保持好奇心，死磕真問題

本文首發(fā)頭條精選

聊聊數(shù)字廣告，加微信：efangfeng

文/刀客doc(頭條精選作者)

11月19日，歐盟對外公布了一份《數(shù)字綜合監(jiān)管提案》，目的是為了到2029年，為企業(yè)削減至少25%的行政負擔，為中小企業(yè)削減35%。

具體做法主要有幾類：把重復的合規(guī)義務合并，統(tǒng)一網(wǎng)絡安全和數(shù)據(jù)泄露通報入口；在數(shù)據(jù)和隱私層面，重新劃定個人數(shù)據(jù)的邊界；在AI層面，明確在哪些條件下可以以“合法利益”為基礎使用個人數(shù)據(jù)訓練模型，并把全球首部AI法案推遲至少一年。

這代表了歐盟在數(shù)字監(jiān)管思路上的一個轉向：以前重點放在哪些不能做，現(xiàn)如今關注的是，在什么條件下可以做什么。

這也是為什么，隱私組織和部分議員認為這是“過去二十年來對數(shù)字權利最大規(guī)模的回撤”。

一、歐盟在AI上已經(jīng)落后于中美

過去七年，歐盟幾乎每隔一兩年就往數(shù)字行業(yè)頭上加一塊“監(jiān)管積木”：GDPR、ePrivacy、DataAct、DSA、DMA、NIS2、AI Act……

2018年GDPR正式生效，隱私保護拉到全球最高位；之后針對平臺責任有了DSA、DMA，針對網(wǎng)絡安全有了NIS2，針對數(shù)據(jù)共享有了Data Act，再到2024年的AI Act，把高風險AI系統(tǒng)再單獨拎出來管理。

結果就是，到了2025年，連歐盟自己也承認：規(guī)則太多、概念打架、報告重復，一家公司可能同時被三四部法規(guī)“各管一塊”，尤其是中小企業(yè)，已經(jīng)很難搞清楚到底該聽誰的。

這一輪數(shù)字綜合監(jiān)管提案，表面看是在幫企業(yè)的合規(guī)做減法，其實也是對歐洲科技競爭力焦慮的一種反應。

2024年Draghi給歐盟提交了一份400頁的競爭力報告，有一個核心結論就是：歐洲基本錯過了互聯(lián)網(wǎng)主導的那輪數(shù)字革命，與美國之間的生產(chǎn)率差距變大，很大一部分就是數(shù)字化和無形資產(chǎn)投資不足造成的。

斯坦福AI Index指出，美國新誕生的大模型基礎模型有40個，中國有15個，歐盟只有3個。

英國《金融時報》旗下的媒體Sifted，做了一份針對“歐洲最有前途的AI創(chuàng)業(yè)公司”的調(diào)研，結果顯示將近四分之一的創(chuàng)始人認真考慮把公司搬到美國。

根據(jù)華爾街日報的報道：越來越多歐洲人工智能初創(chuàng)企業(yè)正將融資目標轉向美國。英國創(chuàng)業(yè)者Brandon在倫敦苦尋資金數(shù)月無果，卻在抵達舊金山一周內(nèi)獲得50萬美元種子輪投資，并入選硅谷知名孵化器Y Combinator。

在這樣的背景下，11月19日歐盟委員會推出“數(shù)字綜合法案”，是歐盟在承認一個現(xiàn)實：光靠高標準不等于高效率，如果規(guī)則寫到連本土企業(yè)都玩不動，談不上什么技術競爭力?，F(xiàn)在要在監(jiān)管規(guī)則和競爭力之間重新找平衡。

從這個角度看，數(shù)字綜合法案，是把原來過于理想化的監(jiān)管設計，往“能執(zhí)行、能運營”的方向拉回一點：盡量保留價值觀不動，但讓企業(yè)能在這套價值觀之下正常做技術迭代。

二、這是不是GDPR的終結呢？

過去七年里，GDPR所代表的不僅是一部法律，而是一種氛圍——寧可一刀切禁止，也不要被質(zhì)疑“不夠嚴格”。

實際效果是，企業(yè)寧愿少做一點、慢做一點，也不敢在邊界地帶嘗試任何新東西。現(xiàn)在，通過數(shù)字綜合法案，把部分過于僵硬、執(zhí)行成本極高的解釋寫回一個更可操作的區(qū)間，讓合規(guī)從“踩雷游戲”變成可以預判的工程。

盡管“數(shù)字綜合法案”（EuropeanDigitalFramework）引發(fā)了關于GDPR是否“軟化”或“被廢”的討論，但更中立的判斷是：

GDPR的核心原則依然保留，數(shù)據(jù)主體權利、透明度義務、目的限制、數(shù)據(jù)最小化等制度基石并未動搖。真正的變化，發(fā)生在法規(guī)的具體操作上，也就是具體發(fā)條的解釋、實際的執(zhí)法操作上。

過去七年，在GDPR執(zhí)法過程中形成了一種預防性合規(guī)慣性，監(jiān)管機關、數(shù)據(jù)保護官（DPO）和企業(yè)法務，傾向于在法律不明確處“向禁止方向靠”，從而推動一種更趨保守的風險規(guī)避模式。

而本次數(shù)字綜合法案及其配套措施，則試圖糾正這一趨勢，讓具體條文的應用與執(zhí)法思路變得更加有彈性。

至于是不是“回撤”，歐盟自己給出的答案，其實已經(jīng)寫在Draghi報告和“競爭力羅盤”里了：如果再不在監(jiān)管上做減法，數(shù)字經(jīng)濟的落后本身，就會變成對歐洲社會模式的一種反向消耗。

三、變相再給美國大廠放水？

批評者認為，這一方案給廣告技術公司松綁的同時，順手又把更多籌碼推給了科技大廠。

原因是，監(jiān)管騰出來的空間最先用得上的，永遠是那批本來就有第一方數(shù)據(jù)、有法務團隊、有工程團隊的公司。

首先是時間籌碼。

比如這次備受爭議的全球首部AI法案《AI Act》后推到 2027 年，這就是一個很寶貴的時間窗口，而時間向來站在大廠這一邊。

大廠有現(xiàn)金流、有團隊，可以在幾年里一邊繼續(xù)鋪產(chǎn)品線、一邊把現(xiàn)有做法慢慢翻譯成合規(guī)話術；等到硬性義務真正落地時，它們大概率已經(jīng)完成了內(nèi)部重構。很多中小公司則沒有這樣的緩沖帶，活在當下的現(xiàn)金流壓力里，能不能活到2027年都另說。

除了時間上的緩沖，規(guī)則口徑的細化，也在數(shù)據(jù)和合規(guī)層面進一步放大了大廠的優(yōu)勢

比如個人數(shù)據(jù)使用這塊。

這幾年，GDPR對個人數(shù)據(jù)的定義，一直是寧可收得過緊，也不愿留模糊空間。合規(guī)團隊的默認反應是：只要數(shù)據(jù)有一點點可能指向某個人，就都當成最高敏感級別對待。

現(xiàn)在，口徑開始細一點分層了。

像哈希ID、一些建模信號，在大多數(shù)業(yè)務場景下，只是一個“標簽”，用于區(qū)分這是同一個用戶還是不同用戶，模型再怎么算，也很難把它直接翻譯成“張三李四”。在這樣的前提下，監(jiān)管不再要求一律按最重的標準管理。

對行業(yè)來說，過去，一大批圍繞這些“標簽”搭出來的建模、歸因方法，被合規(guī)顧問一句“有風險”按下暫停鍵?，F(xiàn)在，規(guī)則給出的信號是：可以用，但要說明白邊界和保護措施。

AI訓練也是同樣的邏輯，只是更敏感一點。

在GDPR框架下，用不用個人數(shù)據(jù)訓練模型，一直是個誰都不愿說穿的話題。

從法規(guī)條文上看，AI公司可以去找“正當利益”的依據(jù)，但多數(shù)監(jiān)管機構的真實態(tài)度是：最好征得用戶同意。

然而落到現(xiàn)實，沒有哪家做大模型的公司，是靠“先挨個問完用戶”才開始訓練的，都在用這些數(shù)據(jù)喂模型，只是寫報告時盡量模糊，能不提就不提。

這次的法案等于把這層窗戶紙捅破了：

用個人數(shù)據(jù)訓練AI，原則上是可以的，但要把風險評估做在前面，對行業(yè)來說，這總比在灰色地帶訓練大模型好一些。

四、AI大模型的訓練主場是圍墻花園

從紙面上看，所有做 AI 的公司都拿到了一條合法路徑，但真有能力把這一整套前提做扎實的，并不多。

最終還是美國那幾家巨頭——Google、Meta、Amazon、Apple、Microsoft……

它們的優(yōu)勢不只是多了幾名合規(guī)律師，而是原本就占住了 AI 訓練的主場位置：圍墻花園之內(nèi)。

進一步說，AI訓練和大模型優(yōu)化的主戰(zhàn)場，在擁有海量一方數(shù)據(jù)的數(shù)據(jù)花園內(nèi)部，而不是開放的第三方競價市場。

平臺在圍墻內(nèi)，依然能看到用戶行為細節(jié)，只是用更復雜的清洗、聯(lián)邦學習之類的方式，把這套數(shù)據(jù)合規(guī)化，繼續(xù)喂自己的大模型。

開放的第三方競價市場中，DSP們拿到的數(shù)據(jù)幾乎都是壓縮過、抽象過的指標：展示數(shù)、點擊率、轉化率、幾個有限的轉化事件。

真正細顆粒度的行為原始日志，比如完整瀏覽路徑、每一次滑動、停留時間、內(nèi)容 ID 全量列表等等，一般都不會在 RTB 流里完整扔給 DSP——這是媒體的一方資產(chǎn)，也是隱私風險更高的部分。

這些東西拿來做預算分配可以，拿來練一個真正有競爭力的大模型，就有點捉襟見肘了。

再加上隱私監(jiān)管收緊、Cookie消失、跨站ID斷裂，第三方在用戶層面的“可見度”越來越窄，能做的建模大多停留在人群包的外殼上。

五、監(jiān)管已經(jīng)成為一種生成要素

如果把時間線拉長一點看，這輪數(shù)字綜合法案要解決的，其實是歐盟要不要承認一個現(xiàn)實：監(jiān)管已經(jīng)變成數(shù)字產(chǎn)業(yè)的一種生產(chǎn)要素，被算進企業(yè)的成本表里。

這塊要素成本如果長期過高，本土公司最理性的選擇，就是把真正冒險的創(chuàng)新項目和后續(xù)融資，統(tǒng)統(tǒng)搬到監(jiān)管更寬松、預期更清晰的美國去。

反過來，當規(guī)則變得相對可預期，監(jiān)管就從罰單，變層一塊基礎設施，幫資本劃出一塊可經(jīng)營的安全區(qū)：哪里是紅線，哪里是灰區(qū)，哪里可以長期重倉，邊界越清楚，愿意真金白銀押上去的人就越多。

這也是它被視作“生產(chǎn)要素”的另一面——不直接創(chuàng)造收入，但決定哪些收入模式有機會被創(chuàng)造出來。

對廣告和 AI 行業(yè)而言，這一法案短期內(nèi)確實是利好。

個人數(shù)據(jù)和假名化信號的邊界更清楚，企業(yè)不用再把所有東西一律當成“高危處理”，很多原本被嚇退的建模和歸因手法，有機會在合規(guī)前提下重做一遍。

AI 訓練從灰色地帶走到臺面上，有了相對明確的合法路徑，開發(fā)者可以公開討論用什么數(shù)據(jù)、怎么做風險緩釋，而不是各自心照不宣。

基礎測量、頻控、反作弊這些“底層水電”，也有機會在一套相對穩(wěn)定的規(guī)則下重新搭一遍，不用每天被 Cookie 彈窗和監(jiān)管口徑變化來回拉扯。

對技術和產(chǎn)品團隊來說，最直接的變化是可以少花點時間猜監(jiān)管、對沖不確定性，把更多資源花在真正在提升效果和體驗的那部分優(yōu)化上。

但從競爭格局的角度看，這也是一次很典型的“強者加碼”。

身份和隱私的開關，正一步步被收緊到瀏覽器、操作系統(tǒng)和少數(shù)幾個超級入口手里；用戶真正細顆粒度的行為軌跡和訓練數(shù)據(jù)，繼續(xù)關在大平臺自己的“一方數(shù)據(jù)房”里，對外只以接口和黑盒產(chǎn)品的形式開放；高風險 AI 的硬性義務整體后延幾年，讓已經(jīng)跑在前面的那批模型玩家，可以在監(jiān)管真正壓下來之前，再多積累幾輪數(shù)據(jù)和產(chǎn)品優(yōu)勢。

這幾件事疊加在一起，最后利好的就是那幾家本來就占據(jù)上游的美國科技巨頭。它們有算力、有一方數(shù)據(jù)、有合規(guī)團隊，也有時間窗口去把這套新規(guī)則，調(diào)教成自己的護城河。

所以站在歐洲整體來看，這一法案當然談不上什么靈丹妙藥。

它能做的是幾件相對現(xiàn)實的事：減輕一部分行政負擔，稍微放慢本土企業(yè)“用腳投票”出走的速度，讓歐洲的AI公司、廣告技術廠商還有機會在新秩序下摸索一個更合理的位置。

但它做不到的事兒也很明確：它不會自動孵出新的平臺級公司，也無法幫歐洲補上在資本市場深度、云基礎設施規(guī)模、一方數(shù)據(jù)厚度上的長期劣勢。（作者：刀客doc）

* 保持好奇心，死磕真問題 *

歡迎加V：efangfeng。

版權聲明：本公眾號所有內(nèi)容文字、圖片和音視頻資料，版權均已做版權保護，任何媒體、網(wǎng)站 或個人未經(jīng)本公眾號授權不得轉載、鏈接、轉貼或以其他方式復制發(fā)布/發(fā)表。侵者必究。