模型训练与获取训练数据的版权风险，需要分别核查吗？
需要分别核查数据获取、复制留存和模型训练。美国法中的合理使用判断依赖具体事实，项目仍应核对来源、授权范围、使用目的与市场影响。中国及其他法域的项目还需要另行确认适用规则。
核对原文 美国版权局AI与版权专题及训练报告
摘要：2025年至2026年，Anthropic“巴拿马计划”与亚马逊VGT3仓库的两起“买书毁书”事件相继曝光，前者已以15亿美元的集体诉讼和解落地，成为AI训练数据版权诉讼风险的第一个可量化价格。对企业而言，这起案件真正的价值不在于其学理贡献，而在于它把一个抽象的合规问题，变成了一套可以直接搬进风险清单的操作标准：训练本身可以主张合理使用，但获取数据的方式必须独立经受审查，二者不能相互救济。本文以合规律师的视角，拆解裁判确立的三条判断标准、还原15亿美元和解背后的敞口测算逻辑，判断这条路径在中国法下是否可复制，并针对AI模型开发方、内容版权方、企业采购方、投资尽调方四类主体，给出可以直接落地的行动清单。
关键词：AI训练数据 著作权 合理使用 数据来源合规 Bartz诉Anthropic案
一、案件速览：三个动作，两种结局
Anthropic的训练数据来自两条管道：一条是2024年启动的“巴拿马计划”——批量购入二手纸质书，拆除书脊、整本扫描、销毁原件；另一条是2021年起由联合创始人经BitTorrent从盗版站点批量下载的逾700万册电子书，长期保存在内部服务器中。2026年8月，404 Media的调查报道显示，亚马逊在拉斯维加斯VGT3仓库采用了高度相似的书籍处理流程，据报道用于AI模型训练；该流程与具体Nova型号的完整对应关系，尚待权威材料进一步证实。[1]
2025年6月23日，主审法官William Alsup在即决判决中把“用书训练模型”拆成三个动作分别评价，结论截然不同：[2]
| 行为 | 法院认定 | 关键理由 |
|---|---|---|
| 用书籍训练模型 | 构成合理使用 | 具有高度转换性，不替代原作阅读 |
| 购买纸书、扫描、销毁原件 | 构成合理使用 | 复制件总量未增加，属于载体转换 |
| 从盗版站批量下载建库 | 不构成合理使用 | 获取行为本身即完成侵权，与用途无关 |
2026年7月20日，法院对15亿美元的集体诉讼和解作出终局批准，覆盖482,460部作品，主要对应的正是第三类行为——盗版下载。这份判决对企业最有操作价值的一句话是：合理使用能够豁免的是“怎么用”，不能豁免“怎么拿”。这也是本文其余部分展开的唯一线索。
二、风险拆解：训练数据的三道合规关口
2.1 训练本身：转换性抗辩不是护身符
法院认定训练具有转换性，绑定于两个具体事实：原告未主张模型输出复现了原作内容，且Anthropic为产品部署了防止逐字输出的过滤机制。这意味着转换性抗辩不是自动生效的——它依赖两项可被反证的事实前提。企业需要能够证明：模型没有能力大段复现受保护表达，且已部署相应的技术过滤措施。缺乏这两项证据支撑，训练环节的合理使用抗辩在诉讼中并不牢靠。
2.2 破坏性扫描：合理使用的三个前提条件
法院明确声明，这项认定“并未确立所有书籍扫描均属合法的一般规则”，而是绑定于三个具体事实同时满足：
| 前提条件 | 具体要求 | 缺失后果 |
|---|---|---|
| 购买行为真实发生 | 有可追溯的采购凭证，非套牌、代购或来源不明的批量交易 | 无法证明取得的合法性起点 |
| 一比一格式转换 | 扫描不增加复制件数量，不同时保留纸质与数字两份可用副本 | 复制件总量增加，性质等同于新增复制 |
| 原件确已销毁 | 有可验证的销毁记录，且不存在未销毁的库存 | 首次销售原则的适用基础不成立 |
三个条件是并列关系，缺一不可。这也是合规审查中最容易被企业内部误判的地方——“我们确实买了书”只满足了第一项，不能替代对另外两项的核查。
2.3 盗版下载：独立于使用评价的获取违法
法院的论理可以浓缩为一句合规提示：从非法渠道取得作品的那一刻，侵权已经完成，且不因后续训练具有转换性而被追溯免责。事后补购正版、纳入合规数据集，都不能消除此前非法获取行为本身的侵权性质，至多影响法定赔偿数额的裁量。对企业而言，这是一条不能通过后续补救清洗掉的历史责任——语料库的“数据血统”一旦被污染，无法靠下游合规动作漂白。
三、把风险换算成数字：企业该如何测算敞口
《美国版权法》第504条(c)款规定，故意侵权的法定赔偿上限为每部作品15万美元。[3]将本案的三个价格锚点并置，是合规律师做成本收益分析时最实用的参照系：
| 路径 | 每部作品的实际/理论成本 | 说明 |
|---|---|---|
| 盗版下载、经诉讼和解 | 约3,000～3,100美元 | 15亿美元 ÷ 482,460部作品 |
| 市场化许可（如HarperCollins/微软） | 约5,000美元 | 已公开报道的授权交易价格 |
| 法定赔偿顶格 | 150,000美元 | 17 U.S.C. §504(c)，故意侵权情形 |
以本案规模测算，若按法定赔偿顶格计算，理论敞口约达723亿美元；即便按较保守的每部3万美元估算，仍高达约145亿美元——这正是Anthropic在开庭前选择和解的经济动因。企业测算自身敞口时，最简单的公式是：涉案作品数量 × 每部15万美元法定赔偿上限 = 理论最大敞口。这个数字通常会远超过事前建立合规数据来源体系的成本，这也是本文第五、六节所有建议的经济学基础：合规审查成本远低于诉讼与和解成本。
还有一点提醒客户注意：案件以和解结案，Alsup关于合理使用的裁定未经上诉审确认，不构成对全美国具有拘束力的先例。目前在美国联邦法院系统内推进的几十起同类诉讼，完全可能得出不同结论——15亿美元买断的是这一个案子，不是这类风险的确定性答案。
四、这条路径能否在中国复制：结论与理由
结论：不能。建议企业不要将“合法购买+破坏性扫描”视为可移植到中国业务的合规范本，理由有二。
其一，制度基础不同。美国合理使用采开放式标准，《美国版权法》第107条四要素仅是非排他性考量因素，法院可以通过判例扩展边界。中国《著作权法》第二十四条列举十二类具体情形，并保留由法律、行政法规另行规定的转介条款；现行法律、行政法规尚未为AI训练单独增设例外。商业性、规模化、全文式的模型训练难以被涵摄于现行具体情形。这意味着Anthropic在美国可以援引的“转换性使用”抗辩，在中国现行法框架下没有直接对应的制度出口。
其二，中国已经用行政规章把“合法来源”设成了前置义务，而不是留给事后诉讼去认定。[4]《生成式人工智能服务管理暂行办法》第七条要求训练数据处理活动“使用具有合法来源的数据和基础模型”，第十九条要求企业能够就数据来源作出说明；《数据安全法》第三十二条要求数据收集采取合法正当方式。换言之，中国企业面对的不是“打不打得赢官司”的问题，而是能否在监管检查、投诉响应、诉讼举证任一环节，拿出一份经得起审查的来源说明。
需要留意的司法动向：杭州互联网法院审理的“奥特曼案”确立了输入端相对宽容、输出端从严审查的思路；最高人民法院院长张军在2026年3月的工作报告中提出，对已善尽注意义务的AI服务提供者应把握“容错”空间。[5]但这句话的前提是“已善尽注意义务”，能否证明，取决于企业是否留存了可供审查的记录。这正是第六节要解决的问题。
五、四类主体合规行动清单
5.1 AI模型开发者 / 训练数据采购方
- ☐ 建立训练数据来源台账，记录每一批数据的获取时间、渠道、授权文件编号或采购凭证、经手人；
- ☐ 立即排查语料库中是否存在来自LibGen、Books3、Z-Library、Anna's Archive、Sci-Hub等已知盗版站点的文件，发现即删除并留存删除记录；
- ☐ 不要指望合理使用兜底——来源不干净，获取环节本身即构成独立侵权，训练用途的转换性无法救济；
- ☐ 在数据工程流程中设置来源合规审查节点，防止工程师自行爬取、私下扩充语料库；
- ☐ 不保留超出训练需要的原始文件，建库长期留存与用完即弃是两种不同性质的行为，前者风险显著更高；
- ☐ 若采用“购买+扫描”路径，同步核查本文2.2节的三项前提条件，并留存可验证的销毁记录。
5.2 内容创作者 / 版权方
- ☐ 检索自己的作品是否出现在已披露的训练数据集或诉讼材料清单中，保存时间戳与证据；
- ☐ 面对和解协议，逐字核对豁免范围条款——多数和解只处分历史复制行为，输出端主张与未来行为通常不在其中；
- ☐ 保存作品登记证明与首次发表记录，作为参与集体诉讼或单独维权时的权属证明材料。
5.3 企业AI采购 / 部署方
- ☐ 采购合同中写明数据具体来源渠道、供方权利担保、因数据来源问题被第三方追责时的赔偿责任条款，不接受“来源合法”这类概括性陈述；
- ☐ 将数据来源合规纳入供应商尽调清单，与信息安全、代码合规同级审查；
- ☐ 保留供应商资质文件与沟通记录，作为被追诉时证明自身已尽注意义务的材料；
- ☐ 要求供应商提供“取得过程证明”而非笼统的来源分类标签（详见第六节）。
5.4 投资人 / 并购尽调方
- ☐ 将训练语料来源列为独立尽调项，与代码、专利、数据安全并列，不能只查估值模型不查数据血统；
- ☐ 核查目标公司是否已卷入相关诉讼，或收到版权方的通知函；
- ☐ 重点核查创始团队早期的数据获取行为——本案中被追责的正是2021年的历史操作，追诉发生时公司估值已在完全不同的量级，训练数据的历史负债不会体现在资产负债表上。
六、从标签到证据链：训练数据合规体系搭建
企业描述数据来源时习惯使用“公开数据”“购买数据”“合作数据”“自有数据”等标签，但这类标签经不起监管检查或诉讼举证的推敲：“公开”不意味着可以任意复制，“购买”可能只取得了一份载体，“合作”不代表合作方有权许可训练性使用。真正管用的，是一条可以完整还原的证据链——本文称之为“取得过程证明”，至少应包含五层记录：
| 层次 | 核心内容 |
|---|---|
| 来源身份 | 作品、作者、出版者、数据提供方、取得日期、对应数据批次 |
| 取得权利 | 所取得者是所有权、访问权、复制许可还是专门的训练许可；许可主体是否有权授权、是否覆盖机器学习用途 |
| 处理过程 | 拆解、扫描、格式转换、去重、标注等每一步操作，及原件是否销毁、由谁完成 |
| 实际用途 | 数据进入了哪一模型、处于哪一训练阶段、退出使用后衍生副本是否同步删除 |
| 披露一致性 | 实际取得方式与对外披露、模型卡、监管材料是否相互印证 |
对应的采购合同，建议至少包含以下条款：数据目录及版本清单、逐类内容的权利基础与许可证明、训练与再许可范围的明确界定、禁止来源与高风险数据的排除规则、权利状态变化后的通知与下线机制、审计配合与侵权责任分担条款。若供应商只能交付数据、无法交付取得过程的证明，企业买到的很可能不是一项资产，而是一包无法定价的历史风险。
组织层面，建议落实四项机制：数据按来源合法性分级隔离存储（已获授权/公有领域/来源存疑/明确违法四档，禁止混放）；获取合法性与使用转换性双线审查，任一方存疑均不得放行；输出端部署防止逐字复现的过滤机制；全链路留痕并针对监管问询、权利人投诉预先准备应答口径与证据包。
七、一页纸自查清单
| 检查项 | 是否具备 |
|---|---|
| 是否存在来自已知盗版站点的语料，且已完成排查与清理 | ☐ 是 ☐ 否 ☐ 待排查 |
| “购买+扫描”路径是否同时满足购买真实、一比一转换、原件销毁三项条件 | ☐ 是 ☐ 否 ☐ 部分满足 |
| 是否为每一批训练数据建立了来源、权利、处理、用途、披露五层记录 | ☐ 是 ☐ 否 ☐ 部分建立 |
| 数据采购合同是否包含来源担保之外的可执行条款 | ☐ 是 ☐ 否 |
| 模型是否部署了防止逐字复现受保护表达的过滤机制 | ☐ 是 ☐ 否 |
| 是否已按合法性将数据分级隔离存储，避免合规与违规数据混放 | ☐ 是 ☐ 否 |
| 是否已就监管检查、权利人投诉准备应答口径与证据包 | ☐ 是 ☐ 否 |
结语
Bartz诉Anthropic案给企业的启示，不是“训练数据能不能用”，而是一套可以直接拿来做风险分级的标准：训练本身的抗辩是有条件的，破坏性扫描的合法性系于三个可核查的事实，盗版下载是无法被后续合规动作治愈的历史责任。这套标准即便在美国也只是地区法院层面的判断，在中国现行法下更没有对应的制度出口——中国企业面对的是行政规章设定的前置义务，而不是留待诉讼去廓清的模糊地带。真正能够降低风险的，从来不是寻找下一处制度空子，而是把数据取得的合法性建成一套可以拿出来给监管、给投资人、给法院看的证据体系。这件事现在做，成本是合规团队的工作量；出了事再补，成本是按件计价的法定赔偿。
说明：本文所涉案件事实、判决内容与法律条文，以美国联邦地区法院公开裁判文书（Bartz v. Anthropic PBC, No. 3:24-cv-05417-WHA, N.D. Cal.）、和解协议公开文件及中国现行有效法律法规为准；部分产业事实来自媒体调查报道，尚待权威信源进一步印证。本文为一般性合规提示，不构成对任何具体项目的法律意见，具体判断应结合个案事实咨询专业律师。
注释与资料来源
- 相关事实依据404 Media于2026年8月发表的实物追踪调查报道整理，公开材料未披露具体书目版本与最终训练用途的完整对应关系，引用时已作相应保留。
- Order Re: Motion for Summary Judgment, Bartz v. Anthropic PBC, No. 3:24-cv-05417-WHA (N.D. Cal. June 23, 2025) (William Alsup, J.); Final Approval Order (N.D. Cal. July 20, 2026) (Araceli Martínez-Olguín, J.).
- 17 U.S.C. §504(c)：故意侵权情形下，法院得依原告请求酌定法定赔偿，每件被侵权作品最高不超过十五万美元。
- 《中华人民共和国著作权法》（2020年修正）第二十四条；《生成式人工智能服务管理暂行办法》第七条、第十九条；《中华人民共和国数据安全法》第三十二条。
- 最高人民法院院长张军2026年3月9日向全国人民代表大会所作工作报告；杭州互联网法院“奥特曼案”公开报道。