2026年11月12日，伊比利亚美洲数据保护网络（RIPD）一致通过《伊比利亚美洲 AI 系统个人数据使用标准》，西班牙数据保护局（AEPD）当天发布消息。文件覆盖拉丁美洲、西班牙和葡萄牙6亿多人，是全球首份系统性规范 AI 个人数据保护的国际文件。它不创设新法律，却把各国数据保护机构对 AI 的共同立场写成了可对照文本。
公开数据不是免费训练原料
标准最直接的一条：个人数据公开在网上，也不等于默认可以拿去训练 AI。想用须有法律依据，还要看当事人发布时的合理预期。网上能看到的帖子、简历、照片，不能自动变训练语料。AI 推断出的数据同样算个人数据：系统从看似中性的信息推断出健康状况、政治倾向或性取向，要按敏感数据强化保护；推断带不确定性，不能把猜测当结论用。
拿客户数据练模型，先问有没有授权
责任链条拆得很细：供应商用客户数据训练或改进自家模型，须先有充分的法律授权；企业用了第三方 AI 系统，也不能把责任推给供应商——谁定目的和关键方式，责任就落在谁头上。透明度也收紧了：只在页面角落写一句“我们使用了 AI”不算履行告知义务，企业须用普通人能看懂的话讲清用途与后果，商业秘密不是不说的理由。对已训练好的模型，个人有权知道自己的数据是否被用过，有权质疑自动化决策、要求真正的人工干预——只照 AI 建议盖章的审核，不算有效干预。删不干净时，须说明原因、告知当事人，并把这些数据排除出后续训练。
在拉美做 AI 业务，先查这四件事
第一，盘点训练数据来源：哪些来自公开网络、有无法律依据、当事人发布时能预期到什么。第二，翻供应商合同，确认客户数据能否被拿去训练其自有模型，无明确授权先停用、再谈判。第三，检查自动化决策流程：信贷、招聘、客服分流里，人工复核能否真推翻 AI 结论，还是只走形式。第四，改隐私政策与产品告知，把“AI 用来做什么、后果是什么”写进用户看得懂的地方。
标准本身不具直接约束力，也不创设与各国法律平行的新义务，定位是各国监管机构的共同解读。但这正是风险所在：拉美各国数据保护机构执法、立法时会拿它当参照，今天的“建议”可能就是明天的处罚依据。适用范围也有限：它只覆盖伊比利亚美洲成员国，不能套到欧盟或美国，欧盟内部仍以 GDPR 和 AI 法案为准。欧洲执法已先行一步：Scale AI 遭 noyb 投诉涉嫌违反 GDPR。在拉美做 AI 的企业，最好拿这份标准当合规底线对照，别等本国立法落地再动手。
