日本众议院通过 APPI 修正案，为 AI 训练数据设立同意例外

日本众议院近日通过《个人信息保护法》（APPI）修正案，核心变化是新增「AI 训练同意例外」条款，允许 AI 开发者在满足假名化与强制性数据保护影响评估（DPIA）等条件下，使用公开可获取的个人数据进行模型训练，而无需事先取得个人同意。不过，该法案尚未完成全部立法流程，也尚未生效。

法案当前进展：尚未成为法律

本次通过的是众议院阶段的修正案立法，后续还需经日本参议院表决，并由个人信息保护委员会（PPC）出台配套实施细则。根据公开信息与分析，即便最终通过，其预定生效时间为 2028 年。对于目前在日开展业务、或处理日本居民个人数据的 AI 团队而言，当前仍处于「准备窗口」而非「合规窗口」，APPI 此前的同意优先框架并未改变。

修正案的关键内容（若最终生效）

众议院通过的修正案版本中，与 AI 关联度较高的条款主要包括：

• AI 训练同意例外：在完成假名化并通过 DPIA 的前提下，开发者可使用公开来源的个人数据训练模型，无需逐个取得同意；
• 新增「特定生物识别个人信息」类别：拟对包括人脸识别在内的生物识别数据提供更高等级保护（细节以官方文本为准）；
• 扩大 PPC 执法权：拟引入行政罚款机制，有报道援引的「超过 1000 名受影响人」门槛尚未在官方文本中得到确认；
• 未满 16 周岁未成年人数据的监护人同意要求。

日本律师事务所 Mori Hamada & Matsumoto 对生物识别条款作了专项分析，值得跟踪，但仍建议以官方法案文本为准，并由日本本地律师复核后再纳入合规体系。

为何现在就该启动准备工作

尽管法案远未生效，准备工作不应等待参议院表决结束。一方面，日本每三年一次的 APPI 审议周期方向明确，PPC 公开表态也持续倾向于「AI 数据使用自由化」，众议院过会使得参议院投票成为可预期的下一步事件；另一方面，即便法案最终顺利通过，距离 2028 年生效仍有缓冲期，合规差距分析、流程修订往往需要数个季度，因此越早启动越稳妥。建议在此期间开展以下动作：

• 梳理训练流水线中涉及日本居民个人数据的所有流转节点；
• 评估现有 DPIA 能力是否覆盖 AI 训练场景；
• 委托日本本地律师解读众议院法案正式文本；
• 持续监控 PPC 官方公报与参议院日程公告；
• 排查训练数据集中是否包含人脸等生物识别数据，以便后续差别化评估。

仍待回答的关键问题

修正案条款中仍存在若干不确定因素，对合规规划影响较大：

• 假名化与 DPIA 是「实质门槛」还是「程序要求」，实施细则是否会给出量化标准；
• 「特定生物识别个人信息」是否覆盖合成或衍生的生物识别数据；
• 行政罚款的明确门槛——目前流传的「1000 人」阈值需以正式法案文本为准，合规程序不宜提前据此操作。

下一步关注

参议院表决时间是下一个关键节点，目前尚无确切日程。一旦参议院通过或引入新修正案，合规设计工作即应正式启动。PPC 官方公报将是最权威的信息来源，英文报道会随后跟进，但实时准确性仍以日本本地法律意见为准。