本报告立足部署在智能终端设备上的大模型所具有的独特技术架构与运行机理，聚焦端侧大模型在数据全生命周期中的法律风险，分析国内外治理实践，提出完善法律规则、明确主体责任等治理建议。系统剖析其在数据采集、存储、处理、传输及销毁等全生命周期环节中潜藏的风险特性，通过全面梳理国内外相关立法动态与实践经验，创新性地提出了一套兼具前瞻性与实操性的综合治理策略，旨在为打造安全可靠、合规有序的端侧智能生态环境提供有力的理论支撑与实践指引。
端侧大模型发展概况与技术特点
本地化：终端自治与数据保护升级：端侧大模型通过隐私增强型计算架构和离线能力，实现终端自治与数据安全闭环。例如北科瑞声手机端侧大模型支持离线会议纪要生成与多语种实时翻译，智能手表端侧模型在设备端完成心电数据监测分析，原始数据无需上传云端。
轻量化：资源约束下的高效能突破：采用量化、剪枝、知识蒸馏等模型压缩技术降低参数量、计算量与存储开销，同时利用资源动态分配机制，根据设备实时状态和任务需求灵活分配资源，适配移动端等资源受限场景。
个性化：用户行为驱动的场景智能：分析用户输入习惯、运动轨迹等本地数据，动态更新知识库与服务策略。如讯飞输入法端侧大模型构建个性化词库，候选词准确率显著提升；华为WATCH 5“玄玑感知系统”整合生理数据提供个性化健康建议；智能汽车语音助理根据用户习惯生成定制化建议。
协同化：端云融合与生态互联：实现“端-边-云”三级资源动态优化配置，实时性任务由端侧处理，复杂任务分流至边缘节点或云端。多设备基于统一协议实现数据共享与联动调度，如智能家居场景中设备、边缘节点、云端协同形成服务闭环。
端侧大模型数据治理法律要点分析
数据处理前：“告知-同意”规则的适配：端侧模型训练数据含海量个人数据，网络爬取及数据清洗难以完全去除个人信息，获取同意困难；一揽子授权虽保障数据采集完整性，但特殊场景单独同意要求难落实；设备功能扩展使用户难知晓数据采集范围与用途；特殊群体身份难识别，未成年人信息保护需监护人同意。
数据处理中：数据收集存储规则的效力：最小必要原则因服务智能化需求面临适用性挑战，如会议纪要功能需收集敏感语音数据；端云协同导致数据存储期限管理难落实，上传至云端的个人信息可能超出必要存储时间。
数据处理后：用户数据权利的保护：多主体多链条数据交互使泄露风险传导性强，关联数据泄露危害大；用户更正删除权因数据分散于模型参数中行使困难，限制拒绝处理权因主体权责模糊难以主张，可携权因技术壁垒难以落地；多主体责任划分不清，模型提供者与部署者、端云结合场景下责任认定存在困境。
处理全链条：数据污染与内容输出的偏差：本地化训练数据易混入错误、偏见、恶意内容导致“偏见固化”或被污染；轻量化压缩使模型精度下降，易产生“幻觉”生成错误内容；端侧设备防护弱，易遭受对抗攻击生成误导性信息。
全球端侧大模型数据治理法律制度比较研究
欧盟在严格保护个人数据基础上进行灵活处理：GDPR构建“权利优先”框架，包括设计和默认数据保护原则、“告知-同意”规则、数据跨境流动规则，《人工智能法》按风险分类提出要求；德国、荷兰、爱尔兰等成员国数据保护机构发布文件明确LLM个人数据保护要求；EDPB发布意见和课程，回应匿名化认定、合法利益适用、开发阶段非法性影响等争议问题。
美国采取“场景化保护”灵活路径：联邦层面弱化监管促进创新，各州立法各具特色，如加州要求生成式AI企业披露训练数据，马里兰州引入“实质性数据最小化”；针对重点技术、行业、场景明确要求，如《删除法案》监管深度伪造，HIPAA、COPPA等行业法规规制特定领域，版权局报告和法院判例明确训练数据版权问题；NIST等机构探索统一保护要求，行业自律推动企业合规。
中国在现有法律框架下开展实践探索：现有立法明确不同主体数据治理责任，区分共同处理、委托处理等法律关系；确立“告知-同意”规则适用要求，《网络数据安全管理条例》细化告知方式和内容，敏感个人信息需单独同意；司法实践区分不同阶段确认主体责任，技术标准在端云协同和Agent安全评测等方面持续探索。
展望与建议
完善法律规则，强化制度可操作性：构建差别告知机制，划分风险等级并规定不同告知义务；研究训练数据同意例外情形，细化豁免条件；建立最小必要原则弹性适用机制，允许在特定情形下扩大数据收集范围；规范端云协同数据存储期限，明确本地与云端数据处理要求；强化特殊群体保护规则，触发监护人同意流程并制定权限适配标准。
明确多主体责任划分，落实责任追溯机制：细化前端数据分类分级标准，制定指南明确处理规则；完善端侧侵权认定规则，明确“端侧数据滥用”解释并引入举证责任倒置；明确多主体责任边界，根据主观状态和调用形式划分责任。
补充监管手段，应对信息内容安全风险：构建公开可信语料库，依托权威数据和安全机制保障质量；打造透明可解释算法模型，公开运行过程并提供解释说明；完善信息内容审查过滤制度，建立三级审查机制和分级处置策略。
创新技术工具，提升以技管技能力：部署端侧监管沙盒，测试新技术并监管数据调用行为；优化数据清洗与脱敏技术，开发轻量化工具并采用实时脱敏与加密；构建端云协同安全存储架构，采用加密存储和传输技术；构建个人信息处理风险评估机制，从适当性、必要性、均衡性考量风险；开发轻量化隐私计算技术，引入联邦学习等实现数据“可用不可见”。
建立协同机制，提升治理能力：构建“政府监管+行业自律+技术监测”三位一体监管模式，完善备案、制定自律标准、引入第三方监测；建立动态评估机制，定期和专项评估并报送结果；强化部门间信息共享，召开联席会议并建设监管数据库；建立行业间技术共享平台，共享资源并组织交流活动；建立便捷维权渠道，设立专门平台并引入公益诉讼支持。
加强国际合作，共同应对全球性挑战：推动制定端侧数据安全国际准则，建立跨境监管协作机制；联合研发安全防护技术，共享研究成果；加强国际交流与培训，提升全球应对能力并培养人才。
■
审核：晓洁
