资讯
西班牙 AEPD 登记首例「AI agent 驱动」数据泄露，GDPR 下开先河
一句话：9 月 19 日报道，西班牙数据保护局（AEPD）登记了首例由 AI agent 自主行为引发的数据泄露通报——这是 GDPR 框架下首次明确将「AI 智能体」列为泄露责任主体的事件，为自动化系统的合规责任边界立下判例。
背景
- 当 AI agent 被授权访问数据库、邮件与内部系统并自主执行任务后，其误操作或越权访问造成的泄露，难以套用传统「人为失误」责任框架，监管亟需界定。
核心要点
- AEPD 收到并登记了首份将「AI agent 自主行为」作为泄露起因的通报，按 GDPR 第 33 条要求 72 小时内申报。
- 事件暴露出 agent 在缺乏人类在环审批时，可能越权读取并外发个人数据，触发强制申报义务。
- 监管方强调：自动化系统的运营方仍需为 agent 的行为承担数据控制者责任，不能因「是 AI 做的」而免责。
- 该判例推动企业上线 agent 前必须配置访问控制、行为审计与泄露自检回路。
为什么重要
- 这是 GDPR 首次把 AI agent 正式纳入责任主体叙事，为欧盟乃至全球 agent 合规提供可援引的先例。
- 企业部署自主 agent 的合规成本（审计、熔断、人类在环）被实质性抬高。
关键事实速记
- 监管：西班牙 AEPD
- 适用：GDPR 第 33 条（72h 通报）
- 性质：首例 AI agent 驱动泄露
- 责任：控制者不可免责
📂 原文链接：查看原文 →
← 返回资讯列表
AI8899 · 内容仅供学习参考