进击的虚拟人：法律风险及防范
史宇航
一、背景
随着计算机软硬件性能的日益提升，虚拟人的仿真程度日趋提高且使用成本日益低廉，越来越多的场景开始使用虚拟人进行营销、宣传、演出。
比如新华社使用虚拟主播进行新闻播报和采访；万科给虚拟员工颁发了最佳新人奖；阿里使用虚拟网红进行代言营销；而洛天依这样的虚拟演员更是频频登台各大晚会，拥有海量的粉丝；甚至明星们也纷纷推出自己的虚拟人形象，进行广告宣传、直播带货。
另外，利用虚幻引擎或是英伟达等公司的平台工具，制作、使用虚拟人的门槛进一步降低，让即使是普通用户也更容易打造自己的虚拟人形象，以虚拟主播的形式活跃于网络。
在整个虚拟人行业高速发展的同时，法律风险也如影随形。除了诸多传统虚拟形象知识产权领域的法律问题依旧存在，虚拟人伴随着的个人信息保护、科技伦理、深度合成技术的合规义务都需要虚拟人的运营方予以关注。
二、虚拟人的权利基础：版权
版权是企业“掌控”虚拟人的权利基础，因此也是最需要关注的法律问题之一。此前，媒体就报道过B站某签约虚拟主播的形象涉嫌抄袭，后调查显示，该虚拟主播的立绘面部的确与另一虚拟主播高度相似，相关立绘形象为个人约稿。画师也发布道歉声明，承认在创作时“过度借鉴”另一虚拟形象的眼睛部分。
因此，企业在签约或创作虚拟人时，应当尽最大努力确保没有权利瑕疵，即虚拟人的形象不应当抄袭其他虚拟人的形象或真实人物的肖像权。
如果企业与虚拟人运营机构签约或是委托创作，那么需要签约对象或画师进行书面承诺作品原创，且不存在抄袭；如果企业自行创作虚拟人，则可以使用“净室开发”的方案，该方案通常在软件开发中用于降低侵权风险，即依据版权法“创意-表达”两分法的保护思路，对虚拟人形象的创意团队与设计进行分离，确保将开发过程中的版权风险降到最低。
三、虚拟人的数据权益与数据安全
虚拟人与其他传统虚拟形象最大的区别在于虚拟人高度依赖网络空间，以数据的形态存在，所以虚拟人的数据权益几乎等同于自然人的人身权，是虚拟人赖以存在的法律基础。
但遗憾的是，《民法典》中对数据权益的保护着墨不多，仅在第127条中规定“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”而《数据安全法》更多是从安全的角度对数据进行了原则性的规定：“任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。”（第32条）
因此法律目前对包括虚拟人在内的各类数据仅能依据法律原则进行保护，暂缺少具体的内容规定，这一直接后果是相关纠纷的解决需要高度依赖协议中的约定。比如某虚拟人制作软件会在《用户协议》中要求使用者将所有使用该软件制作的虚拟人数据权益以知识产权的形式免费授权给软件开发公司：
虚拟人的运营方作为数据处理者，需要履行的数据保护义务：1）建立健全全流程数据安全管理制度；2）组织开展数据安全教育培训；3）采取相应的技术措施和其他必要措施，保障数据安全；4）在网络安全等级保护制度的基础上，履行数据安全保护义务。此外，在一些特殊的场景下，虚拟人的运营方也需要关注人格权保护的法律风险。
四、人格权：虚拟人背后的个人信息、声音及其他
尽管虚拟人并不直接具有人格权，很多场景下虚拟人也不是由真人直接扮演，但在虚拟人背后仍可能由自然人提供动态捕捉的素材或是配音，依旧涉及个人信息与声音保护的问题。
对于动作捕捉技术，在一些动作确实有可识别性，因为步态识别已经是一项较为成熟的技术，并且国家标准《信息安全技术 步态识别数据安全要求（征求意见稿）》就曾公开征求意见。如果是以特定动作作为虚拟人特色的，那么需要特别关注相关动作捕捉人员的个人信息问题，获得相应的授权。
声音的授权更加复杂，如果是直接配音，那么根据《民法典》自然人的声音是参照肖像去进行保护，并且也需要考虑声音具有可识别性的问题。那么，在获取授权时，需要同时获得声音权益与个人信息两项不同权益的授权。
而在一些特殊的场景下，用虚拟人对现实或已故的自然人进行还原，则会面临更复杂的问题，比如足球、篮球或其他运动游戏中，对真实运动员的还原是重要卖点之一，但如何取得肖像授权却是极为困难。比如EA的足球游戏宣称通过FIFPro（国际职业足球运动员联合会）获得了球员肖像权的授权，但仍旧会被质疑球员从未给FIFPro提供过授权。此外，游戏中对于球员数据的模拟，也会是一个极具争议的问题，毕竟没有球员会希望见到自己在游戏中的数值偏低。
因此，尽管虚拟人不具有人格权，但虚拟人背后自然人的各项人格权益仍然是不可忽视的一个问题，是用虚拟映射现实时无法回避的一个问题。
五、虚拟人与科技伦理
使用虚拟人技术模拟已故或在世的知名人物或近亲属已经完全可以做到以假乱真，虚拟人在网络空间的频繁出现也会改变人与人之间的社会关系。换言之，虚拟人因为高度的拟真性，因此在很多场景下具有相当高的科技伦理风险。
2022年3月，中共中央办公厅、国务院办公厅正式印发《关于加强科技伦理治理的意见》，划定了我国未来一段时间科技伦理治理工作的路线图。而此前，2021年九部委发布的《关于加强互联网信息服务算法综合治理的指导意见》要求“企业应建立算法安全责任制度和科技伦理审查制度”。在《互联网信息服务深度合成管理规定（征求意见稿）》中也要求“深度合成服务提供者和深度合成服务使用者应当遵守法律法规，尊重社会公德和伦理，坚持正确政治方向、舆论导向、价值取向，促进深度合成服务向上向善。”
在数据安全角度，虚拟人作为一项使用了大量新技术的业务场景，应当关注科技伦理的合规要求。《数据安全法》第28条专门规定了：“开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。”
虚拟人运营企业作为自身研发、运营过程中科技伦理审查的第一责任人，需要将科技伦理的合规嵌入到运营工作中的全流程中，通常需要：1）组建伦理委员会或专门的审核小组，总体负责虚拟人技术的伦理规范审查；2）制定虚拟人伦理审查管理制度，明确各部门的职责与注意事项；3）将伦理审查嵌入项目立项、对外合作、客户服务、员工培训等各个工作环节；4）等等。
在企业内部建立虚拟人伦理审查的机制，是为了更好地在纠纷发生时保护企业，确保虚拟人业务能够“长命百岁”。
六、虚拟人使用深度合成技术的合规与思考
深度合成技术是虚拟人最为重要的技术基础之一，正是因为深度合成技术的使用提升了虚拟人的拟真程度。
2022年1月，国家网信办发布《互联网信息服务深度合成管理规定（征求意见稿）》，就深度合成技术的规制公开征求意见，征求意见稿将以下与虚拟人相关的深度学习的技术列为规制范围：
在《互联网信息服务深度合成管理规定（征求意见稿）》中，专门要求在提供虚拟人相关的深度合成服务商时，应当使用显著方式对深度合成信息内容进行标识，向社会公众有效提示信息内容的合成情况（第14条）。
在当前版本的征求意见稿中，我国规划要求深度合成服务提供者承担部分监管责任，对使用其技术或服务的深度合成服务使用者通过用户协议、平台规则进行管理。而此种监管模式下，更多地是将深度合成服务使用者视为个人用户（如个人使用换脸APP），貌似忽略了机构、企业使用虚拟人用于对外运营的场景。
这样的监管模式可能会对虚拟人的运营单位与研发单位之间的法律关系造成直接影响，甚至会对虚拟人权益的归属、分配带来冲击。当然我们也需要等待该管理规定的正式版本，不排除正式施行版本比起当前版本进行较大修订的可能性。
-
史宇航，法学博士，执业律师，注册信息安全专业人员（CISP），注册信息隐私管理人员（CIPM）
随着计算机软硬件性能的日益提升，虚拟人的仿真程度日趋提高且使用成本日益低廉，越来越多的场景开始使用虚拟人进行营销、宣传、演出。
比如新华社使用虚拟主播进行新闻播报和采访；万科给虚拟员工颁发了最佳新人奖；阿里使用虚拟网红进行代言营销；而洛天依这样的虚拟演员更是频频登台各大晚会，拥有海量的粉丝；甚至明星们也纷纷推出自己的虚拟人形象，进行广告宣传、直播带货。
另外，利用虚幻引擎或是英伟达等公司的平台工具，制作、使用虚拟人的门槛进一步降低，让即使是普通用户也更容易打造自己的虚拟人形象，以虚拟主播的形式活跃于网络。
在整个虚拟人行业高速发展的同时，法律风险也如影随形。除了诸多传统虚拟形象知识产权领域的法律问题依旧存在，虚拟人伴随着的个人信息保护、科技伦理、深度合成技术的合规义务都需要虚拟人的运营方予以关注。
二、虚拟人的权利基础：版权
版权是企业“掌控”虚拟人的权利基础，因此也是最需要关注的法律问题之一。此前，媒体就报道过B站某签约虚拟主播的形象涉嫌抄袭，后调查显示，该虚拟主播的立绘面部的确与另一虚拟主播高度相似，相关立绘形象为个人约稿。画师也发布道歉声明，承认在创作时“过度借鉴”另一虚拟形象的眼睛部分。
因此，企业在签约或创作虚拟人时，应当尽最大努力确保没有权利瑕疵，即虚拟人的形象不应当抄袭其他虚拟人的形象或真实人物的肖像权。
如果企业与虚拟人运营机构签约或是委托创作，那么需要签约对象或画师进行书面承诺作品原创，且不存在抄袭；如果企业自行创作虚拟人，则可以使用“净室开发”的方案，该方案通常在软件开发中用于降低侵权风险，即依据版权法“创意-表达”两分法的保护思路，对虚拟人形象的创意团队与设计进行分离，确保将开发过程中的版权风险降到最低。
三、虚拟人的数据权益与数据安全
虚拟人与其他传统虚拟形象最大的区别在于虚拟人高度依赖网络空间，以数据的形态存在，所以虚拟人的数据权益几乎等同于自然人的人身权，是虚拟人赖以存在的法律基础。
但遗憾的是，《民法典》中对数据权益的保护着墨不多，仅在第127条中规定“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”而《数据安全法》更多是从安全的角度对数据进行了原则性的规定：“任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。”（第32条）
因此法律目前对包括虚拟人在内的各类数据仅能依据法律原则进行保护，暂缺少具体的内容规定，这一直接后果是相关纠纷的解决需要高度依赖协议中的约定。比如某虚拟人制作软件会在《用户协议》中要求使用者将所有使用该软件制作的虚拟人数据权益以知识产权的形式免费授权给软件开发公司：
虚拟人的运营方作为数据处理者，需要履行的数据保护义务：1）建立健全全流程数据安全管理制度；2）组织开展数据安全教育培训；3）采取相应的技术措施和其他必要措施，保障数据安全；4）在网络安全等级保护制度的基础上，履行数据安全保护义务。此外，在一些特殊的场景下，虚拟人的运营方也需要关注人格权保护的法律风险。
四、人格权：虚拟人背后的个人信息、声音及其他
尽管虚拟人并不直接具有人格权，很多场景下虚拟人也不是由真人直接扮演，但在虚拟人背后仍可能由自然人提供动态捕捉的素材或是配音，依旧涉及个人信息与声音保护的问题。
对于动作捕捉技术，在一些动作确实有可识别性，因为步态识别已经是一项较为成熟的技术，并且国家标准《信息安全技术 步态识别数据安全要求（征求意见稿）》就曾公开征求意见。如果是以特定动作作为虚拟人特色的，那么需要特别关注相关动作捕捉人员的个人信息问题，获得相应的授权。
声音的授权更加复杂，如果是直接配音，那么根据《民法典》自然人的声音是参照肖像去进行保护，并且也需要考虑声音具有可识别性的问题。那么，在获取授权时，需要同时获得声音权益与个人信息两项不同权益的授权。
而在一些特殊的场景下，用虚拟人对现实或已故的自然人进行还原，则会面临更复杂的问题，比如足球、篮球或其他运动游戏中，对真实运动员的还原是重要卖点之一，但如何取得肖像授权却是极为困难。比如EA的足球游戏宣称通过FIFPro（国际职业足球运动员联合会）获得了球员肖像权的授权，但仍旧会被质疑球员从未给FIFPro提供过授权。此外，游戏中对于球员数据的模拟，也会是一个极具争议的问题，毕竟没有球员会希望见到自己在游戏中的数值偏低。
因此，尽管虚拟人不具有人格权，但虚拟人背后自然人的各项人格权益仍然是不可忽视的一个问题，是用虚拟映射现实时无法回避的一个问题。
五、虚拟人与科技伦理
使用虚拟人技术模拟已故或在世的知名人物或近亲属已经完全可以做到以假乱真，虚拟人在网络空间的频繁出现也会改变人与人之间的社会关系。换言之，虚拟人因为高度的拟真性，因此在很多场景下具有相当高的科技伦理风险。
2022年3月，中共中央办公厅、国务院办公厅正式印发《关于加强科技伦理治理的意见》，划定了我国未来一段时间科技伦理治理工作的路线图。而此前，2021年九部委发布的《关于加强互联网信息服务算法综合治理的指导意见》要求“企业应建立算法安全责任制度和科技伦理审查制度”。在《互联网信息服务深度合成管理规定（征求意见稿）》中也要求“深度合成服务提供者和深度合成服务使用者应当遵守法律法规，尊重社会公德和伦理，坚持正确政治方向、舆论导向、价值取向，促进深度合成服务向上向善。”
在数据安全角度，虚拟人作为一项使用了大量新技术的业务场景，应当关注科技伦理的合规要求。《数据安全法》第28条专门规定了：“开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。”
虚拟人运营企业作为自身研发、运营过程中科技伦理审查的第一责任人，需要将科技伦理的合规嵌入到运营工作中的全流程中，通常需要：1）组建伦理委员会或专门的审核小组，总体负责虚拟人技术的伦理规范审查；2）制定虚拟人伦理审查管理制度，明确各部门的职责与注意事项；3）将伦理审查嵌入项目立项、对外合作、客户服务、员工培训等各个工作环节；4）等等。
在企业内部建立虚拟人伦理审查的机制，是为了更好地在纠纷发生时保护企业，确保虚拟人业务能够“长命百岁”。
六、虚拟人使用深度合成技术的合规与思考
深度合成技术是虚拟人最为重要的技术基础之一，正是因为深度合成技术的使用提升了虚拟人的拟真程度。
2022年1月，国家网信办发布《互联网信息服务深度合成管理规定（征求意见稿）》，就深度合成技术的规制公开征求意见，征求意见稿将以下与虚拟人相关的深度学习的技术列为规制范围：
在《互联网信息服务深度合成管理规定（征求意见稿）》中，专门要求在提供虚拟人相关的深度合成服务商时，应当使用显著方式对深度合成信息内容进行标识，向社会公众有效提示信息内容的合成情况（第14条）。
在当前版本的征求意见稿中，我国规划要求深度合成服务提供者承担部分监管责任，对使用其技术或服务的深度合成服务使用者通过用户协议、平台规则进行管理。而此种监管模式下，更多地是将深度合成服务使用者视为个人用户（如个人使用换脸APP），貌似忽略了机构、企业使用虚拟人用于对外运营的场景。
这样的监管模式可能会对虚拟人的运营单位与研发单位之间的法律关系造成直接影响，甚至会对虚拟人权益的归属、分配带来冲击。当然我们也需要等待该管理规定的正式版本，不排除正式施行版本比起当前版本进行较大修订的可能性。
-
史宇航，法学博士，执业律师，注册信息安全专业人员（CISP），注册信息隐私管理人员（CIPM）
