智能应用中，有必要将最小必要原则的风险化解释视为一项应时而生的必要措施。
与此同时，还需要明确一些具体情形作为限制以平衡最小必要原则被风险化解释带来的不确定性。具体来看，包括以下方面：首先，个人信息的收集仍需以实现生成式人工智能运行目的为限，非实现该目的所必须的个人信息不应收集。例如，搜索记录、设备信息和通信信息等个人信息与实现生成式人工智能运行目的无关，收集此类信息无法构成“合理必要”，反而增加安全风险。其次，个人信息处理的时限亦须符合最小必要原则。根据《个人信息保护法》第47条，当生成式人工智能所存储的信息过期或不再与其训练和应用有关时，存储机构有义务在合理时间内删除或进行去标识化处理。删除机制是最小必要原则和目的限制原则的具体体现，在生成式人工智能信息储存时间难以确定的情形下，这一机制应当得到切实落实，以降低信息累积带来的风险。最后，应严格控制敏感个人信息的收集和处理。敏感个人信息使得“基本权利面临高风险损害”，全球个人信息保护体系均特别关注敏感个人信息的收集和处理，尤其是欧盟GDPR直接确立了敏感个人信息处理的“一般禁止、例外允许”的原则性规定。因此，生成式人工智能技术服务提供者必须严格控制敏感个人信息的收集和处理。即使在特定情况下难以避免收集敏感个人信息，也应尽可能避免将其用于模型训练，以降低敏感个人信息泄露的风险。
（三）建立虚假信息生成风险的全过程应对机制
在《生成式人工智能服务管理暂行办法》总则第四条第一款中，明确阐述了生成式人工智能的生成内容限制，尤其是不得生成煽动颠覆国家政权、推翻社会主义制度，危害国家安全和利益、等虚假有害信息。因此，为了有效防控生成式人工智能带来的虚假信息生成风险，首先需明确风险来源，并清晰界定规制的对象范围。生成式人工智能核心技术基于算法模型和庞大的数据集，这是导致虚假信息生成的主要风险源头，应着重对这两方面规范，并坚持从预防到识别再到控制这一风险控制思路，建立虚假信息生成风险的全过程应对机制。具体说，该应对机制应包括以下方面：
这章没有结束，请点击下一页继续阅读！