你有没有想过，自己和ChatGPT聊过的内容，有一天可能会影响你看到的广告？

比如，你向AI咨询跳槽、规划旅行、讨论家庭开支，甚至倾诉一些不愿意告诉身边人的事情。原本只是希望得到建议，但如果这些对话被用于分析兴趣、判断需求，再据此推荐商品或服务，你会介意吗？

过去，互联网广告主要通过搜索记录、浏览行为、Cookie等信息了解用户。如今，随着AI聊天工具融入日常生活，广告系统可能获得更加具体的对话信息。用户关心什么、正在经历什么、接下来准备做什么，都有可能在一次聊天中被提及。

2026年11月10日，列支敦士登数据保护局(Datenschutzstelle Liechtenstein)发布了一份关于ChatGPT个性化广告功能的隐私提示，将这一问题再次带入公众视野。

监管机构重点关注的是当用户的聊天内容成为广告个性化的数据来源时，个人隐私应该如何受到保护？

cr：列支敦士登公国数据保护办公室

根据列支敦士登数据保护局发布的信息，OpenAI计划未来在欧洲面向ChatGPT免费版及Go订阅用户提供个性化广告功能。

按照目前披露的方案，这类广告需要用户事先选择同意(Opt-in)，可用于个性化处理的信息可能包括过去和当前的聊天内容、使用数据及设备信息。

这并不说明个性化广告已经在欧洲全面上线。OpenAI目前的官方也指出，个性化广告尚未在欧洲经济区(EEA)及瑞士初始开放。

但，2026年10月2日，德国柏林数据保护与信息自由专员办公室就已针对ChatGPT个性化广告发布提醒。11月10日列支敦士登监管机构再次强调相关风险，表明AI对话数据的商业化利用，正在成为欧洲隐私监管关注的话题。

为什么聊天记录会比普通搜索记录引发更多担忧？

举个例子。

一个人在搜索引擎输入“欧洲旅游攻略”，广告系统可能据此判断他有旅行需求。

但如果他与AI进行完整对话，提到一家四口出行、预算有限、孩子需要特殊照顾，还计划在旅行后寻找海外工作机会，那么这些内容可能反映出更丰富的个人情况。

搜索记录通常是零散的信息，而连续的AI对话可能同时包含消费能力、家庭关系、职业规划、生活习惯及个人偏好。这些信息一旦用于广告画像，企业识别用户需求的能力就可能进一步增强。

是不是觉得平时上购物软件感觉被视奸了，没错，这种精准推荐有可能就是这样获取你的需求，并推荐给你！所以问题来了，用户为了获得AI建议而提供的信息，能否被进一步用于商业营销？

这是此次监管提示中值得关注的细节。

按照OpenAI披露的方案，用户可以拒绝个性化广告，但这并不等于系统完全不再利用当前聊天的上下文选择广告。

这里需要区分两种广告模式。

在用户同意且功能开放的情况下，系统可能结合历史聊天、当前对话、使用行为及设备信息，提高广告与用户兴趣的匹配程度。

例如，用户过去多次讨论职业提升、英语学习或留学规划，相关信息可能被用于判断广告内容是否符合其兴趣。

即使用户没有同意跨对话的广告个性化，系统仍可能结合当前聊天主题、一般位置、时间等有限信息选择广告，但不为此使用或建立跨对话的广告用户画像。

在欧洲隐私政策中，OpenAI对这类处理所主张的法律依据是GDPR第6条第1款(f)项中的合法利益(Legitimate Interests)。

两种模式涉及的数据范围和处理依据并不相同。

对于隐私合规从业者来说，这次事件涉及几个重要的GDPR知识点。

其一，用户同意不是一个简单的勾选动作。

GDPR第6条第1款(a)项允许在有效同意的基础上处理个人数据，但GDPR第7条以及欧洲数据保护委员会(EDPB)的相关指引，对同意提出了明确要求。

同意需要出于用户自由意愿，针对具体目的，在充分知情的情况下，通过明确的肯定行为作出。简单来说，企业不能仅凭一句模糊的“继续使用即表示同意”，就当然获得将所有历史对话用于广告画像的授权。企业需要让用户理解数据将被怎样使用，并提供符合规定的拒绝和撤回机制。

其二，聊天内容可能涉及特殊类别个人数据。

按照GDPR第9条，健康信息、宗教信仰、政治观点等特定类别的个人数据受到更严格保护。

AI对话与传统网页浏览存在差异。用户可能在不经意间透露身体状况、心理困扰、家庭关系或其他私密信息，系统也可能通过上下文推断出敏感特征。

如果数据处理涉及GDPR第9条规定的特殊类别个人数据，企业不仅需要满足第6条的合法处理依据，还必须符合第9条的适用例外条件。因此，不能简单认为用户同意了广告个性化，平台就可以不受限制地利用各种敏感信息。

其三，原本用于回答问题的数据，能否用于广告？

这涉及GDPR第5条的目的限制(Purpose Limitation)原则。

用户向AI输入信息，通常是为了获得回答、生成内容或完成工作任务。将这些信息进一步用于商业广告，属于需要独立审视的数据处理目的。

企业应当评估处理目的、合法性基础、透明度要求，以及数据使用范围是否适当。AI能够分析大量聊天内容，并不意味着企业可以不加区分地将这些信息投入广告系统。

ChatGPT个性化广告争议并非孤立事件，而是AI商业化过程中一个具有代表性的问题。

过去，企业的数据合规工作主要围绕网站Cookie、客户信息、员工数据、第三方供应商和跨境传输等场景展开。如今，生成式AI使数据处理链条更加复杂。            

对于企业而言，至少要关注三个方面。

一是数据用途是否清晰。企业需要区分提供AI服务、改善模型、广告个性化等不同处理目的，并分别评估相应的法律依据。

二是用户权利能否有效实现。包括知情、访问、反对、撤回同意及其他适用的数据主体权利，不能只停留在隐私政策文字中。

三是是否建立相应的风险管理机制。当AI系统可能处理大量个人信息、形成用户画像或涉及敏感数据时，应结合具体风险评估数据保护影响评估(DPIA)的必要性，并落实数据最小化、访问控制及处理记录等措施。

这也反映出当前隐私合规工作的一项变化：合规人员不仅需要理解法律条款，还需要了解AI系统如何收集、分析、保存和使用数据。

从搜索引擎到社交平台，再到如今的生成式AI，互联网服务了解用户的方式一直在变化。过去，我们担心的是浏览记录被追踪；现在，我们开始思考，与AI之间的对话可能被如何分析和使用。

AI带来的便利毋庸置疑，但便利不应意味着个人信息可以被无限延伸使用。对于企业而言，技术创新和商业价值固然重要，用户信任同样需要长期维护。

当AI能够理解越来越多的个人需求，数据保护就不能只依赖一份隐私政策或一个同意按钮，而应当融入产品设计、数据治理与业务决策之中。

对于法律、风控、数据安全及隐私合规从业者来说，这也是值得关注的职业发展方向。如果希望系统学习GDPR、国际隐私法规及AI治理知识，可以关注IAPP国际隐私专业人员协会旗下的CIPP/E、CIPM、AIGP等认证，结合自身岗位选择相应方向。

威普爱生教育提供IAPP相关认证培训与备考支持，欢迎添加小私vx：yinxiaosi00，免费评估考试资格，了解考试安排、课程及学习资料。