作者：游云庭（知识产权律师），原文标题：《智谱偷传用户数据，是否涉数据出境？监管应介入调查》，题图来自：AI生成
根据《中国新闻周刊》近日的报道，上市公司智谱的AI编程工具ZCode被曝出会默认把登录状态用户的整个工作区数据偷偷打包加密上传到云端。9月18日智谱在官方社群致歉，但文章采访的知情人称，数据实际被上传至香港阿里云OSS存储桶[1]。笔者认为：此次事件可能涉及大规模数据出境，且不能排除其中有重要数据，故监管部门有必要对此次事件进行调查，智谱公司也有法律义务告知用户并向主管部门报告。
此次智谱的行为有多重违法：首先上传的是用户私有数据。在数据性质上，这次的数据不是用户上传给该公司大模型处理的数据，而是用户保存在本地电脑上的数据，本质是把手伸到用户电脑里拿数据。
第二是不告而取，范围巨大。智谱完全不遵守《个人信息保护法》规定的知情同意、最小必要原则，不经用户同意就上传数据，智谱致歉时称上传数据目的为代码库索引，但这次上传的，除了常规的对话中提交的文本、文件和代码，还包括所有历史Git对象、全局配置等，这意味着，用户已经删除的代码都可能会被恢复，完全超出了必要限度。这种做法，之前马斯克的Grok也操作过，当时网上就有人称其目的为了训练大模型[2]。
第三是数据如果被传至境外，没有合理理由。报道提及的智谱把数据上传到位于境外的香港阿里云，如果属实，就是大规模的把境内用户电脑上存储的私有数据传输到境外的行为，可能涉嫌严重违法。我国的《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》等多部法律法规都对跨境数据传输有非常严格的监管规定，而现在，这些监管规定的预防功能可能全部都落空了。
第四是被上传的数据性质不明，损失无法估量。这次事件涉及的开发者众多，新闻报道里维权群就有400多个开发者，所以数据量非常大，可能包含敏感个人信息和商业秘密，而笔者更关心的是，这次被偷传的数据里，有没有国家秘密和重要数据？
国家秘密顾名思义，受《保守国家秘密法》保护，而重要数据也是一个法律概念，根据《网络数据安全管理条例》，是指一旦遭到泄露，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的重要数据。如果国家秘密或重要数据被传到境外，智谱公司及其负责人的法律责任会非常严重[3]。
为什么笔者认为监管应该介入，最重要的原因是维护国家利益。因为无论是智谱还是被偷传数据的用户，都不会主动披露这个情况。
智谱已经公开宣布，上传的数据已经删除。同时智谱公司的补救措施第三方审计和开源，也都无法帮助查明这个事实。《中国新闻周刊》引用的知情人士的说法：“第三方审计的存储桶已空，这不叫审计，审计要审计存储桶的流量历史，删除之前的流量活动。现在Zcode工具开源后，还是新建的仓库。开源的版本不是最初的版本，这样的开源一点意义没有。”笔者认为知情人士的说法成立：智谱的声明中，完全看不出有没有审计过存储桶中的数据是不是被复制过，所以只有监管的调查能查明这个事实。
而开发者也不会自行披露。体制内泄密和数据泄露都非常敏感，所以哪怕被上传的数据里有涉及国家秘密或者重要数据的内容，出于避免麻烦，趋利避害下开发者主动披露的可能性都不大。
所以如果没有监管进行调查，就可能会出现国家秘密和重要数据被传输至境外而政府不知情的情况，这样国家利益就可能受损。哪怕数据没有出境，智谱在境内处理这部分数据，如果涉及国家秘密和重要数据，也涉嫌违反《保守国家秘密法》和《网络安全法》。
最后，根据《网络安全法》规定，网络产品、服务的提供者发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。所以，就此次事件，智谱公司也有法律义务向主管部门上报详情。
相关资料：
[1]https://mp.weixin.qq.com/s/qznw0agcMD5Fprclhbr4tQ
[2]https://developer.cloud.tencent.com/news/4240556
[3]根据百度搜索，重要数据包括工业、电信、能源、交通、金融等重点行业的安全生产运行数据；达到规定精度或规模的地理、矿产、气象、基因、人口健康等自然资源与公共服务数据；关键信息基础设施的建设、运行及其安全防护数据；未公开的政务工作秘密、执法司法敏感数据等。
作者：游云庭（知识产权律师）。Email: yytbest@gmail.com，本文仅代表作者观点。
