新西兰的做法:注重指导而非立法

新西兰没有独立的人工智能法。与欧盟不同,欧盟制定了一套全面的、基于风险的监管规则,而新西兰选择了一种以推动采用为导向、以原则为基础的路径,通过现有立法,主要是《2020年隐私法》,辅以自愿性框架和政府指导意见来实现。这是一项审慎的政策选择,而非有待填补的空白:新西兰商业、创新与就业部(MBIE)于2025年7月发布的《国家人工智能战略》阐明了政府的立场,即支持负责任人工智能的采用,而不是设置可能制约创新的强制性要求。

对于在新西兰运营的组织而言,这意味着人工智能合规义务来自已经适用于所在行业和业务活动的现行法律框架,而非某部新的人工智能专门法规。主要框架包括:《2020年隐私法》(适用于任何处理个人信息的人工智能);《1986年公平交易法》(适用于可能误导消费者的人工智能生成内容或宣称);《1993年公司法》及董事职责规定(适用于负责治理人工智能风险的董事会);以及行业性框架,包括新西兰储备银行针对金融服务业的风险管理要求,以及适用于医疗保健人工智能的《健康信息隐私准则》。隐私专员发布的《2025年生物特征处理隐私准则》(于2025年11月3日生效,现有系统的合规截止日期为2026年8月3日)是另一项具有约束力的文件,直接适用于人工智能驱动的人脸识别及类似生物特征识别系统。

《2020年隐私法》:人工智能的主要法律义务

在实践中,新西兰《2020年隐私法》是与人工智能治理最直接相关的法律框架。该法的信息隐私原则(IPP),包括最初的十三项原则以及2026年新增的IPP 3A,适用于任何收集、使用或披露个人信息的“机构”,而这一定义几乎涵盖了所有企业和政府机构。凡是利用个人信息进行训练、在推理过程中处理个人信息,或利用个人信息对个人作出决策的人工智能系统,均需遵守这些信息隐私原则。

与人工智能最相关的原则包括:IPP 1(仅可为合法目的收集个人信息);IPP 3(除非适用例外情形,否则应直接向个人本人收集信息);IPP 8(使用信息前须核实信息准确且为最新);IPP 10(仅可将个人信息用于收集时所声明的目的);以及IPP 11(未采取充分保护措施,不得向境外接收方披露个人信息)。对于在新西兰境外处理个人信息的人工智能供应商而言,IPP 12(境外传输前的披露)以及境外保护措施是否充分尤为重要。

根据《2025年隐私修正法》(于2025年9月24日获得御准),一项重大变化已于2026年5月1日起生效:新增的IPP 3A要求机构在间接收集个人信息时,即从个人本人以外的来源收集信息时,须通知相关个人。对于从多个来源(社交媒体、第三方数据经纪商、行为分析)汇集个人信息的人工智能系统而言,这项通知义务现已正式生效,需要对数据收集做法进行审查。

隐私专员办公室(OPC)有权调查隐私投诉并提出建议。严重违反《隐私法》的行为,隐私专员可将案件移交人权审查法庭处理,该法庭有权判处损害赔偿。OPC已发布了关于人工智能与信息隐私原则的具体指导意见,明确人工智能系统的设计必须遵循隐私设计(privacy by design)原则,而且影响个人的自动化决策必须做到透明并可申诉。

《新西兰(奥特亚罗瓦)算法宪章》

《新西兰(奥特亚罗瓦)算法宪章》是一项自愿性承诺,政府机构可通过签署该宪章,承诺以公平、合乎道德和透明的方式开发和使用算法(包括人工智能)。签署机构须承诺遵循六项原则:对算法决策保持人为监督;在算法设计中纳入《怀唐伊条约》及毛利人的视角;确保算法运作方式的透明度;评估对个人和社区的影响;公布有关重大算法的信息;以及为受算法决策影响的个人建立明确的申诉渠道。

《算法宪章》不具有法律约束力,且就目前而言私营部门组织尚不能签署该宪章。然而,它体现了政府对负责任算法使用的期望,并提供了一套私营部门组织可以参照采用的实用治理框架。对于任何处理毛利社区数据,或在涉及毛利个人的场景中使用人工智能的组织而言,宪章中所包含的《怀唐伊条约》相关考量尤为重要,毛利数据主权原则强调对数据的集体权利,要求使用来自毛利社区或涉及毛利社区数据的人工智能系统尊重伊维(iwi)和哈普(hapū)对该数据的治理权。

《2025年国家人工智能战略》对企业意味着什么

MBIE于2025年7月发布了新西兰首份国家人工智能战略,同时配套发布了面向企业的负责任人工智能指导意见。该战略明确以推动采用为导向:旨在降低人工智能投资的障碍,厘清现行法律如何适用于人工智能,并协调政府能力建设工作。该战略并未引入新的强制性义务。

该战略中面向企业的负责任人工智能指导意见建议各组织:建立人工智能清单;在部署人工智能前开展隐私和伦理审查;在上线前测试偏见和稳健性;对重大的人工智能辅助决策保持人为监督;实施持续监测;并对治理流程进行文档记录。这些均为自愿性建议,但与《隐私法》的法定要求以及各行业监管机构日益提高的期望相一致。对于受监管行业,该战略明确确认,来自储备银行、金融市场管理局、健康与残障专员等机构的行业特定义务优先适用,且须全面遵守。

政府还于2025年7月宣布成立新西兰先进技术研究院,这是一项由MBIE孵化、投资2.31亿新西兰元的计划(2025至2029年),旨在加快在具有重要商业价值的行业中采用人工智能。尽管该计划的重点在于创新,但它也表明政府正对人工智能基础设施进行重大投资,并预示了监管走向:即在采取适当保障措施的前提下推动采用,而非采取限制性的事前监管。

新西兰各组织当前应采取的行动

对于新西兰境内任何使用会处理个人信息的人工智能的组织而言,当前的合规要求包括:对照《2020年隐私法》的信息隐私原则审查人工智能系统;针对任何从个人本人以外的来源汇集数据的人工智能系统,落实IPP 3A间接收集通知要求(自2026年5月1日起生效);审查人工智能供应商合同,确保满足IPP 11和IPP 12项下的境外披露义务;并记录重大人工智能辅助决策如何能够向受影响个人作出解释并接受其质疑。

对于受监管行业(金融服务、医疗保健、关键基础设施)中的组织而言,除《隐私法》外,还须遵守来自金融市场管理局、储备银行和健康与残障专员的行业特定义务。对于政府机构及其承包商而言,《算法宪章》提供了一套实用的治理框架,并表明了监管机构所期望的标准。

短期内最值得关注的动向是:隐私专员关于人工智能与信息隐私原则的指导意见,以及倘若自愿性做法被证明不足,监管走向更具强制性框架的任何举措。欧盟委员会对新西兰作出的充分性认定(该认定允许数据从欧盟传输至新西兰而无需采取额外保障措施)持续促使新西兰将其隐私标准维持在与GDPR大致一致的水平,包括欧盟根据GDPR第22条所维持的自动化决策保护措施。

延伸阅读:OECD人工智能政策观察站

相关阅读

延伸阅读:OECD人工智能政策观察站