民法典第111条与第127条构建起个人信息与数据的二元保护框架，确定个人信息人格保护与数据财产保护相对分离的立法格局。这一制度设计是兼顾人格尊严保护与数据财产利用的审慎立法选择。然而，当大模型训练爬取海量个人数据、算法推荐精准预测用户行为偏好、深度合成技术复刻个人生物特征等现象频发的背景下，这套框架难以适配现实需求，制度适配性张力持续凸显。

　　AI技术迭代下二元保护框架的适用困境

　　2021年个人信息保护法出台，标志着我国个人信息保护从“分散立法”迈向“统一规制”。但该法原则性规定较多，规则细化程度不足，赋权条款较多而配套行权路径相对模糊。知情同意规则在实践中常常简化为一键勾选的形式化流程，查阅、复制、删除等个人信息权益，普通用户行使门槛依然偏高。面对人工智能带来的深刻变革，相关法律制度的更新速度明显滞后于技术的迭代节奏。

　　制度滞后的深层根源，是个人信息的法律边界被技术不断重塑。传统法律上的可识别性标准以直接身份标识为判断基础，而今，身份识别技术已拓展为标识符识别、行为特征识别、动态识别、个性化识别和群体识别五种技术形态。搜索记录、步态、鼠标轨迹、群体关联特征，都具备定位特定自然人的可能性。技术不断扩张可识别性的外延，使得以可识别自然人身份为核心的个人信息定义，在适用中不断遭遇难题。

　　更值得追问的是，个人信息保护能否完成从权利确立到权利行使的范式转换。现行法律文本虽赋予个人知情、同意、查阅、复制、删除等权利，但算法黑箱打破信息对称、平台垄断消解用户实质选择权、大模型数据固化导致删除权形同虚设，诸多纸面权利难以落地。破解这一难题，需要区分确权层面的制度成果与行权层面的现实短板，走出长期存在的认知误区。

　　确权误区与产权分析新路径

　　既有研究常预设个人信息保护是“权利有没有”的问题，而非“权利能不能用”的问题。一旦法律规定个人信息受法律保护，即视为确权任务完成。这种“确权万能论”潜藏于诸多学术论证之中。从民法典第111条到个人信息保护法的专章规定，确权层面的制度供给已相对完备。纸面权利与实效保护的距离，需要审视。

　　围绕数据产权，政策层面与法学界提出多种方案。国家政策推动的“三权分置”——数据资源持有权、数据加工使用权、数据产品经营权——试图以政策性产权拆分回应数据流通需求；经济学界援引科斯定理，主张明晰产权以降低交易成本。将这些方案直接套用于个人信息保护存在解释力不足：前者过于侧重经济利用价值，忽略人格利益维度；后者预设权利主体的确定性与交易成本的可计算性，在人格利益与财产信息交织的个人信息场域中，这些前提难以成立。

　　立足民法基础理论，可借助占有概念发掘新的规范解释空间。占有不同于所有权，这一传统民法命题在个人信息保护中获得新内涵。所有权自带保护体系，但面对技术中介化、链条碎片化的信息处理，权利人无从行权。此时，权利人可通过让渡部分权能，以占有所承载的事实支配保护逻辑，不依赖本权确权，基于事实管领状态获得保护，为权利实现构建程序性机制提供新空间。

　　信息与人格关联谱系是重要的分析工具。不同类型个人信息与人格尊严存在层级差异：基因信息等高度贴近人格核心；消费偏好等信息与人格具有关联但距离较远；还有部分信息与人格无涉，主要体现为财产价值。完全脱离人格关联的信息应归入财产权保护轨道；匿名化后形成的衍生数据，这类既难以纳入人格权范畴，又不适合财产权定位的信息形态，恰恰彰显了民法的保护边界。民法调整力所不及的领域，正是公法介入的关键节点。

　　公法介入并非仅依靠事后行政处罚。个人信息保护的治理重心，正从事后追责转向前置性架构保护。智能合约将保护规则编码为自动执行的技术条件，数字守门人制度通过事前配置平台责任改变权力结构，算法审计将合规审查嵌入技术底层。其共同特征在于，保护不再完全依赖权利人行权，而是在技术架构中预设保护规则，保护重心从“赋予权利”转向“建构保障权利实现的基础设施”。

　　这一转型促使我们重新审视权利与权益。数字场景中存在部分难以被“权利化”的正当利益，其未必达到权利所要求的明确性与排他性标准，但依然应当获得法律保护。由此可以引入“利益重要性”观念：在风险、义务与权利之间权衡时，关键不在于“有”或“没有”某项权利，而在于被保护利益的重要程度。某些利益虽不足以构成独立权利，却足以触发程序性义务或公法保护责任。个人信息在委托、转委托中层层流转，各环节涉及不同强度的利益关联，以“利益重要性”为尺度的分层保护，比赋予绝对权利更能回应实践需求。确权只是起点，在多元利益交织的现实中搭建权利落地的制度通道，是个人信息保护法治化的考验。

　　构建AI时代个人信息保护的平衡机制

　　确权划定了权利边界，但并未解决权利如何突破技术壁垒落地的问题。当大模型以海量数据为训练原料、算法以毫秒级速度处理个人信息时，纸面权利面临被架空的风险。AI时代个人信息保护的核心命题，是在个人、企业、国家三方利益持续张力中，构建可落地的权利制度通道。

　　个人的人格利益与隐私期待、企业的创新动力与经济收益、国家的安全关切与公共福祉，三者需在动态中寻找新均衡点。当训练数据以亿级规模聚合，单一主体的“知情—同意”机制已难以有效运转；当算法成为数字经济的基础设施，过度的权利行使也可能压缩社会的创新空间。三方利益平衡不是削弱个人信息保护，而是在承认技术复杂性的前提下，寻求更可持续的权利实现方式。

　　平衡治理需要以风险原则贯穿信息处理全流程。从信息收集、处理、使用、存储到删除，各环节的风险水平差异显著，保护强度应梯度化配置。追求“零风险”既不现实也无必要，法治目标是将风险控制在社会可接受的水平之内。这意味着个人信息保护应当告别“一刀切”模式，转向与场景相匹配的差异化治理。公共领域中的人格表征、高风险自动化决策中的敏感信息、跨境流动中的国家安全要素，各自对应不同的保护阈值与行权机制。

　　技术体系为程序性平衡提供底层支撑。智能合约的迭代路径提供了参照：从代码1.0嵌入同意权行使，到代码2.0实现自动化合规，再到代码3.0引入算法问责，直至代码4.0的行政契约式治理，保护义务被编码嵌入信息流转的每一个环节。技术不能替代法律，但能为行权提供可验证、可追溯的基础设施，降低权利行使的交易成本，弥合个人与平台之间的技术不对等。

　　平衡机制不能固化为静态教条，而是持续打破旧平衡、生成新平衡的动态过程。场景的保护思路优于统一规则，原因在于它承认信息处理的合理边界因时、因地、因事而异。医疗场景中的病历共享、金融场景中的信用评估、社交场景中的内容推荐，各自承载不同的价值权重，需要形成相互衔接又彼此区分的规则集群。个人信息保护法的未来，未必是一部宏大的法典，而可能是一个开放的、能与技术演进同步更新的规则生态系统。

　　只要人工智能仍在迭代，数据仍作为核心生产要素流转，确权与行权之间的张力就会持续存在，利益再平衡也将是一项未竟命题。完备的个人信息保护，是个人认知层面的觉醒、国家有效制度的供给与社会稳定预期的形成的三重叠加共识。个人信息保护不存在终局形态，唯有持续动态再平衡，方能回应AI技术不断带来的新挑战。

　　（作者为江苏警官学院教授）