💻 computer science

Position: No Retroactive Cure for Infringement during Training

该论文指出，生成式 AI 无法通过事后缓解措施（如机器遗忘或推理时护栏）来追溯治愈因非法获取数据而训练产生的侵权责任，因为合规性取决于数据谱系而非输出，因此呼吁从“事后净化”转向“事前可验证流程合规”。

原作者： Satoru Utsunomiya, Masaru Isonuma, Junichiro Mori, Ichiro Sakata

发布于 2026-04-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Satoru Utsunomiya, Masaru Isonuma, Junichiro Mori, Ichiro Sakata

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文的核心观点可以用一句话概括：“事后擦屁股”救不了“事前偷东西”的罪。

在生成式 AI（比如现在的各种大模型）的圈子里，大家现在流行一种想法：“只要我们在模型训练好后，加上一些‘过滤器’，或者把模型里学坏的东西‘删掉’（机器遗忘），那之前的训练过程就是合法的，或者至少可以免责。”

但这篇论文的作者们（来自东京大学等机构）大声反对说：不行！法律不看结果，只看过程。 如果你一开始是用“偷”来的数据训练的，哪怕后来你把模型洗得干干净净，那个“偷”的行为本身已经构成了违法，是没法通过事后补救来“洗白”的。

为了让你更容易理解，我们可以用几个生活中的比喻来拆解这篇论文的逻辑：

1. 核心比喻：小偷的“洗白”无效

想象一下，有一个厨师（AI 开发者）想开一家餐厅。

传统做法：他去买合法的食材。
现在的做法：他直接去邻居家（版权方）的仓库里，把人家辛苦种出来的蔬菜、肉类（受版权保护的数据）全部偷回来，做成了自己的招牌菜（AI 模型）。
事后补救：后来邻居告他，他辩解说：“哎呀，我现在把菜单改了，再也不做那道偷来的菜了，而且我把厨房里剩下的偷来的食材都扔了（机器遗忘/过滤器），现在的菜都是干净的，所以我没罪吧？”

论文的观点是： 法官不会听这套。

偷窃行为已完成：当你把邻居的食材搬进自己厨房的那一刻，偷窃（侵权）就已经完成了。这是一个“既定事实”。
扔食材没用：后来你把食材扔掉，或者发誓不再做那道菜，并不能抹杀你曾经“偷”过的事实。
模型就是赃物：那个用偷来的食材练出来的厨师手艺（模型权重），本质上就是“赃物”的一部分。哪怕你后来把菜做得很清淡，那个“手艺”里依然藏着偷来的精华。

2. 为什么“事后删除”不管用？（三个法律理由）

论文从三个角度论证了为什么“事后补救”行不通：

A. 动作一旦完成，就定案了 (Completed Act)

比喻：就像你偷了一本书，哪怕你第二天把书还回去，或者把书撕了，你“偷书”这个行为在昨天就已经发生了。法律惩罚的是“偷”这个动作，而不是你最后有没有把书读出来。
论文逻辑：下载数据、把数据存进服务器、把数据喂给模型，这些动作在发生的瞬间，如果没经过授权，就是侵权。后来的“机器遗忘”只是试图掩盖后果，不能改变过去违法的事实。

B. 模型权重本身就是“复印件” (Fixation)

比喻：模型训练后，那些数据并没有消失，而是变成了厨师脑子里的“肌肉记忆”（模型权重）。这就像你偷了一本食谱，背下来了，然后把书烧了。虽然书没了，但你脑子里的食谱还在。法律认为，你脑子里的“记忆”就是那本书的“复印件”。
论文逻辑：模型权重是存储在硬盘上的固定文件。即使你加了过滤器不让模型输出侵权内容，但那些受版权保护的信息依然以“机器可读”的形式存在于模型参数中。只要它还在，侵权的“实体”就还在。

C. 还有“合同”和“不公平竞争”这两张大网

比喻：
- 合同：就像你进别人家花园前，门口牌子写着“禁止入内，禁止采摘”。你不仅偷了东西，还违反了“禁止入内”的规矩（违反服务条款）。不管版权法怎么说，你违约了，就得负责。
- 不公平竞争：就像有人花大价钱建了一个巨大的图书馆，你直接派机器人把书全抄下来，免费送给别人看。你省下了建图书馆的钱，却抢了图书馆的生意。这叫“搭便车”（Free-riding），法律会认为这是不公平的。
论文逻辑：即使版权法在某些情况下可能放过训练行为（比如说是“合理使用”），但合同违约（违反网站条款）和不正当竞争（窃取他人投资成果）是独立的罪名。这些罪名不需要看模型输出什么，只看你获取数据的方式是否违规。

3. 后果有多严重？

如果这种“事后擦屁股”的策略被法律认可，那就相当于告诉所有公司：“先偷着练，练好了再说，被抓了就删掉数据赔点钱。”这会导致道德风险。

论文警告说，真正的惩罚可能非常严厉：

吐出所有利润：不仅要赔钱，还要把靠偷数据赚到的所有利润都吐出来（不当得利）。
销毁模型：最坏的情况，法院可能直接下令销毁整个模型（算法吐出），因为它是建立在非法基础上的。就像法院判你“把用偷来的砖头盖的房子拆了”。

4. 未来的出路：从“事后补救”转向“事前合规”

既然“事后擦屁股”没用，那该怎么办？论文呼吁整个行业来个大转弯：

以前的做法：先不管数据来源，大规模训练，出问题了再想办法“洗”模型（Post-hoc Mitigation）。
现在的建议：事前合规（Ex-ante Process Compliance）。
- 对工程师：别搞“黑盒”了。要像做“透明管道”一样，确保每一块训练数据的来源都是合法的、可查证的。如果数据有问题，要能像回退代码版本一样，把模型回退到没吃这块数据之前的状态，而不是试图“删除”它。
- 对政策制定者：建立“数据信托”或集体授权机制。就像音乐版权一样，让 AI 公司交一笔钱，由一个机构统一分给所有创作者。这样既解决了“找不到所有人授权”的难题，也保证了创作者能拿到钱。
- 默认规则改变：现在的网站是“默认允许，除非你说不行（Opt-out）”。论文建议改成“默认禁止，除非你明确说行（Opt-in）”。就像进别人家，没得到明确邀请，默认就是不能进。

总结

这篇论文就像给 AI 行业泼了一盆冷水，但也指了一条明路：
AI 的合法性不取决于它最后“说了什么”（输出是否安全），而取决于它“是怎么知道的”（输入是否合法）。

如果你用偷来的砖头盖房子，哪怕你把房子刷得再白、装再好的防盗门，这房子在法律上依然是违章建筑。想要 AI 长久发展，必须从源头上把“砖头”买好，而不是等房子盖好了再想办法“洗白”。

这是一份关于论文《Position: No Retroactive Cure for Infringement during Training》（立场：训练期间的侵权行为无法通过事后补救来治愈）的详细技术总结。

1. 问题背景 (Problem)

随着生成式人工智能（Generative AI）的快速发展，模型训练依赖于从开放网络中大规模摄取文本和图像数据（即“数据摄取范式”）。由于数据量巨大，在训练前（Ex-ante）完全过滤掉所有受版权保护或有害内容在技术和经济上已变得不切实际。

因此，开发者和研究社区倾向于采用事后缓解策略（Post-hoc Mitigation），例如：

机器遗忘（Machine Unlearning）： 试图从已训练好的模型中移除特定训练数据的影响。
推理时护栏（Inference-time Guardrails）： 在模型生成输出时进行过滤，防止生成侵权内容。

核心问题： 业界普遍存在一种“输出等价性（Output Equivalence）”的工程直觉，即如果模型经过事后处理不再输出侵权内容，就等同于从未学习过该数据，从而应被视为合规。然而，这种观点在法律上是否成立？如果训练过程本身涉及未经授权的复制和摄取，事后修改输出能否消除法律责任？

2. 方法论与法律分析框架 (Methodology)

本文并未提出新的算法，而是采用**法律教义学（Legal Doctrinal Analysis）与技术本体论（Technical Ontology）**相结合的方法，跨学科地审视生成式 AI 的合规性。

核心假设（最强技术前提）： 为了论证的严谨性，作者假设事后缓解技术（如机器遗忘或参数修改）在技术上达到了理想状态，即修改后的模型输出分布 $P^*$ 与从未接触过侵权数据的模型输出分布 $P$ 在统计上完全一致。
分析路径：
1. 确立法律基准： 论证未经授权的训练数据摄取和复制本身即构成版权侵权（复制权）。
2. 侵权不可治愈性分析： 从“已完成行为（Completed Act）”和“模型权重的固定性（Fixation）”两个角度，论证事后补救无法消除既成事实的法律责任。
3. 多维责任扩展： 超越版权法，分析合同违约（ToS、许可证）和侵权/不正当竞争（搭便车）带来的独立责任。
4. 救济措施分析： 探讨不当得利（Unjust Enrichment）和吐出获利（Disgorgement）原则，论证即使删除数据，模型仍可能因保留了非法获取的竞争优势而需承担更严厉的惩罚（如算法吐出）。
5. 反驳与回应： 针对“合理使用（Fair Use）”、“中间复制”和“交易成本”等常见抗辩理由进行法律反驳。

3. 关键贡献 (Key Contributions)

本文提出了三个核心论点，挑战了当前 AI 行业的合规假设：

A. 侵权行为的“已完成”性质与不可逆性

完成行为原则（Completed-Act Doctrine）： 版权侵权是严格责任。一旦未经授权的复制（下载、存储、RAM 加载）发生，侵权行为即告完成（ $t=0$ ）。
事后补救无效： 法律上的侵权事实独立于后续的补救措施。就像小偷归还赃物不能抹去盗窃事实一样，删除数据集或过滤输出不能“撤销”已经发生的非法复制行为。
模型权重的固定性： 模型权重是存储在物理介质上的静态文件，满足版权法中“固定（Fixation）”的要求。即使输出被过滤，受保护内容的表达价值仍作为“机器辅助可感知的副本”存在于权重中，且可通过取证分析或提取攻击恢复。

B. 合同与侵权责任的“全球围堵”

即使某些训练行为在版权法下可能被视为合理使用，开发者仍面临其他法律风险，这些风险独立于版权例外：

合同违约： 违反显式许可证（如仅限学术使用）或网站服务条款（ToS/Browsewrap）。法院（如 ProCD v. Zeidenberg）确认合同限制可超越版权法保护范围。
侵权/不正当竞争： 大规模抓取经过精心策划的数据集（如新闻档案、法律数据库）构成了对他人投资成果的“搭便车（Free-riding）”，可能触发不正当竞争诉讼。

C. 不当得利与算法吐出（Algorithmic Disgorgement）

避免的成本与先发优势： 非法使用数据使开发者节省了巨大的数据获取和清洗成本，并获得了“先发优势（Head Start）”。
吐出获利： 根据不当得利原则，如果模型是通过非法捷径构建的，法院可能不仅要求赔偿，还要求吐出所有获利，甚至强制销毁模型本身（Algorithmic Disgorgement），因为仅仅删除源文件无法消除模型参数中已内化的竞争优势。

4. 主要结果与发现 (Results)

输出等价性假设在法律上无效： 即使模型在技术上完美地“遗忘”了数据并停止了侵权输出，其训练过程中的非法摄取行为依然构成独立的法律责任。
版权抗辩的局限性： 传统的“合理使用”（Fair Use）或“文本与数据挖掘例外（TDM）”在商业替代性（Market Substitution）和非法来源（Illicit Provenance）面前日益脆弱。
责任的多重性： 开发者面临版权、合同违约和不正当竞争的多重法律风险，单一维度的合规（如仅关注输出安全）无法规避整体风险。
现有缓解策略的不足： 机器遗忘和推理护栏无法作为合规的“安全港”，因为它们无法改变训练发生时的法律事实。

5. 意义与行动呼吁 (Significance & Call to Action)

本文的结论对 AI 行业、研究界和政策制定者具有深远影响：

范式转变： 必须从**“事后清洗（Post-hoc Sanitization）”转向“事前过程合规（Ex-ante Process Compliance）”**。合规的关键在于数据溯源（Data Lineage），而非输出结果。
对工程师的建议：
- 可验证性架构： 放弃“黑盒”做法，建立可验证的数据管道（如使用 C2PA 标准进行来源证明，使用零知识证明 ZKPs 验证未包含受限数据）。
- 架构可逆性： 实施高频检查点（Checkpoints）和版本控制。如果发现数据侵权，应回滚到摄入该数据之前的状态并重新训练，而不是尝试从最终模型中“减去”数据。
对政策制定者的建议：
- 建立数据信托（Data Trusts）： 通过集体管理组织解决海量授权的交易成本问题，提供标准化的 FRAND 许可。
- 强制性权利声明（Binary Beacon）： 立法将默认规则从“选择退出（Opt-out）”改为“选择加入（Opt-in）”。要求内容拥有者提供机器可读的明确信号，否则视为禁止 AI 训练，将验证责任转移给数据获取者。

总结： 本文论证了生成式 AI 的合法性根基在于输入数据的获取过程，而非输出内容的安全性。试图通过技术手段在事后“治愈”训练期间的侵权行为在法律上是徒劳的，行业必须建立可验证的、事前合规的数据供应链，否则将面临模型被强制销毁和巨额赔偿的生存危机。