◎文 《法治日报》记者 辛红 《法人》见习记者 姚瑶
9月2日，机器人企业宇树科技在社交平台上宣布，公司预计在2025年第四季度向证券交易所提交申报文件，届时相关运营数据将正式披露。这意味着，这个曾在春晚爆火出圈的科技企业即将上市。消息公开后，立即获得市场关注。
如今，我国具身机器人既能在世界人形机器人运动会中取得优异成绩，也能在不同场景应用中落地。然而，在产业狂飙的背后，具身机器人的数据安全问题随之浮现。具身机器人依赖传感器采集环境数据，采集的内容涉及人脸、声音、地理位置等敏感信息，企业将如何面对其中的法律风险？又应如何平衡具身机器人的技术创新与隐私保护？
▲8月9日，以“让机器人更智慧，让具身体更智能”为主题的2025世界机器人大会在北京举行，汇聚200余家企业、1500余件创新产品，其中包括100余款首发新品。 CFP
近日，《法人》记者采访了北京盈科数字经济和人工智能研究会主任王风和、北京金诚同达（上海）律师事务所管理合伙人、高级合伙人张云燕以及北京市康达律师事务所高级合伙人苟博程三位专家，谈谈具身机器人在数据安全和保护方面的法律热点。
开发企业面临三重法律风险
记者：具身机器人在运行过程中需要采集环境数据，其开发企业将可能面临哪些法律风险？
张云燕：目前来看，最大的风险主要体现在个人隐私保护、知识产权保护、数据跨境三个方面。首先，在个人隐私保护方面，如果企业在采集数据时未取得用户的知情同意，或超出“最小必要”范围，就可能违反《中华人民共和国个人信息保护法》（以下简称“个人信息保护法”），不仅面临行政处罚，还可能引发大规模的人格权诉讼。
其次，涉及知识产权保护，尤其是当机器人需要处理或存储文本、图像、视频等内容时，如果这些数据本身受到著作权、商标权保护，而企业未取得授权，就可能构成知识产权侵权。
最后，在数据跨境传输环节，如果机器人依赖云端服务或跨境算力，或有意与境外企业开展产学研合作，企业若未经安全评估就将数据传出境，会触碰《中华人民共和国数据安全法》（以下简称“数据安全法”）《数据出境安全评估办法》的合规红线。
王风和：为平衡AI数据采集需求与用户隐私保护，企业应采取技术、管理、法律等多维度措施，强化数据保护、合规管理、技术伦理和问责机制，实现AI技术的可持续发展与用户隐私保护的平衡。
记者：在技术开源方面，具身机器人企业是否会面临一些容易被忽视的法律风险？
张云燕：在技术开源方面，企业很有可能面临知识产权风险。很多机器人底层软件、模型用的都是开源资源以节省成本，用的比较多的就是大语言模型，如DeepSeek。但是大语言模型很多训练用语料都来自于所谓的“公开资源”，其本身就可能存在权利瑕疵。例如，ChatGPT就是因为训练时包含《纽约时报》的语料而被起诉索赔。如果企业盲目使用开源模型制作产品，就可能侵犯他人权利。
王风和：技术开源与知识产权风险是研发环节最典型的“内嵌陷阱”，这个问题有点复杂，经营者要高度重视，否则会带来潜在的法律风险。比如，开源协议并非意味着“免费随意使用”，例如，部分开源协议（如Apache 2.0）包含明确的专利授权条款，贡献者会授予使用者相关专利的许可，但协议错综复杂，可能存在未明确声明的专利风险。公司使用了某个开源组件，但其功能可能无意侵犯了第三方的某项专利（该专利并未包含在开源协议的授权中），从而导致隐蔽的专利侵权，其复杂性会给商业产品带来巨大风险。
数据合规是核心问题
记者：具身机器人企业应如何平衡数据采集需求与用户隐私保护？
王风和：数据采集与用户隐私保护是一体两面，二者都要做好，不能偏废，需要构建平衡的机制。这里的平衡并非意味着“牺牲业务保安全”，而是通过架构化、流程化的设计，将隐私保护内嵌于业务流程之中，实现“合规驱动增长”的良好局面。
具体来讲，首先在开发新产品、新功能的最初阶段就引入法务、合规、安全团队，进行隐私影响评估（PIA），而不是事后补救。比如，建立数据分类分级制度，因为不是所有数据都需要同等级别的保护。对企业收集的数据（如个人普通信息、个人敏感信息、非个人信息）进行分类和分级，并据此制定不同的采集、存储和访问控制策略。同时建议设立数据保护官一职，对于处理大量个人信息的企业，应设立专职的数据保护负责人（DPO），负责监督企业的数据合规工作。
其实，数据的采集和隐私保护的核心是数据合规问题，若希望企业行稳致远，数据采集的合规性是必须要面对的课题。企业过去不太重视数据的合规性，企业须从根本上转变思维，数据资产的合规才是企业底层资产的信任基础，数据资产的依法合规、可持续增长才是品牌的核心竞争力。
记者：具身机器人企业应如何保护已采集的数据安全？为满足数据安全合规要求，企业应采取哪些措施？
苟博程：可通过数据分类分级与加密技术，对敏感数据进行识别，例如，对视觉、语音、生物特征等隐私数据进行分类分级，采用差分隐私（如添加噪声）和联邦学习技术（一种AI训练方法），降低数据关联性。采用端到端加密，确保数据链路安全。例如，鸿道操作系统通过微内核架构和加密通信协议保障数据传输安全。
另外，还可将访问控制与权限隔离，限制数据访问范围，如通过角色权限管理（RBAC）和硬件隔离技术（如物理隔离开发环境）防止越权操作。可以在边缘设备（如微控制器）中划分安全区域，确保关键指令仅在内核态执行。此外，还要注意数据生命周期的管理，训练数据集进行去标识化处理，明确数据保留期限，定期安全擦除过期数据，记录数据操作日志，结合区块链技术实现数据流转可追溯。
记者：有企业担心，对数据安全的要求可能会增加成本，也可能限制产品功能实现。对此，你怎样看？
苟博程：可通过技术优化降低成本。例如，开发数据隐私影响评估（PIA）工具，自动识别高风险数据处理场景并生成合规建议。企业也可以仅采集必要数据，通过语义理解减少冗余传感器输入，同时提供隐私设置界面，允许用户选择关闭非必要功能。
政策引导和行业协作也较为重要，如果能推动统一的数据格式和共享协议，则可降低企业重复开发成本。此外，政府也可适当给予补贴与税收优惠，例如，对采用隐私增强技术（PETs）的企业给予研发补贴。
建议构建数据安全保护屏障
记者：当前我国各地出台的监管细则标准不一，是否应建立全国统一标准，对此有何建议？
苟博程：当前各地标准侧重不同，导致企业跨区域合规成本高，在技术壁垒方面也缺乏统一的测试认证体系，无法实现产业链协同创新。《上海市具身智能产业发展实施方案》支持企业、高校和科研院所联合研发多模态数据融合处理技术，打造自主操作系统，搭建模型、数据、算法、操作系统、工具链等全要素开源体系。《杭州市促进具身智能机器人产业发展条例（草案）》提出，探索构建分级分类监管体系与沙盒监管机制，依法推动市政、交通、文旅、自然资源等与具身智能机器人应用环境相关的重点领域公共数据开放共享。建议设定框架性国家标准时参考《人形机器人分类分级应用指南》（L1-L4技术等级），制定数据安全、伦理审查等基础性标准。鼓励上海、北京等地先行先试，通过产业联盟（如国家、地方共建具身智能创新中心）推动标准互认。在国际标准对接方面，建议融入ISO/IEC JTC1/SC42（人工智能标准委员会）框架，提升国际话语权。
记者：如果具身机器人开发企业不注重这些风险，可能带来什么后果？尤其是初创企业，哪些制度必不可少？
张云燕：企业在采集、处理和存储用户数据时，如果不严格遵守法律法规，很容易触碰个人信息保护法和数据安全法的红线。比如，没有取得用户同意就采集敏感信息，或者数据存储和跨境传输不符合要求，都可能带来行政处罚、民事赔偿甚至商誉损害等风险。所以企业要建立全流程数据管理机制，做到依法合规收集、最小必要原则、去标识化处理，同时明确用户告知和授权流程，让数据利用在合规、安全的前提下进行。
王风和：企业在拥抱科技浪潮的同时，必须将“科技合规”与“法律风控”提升到战略高度，将其内化为企业核心竞争力。
具体来说，在数据安全方面，要构建安全与隐私保护屏障，在产品架构中内置安全模块（如数据加密、安全启动、入侵检测）。优先采用匿名化、联邦学习等技术，在源头上减少数据风险。
同时，建立AI科技公司双层公司治理机制，落实全面风控，开放合作共赢。建立在公司法基础上更严格的公司治理体系，进行全面科学AI知识产权布局，防止新科技、新方法被侵犯，积极申请核心专利，构建专利池，逐渐自然形成技术壁垒和科技竞争优势。
此外，应用开源技术，应确保新产品不侵犯他人权利，也要防止开源协议隐含的合规风险。企业运营者要建立危机应对机制，制定详细的数据泄露、安全事故、产品召回等应急预案，并进行演练，确保在危机发生时能够迅速、妥善地响应，最大限度减少损失。
审核｜白馗 王婧 渠洋
校对｜惠宁宁 张雪慧 张波
编辑：明东
