一、背景
随着计算机软硬件性能的日益提升，虚拟人的仿真程度日趋提高且使用成本日益低廉，越来越多的场景开始使用虚拟人进行营销、宣传、演出。
比如新华社使用虚拟主播进行新闻播报和采访；万科给虚拟员工颁发了最佳新人奖；阿里使用虚拟网红进行代言营销；而洛天依这样的虚拟演员更是频频登台各大晚会，拥有海量的粉丝；甚至明星们也纷纷推出自己的虚拟人形象，进行广告宣传、直播带货。
另外，利用虚幻引擎或是英伟达等公司的平台工具，制作、使用虚拟人的门槛进一步降低，让即使是普通用户也更容易打造自己的虚拟人形象，以虚拟主播的形式活跃于网络。
在整个虚拟人行业高速发展的同时，法律风险也如影随形。除了诸多传统虚拟形象知识产权领域的法律问题依旧存在，虚拟人伴随着的个人信息保护、科技伦理、深度合成技术的合规义务都需要虚拟人的运营方予以关注。
二、虚拟人的权利基础：版权
版权是企业“掌控”虚拟人的权利基础，因此也是最需要关注的法律问题之一。此前，媒体就报道过B站某签约虚拟主播的形象涉嫌抄袭，后调查显示，该虚拟主播的立绘面部的确与另一虚拟主播高度相似，相关立绘形象为个人约稿。画师也发布道歉声明，承认在创作时“过度借鉴”另一虚拟形象的眼睛部分。
央行穆长春：要实现用数字人民币作为所有零售场景下的支付工具:9月3日消息，中国人民银行数字货币研究所所长穆长春在2023年中国国际服务贸易交易会金融服务专题的主论坛“2023中国国际金融年度论坛”上表示，要实现用数字人民币作为所有零售场景下的支付工具。微信、支付宝、作为运营机构的商业银行掌银APP、其他第三方支付机构的APP等钱包提供商，也包括数字人民币运营机构要有合规意识，取得相应金融牌照并服从监管。短期内，我们可以先从技术标准上统一二维码标准，实现条码互认；长期来看，我们将稳步实现支付工具的升级。[2023/9/3 13:15:12]
因此，企业在签约或创作虚拟人时，应当尽最大努力确保没有权利瑕疵，即虚拟人的形象不应当抄袭其他虚拟人的形象或真实人物的肖像权。
如果企业与虚拟人运营机构签约或是委托创作，那么需要签约对象或画师进行书面承诺作品原创，且不存在抄袭；如果企业自行创作虚拟人，则可以使用“净室开发”的方案，该方案通常在软件开发中用于降低侵权风险，即依据版权法“创意-表达”两分法的保护思路，对虚拟人形象的创意团队与设计进行分离，确保将开发过程中的版权风险降到最低。
某巨鲸1小时前将约8600万美元的WBTC与ETH存入Compound:7月14日消息，据Lookonchain监测，此前1小时，巨鲸0xD275从Bitfinex提取833枚WBTC（约2600万美元）与3万枚ETH（约6000万美元），并存入Compound，然后借出2200万美元USDT存入币安、借出2300万枚USDC存入Coinbase。[2023/7/14 10:55:41]
三、虚拟人的数据权益与数据安全
虚拟人与其他传统虚拟形象最大的区别在于虚拟人高度依赖网络空间，以数据的形态存在，所以虚拟人的数据权益几乎等同于自然人的人身权，是虚拟人赖以存在的法律基础。
但遗憾的是，《民法典》中对数据权益的保护着墨不多，仅在第127条中规定“法律对数据、网络虚拟财产的保护有规定的，依照其规定。”而《数据安全法》更多是从安全的角度对数据进行了原则性的规定：“任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。”
因此法律目前对包括虚拟人在内的各类数据仅能依据法律原则进行保护，暂缺少具体的内容规定，这一直接后果是相关纠纷的解决需要高度依赖协议中的约定。比如某虚拟人制作软件会在《用户协议》中要求使用者将所有使用该软件制作的虚拟人数据权益以知识产权的形式免费授权给软件开发公司：
Gala Music将于4月14日发售大卫·鲍伊歌曲《Let’s Dance》NFT版本:4月7日消息，Web3初创公司Gala Games旗下音乐平台Gala Music宣布，将与音乐制作人Larry Dvoskin和发行商Warner-Chappell Music合作，将于4月14日发行已逝世的英国摇滚歌手大卫·鲍伊（David Bowie）1983年的热门歌曲《Let’s Dance》的限量NFT版本。
该NFT系列共计3003枚，出售模式为按需付费，出售的所有初始收益将捐给音乐慈善机构MusiCares。（Decrypt）[2023/4/7 13:50:03]
虚拟人的运营方作为数据处理者，需要履行的数据保护义务：1）建立健全全流程数据安全管理制度；2）组织开展数据安全教育培训；3）采取相应的技术措施和其他必要措施，保障数据安全；4）在网络安全等级保护制度的基础上，履行数据安全保护义务。此外，在一些特殊的场景下，虚拟人的运营方也需要关注人格权保护的法律风险。
黑客使用Namecheap邮箱账号发送包含虚假MetaMask链接的钓鱼邮件:2月13日消息，域名注册商Namecheap的电子邮件账号在周日晚上遭到黑客攻击，网络犯罪分子利用将该账号发送钓鱼邮件，寻求窃取收件人的个人信息和加密货币钱包资产。
根据BleepingComputer的报告，网络钓鱼活动起源于SendGrid，这是Namecheap用来发送营销邮件和续订通知的电子邮件平台。这些钓鱼邮件假装来自物流供应商DHL和加密货币钱包MetaMask。其中冒充Metamask的电子邮件称收件人的账户已被暂停，他们需要完成KYC验证过程才能重新激活它。该电子邮件还包含Namecheap营销链接，该链接将用户重定向到一个虚假的MetaMask页面，要求用户输入他们的助记词或私钥。
Namecheap网站发布声明称，“我们用于发送电子邮件（第三方）的上游系统涉及向客户发送未经请求的电子邮件。因此，用户可能会收到一些未经授权的电子邮件。Namecheap自己的系统没有遭到破坏，用户的产品、账户和个人信息仍然安全。请忽略此类电子邮件，不要点击任何链接。我们已停止所有电子邮件（包括身份验证码发送、可信设备验证和密码重置电子邮件等），并联系上游提供商以解决问题。”
之后，Namecheap宣布其邮件发送系统已经恢复，并将继续调查该问题。（Neowin）[2023/2/13 12:03:49]
四、人格权：虚拟人背后的个人信息、声音及其他
尽管虚拟人并不直接具有人格权，很多场景下虚拟人也不是由真人直接扮演，但在虚拟人背后仍可能由自然人提供动态捕捉的素材或是配音，依旧涉及个人信息与声音保护的问题。
对于动作捕捉技术，在一些动作确实有可识别性，因为步态识别已经是一项较为成熟的技术，并且国家标准《信息安全技术步态识别数据安全要求》就曾公开征求意见。如果是以特定动作作为虚拟人特色的，那么需要特别关注相关动作捕捉人员的个人信息问题，获得相应的授权。
声音的授权更加复杂，如果是直接配音，那么根据《民法典》自然人的声音是参照肖像去进行保护，并且也需要考虑声音具有可识别性的问题。那么，在获取授权时，需要同时获得声音权益与个人信息两项不同权益的授权。
而在一些特殊的场景下，用虚拟人对现实或已故的自然人进行还原，则会面临更复杂的问题，比如足球、篮球或其他运动游戏中，对真实运动员的还原是重要卖点之一，但如何取得肖像授权却是极为困难。比如EA的足球游戏宣称通过FIFPro获得了球员肖像权的授权，但仍旧会被质疑球员从未给FIFPro提供过授权。此外，游戏中对于球员数据的模拟，也会是一个极具争议的问题，毕竟没有球员会希望见到自己在游戏中的数值偏低。
因此，尽管虚拟人不具有人格权，但虚拟人背后自然人的各项人格权益仍然是不可忽视的一个问题，是用虚拟映射现实时无法回避的一个问题。
五、虚拟人与科技伦理
使用虚拟人技术模拟已故或在世的知名人物或近亲属已经完全可以做到以假乱真，虚拟人在网络空间的频繁出现也会改变人与人之间的社会关系。换言之，虚拟人因为高度的拟真性，因此在很多场景下具有相当高的科技伦理风险。
2022年3月，中共中央办公厅、国务院办公厅正式印发《关于加强科技伦理治理的意见》，划定了我国未来一段时间科技伦理治理工作的路线图。而此前，2021年九部委发布的《关于加强互联网信息服务算法综合治理的指导意见》要求“企业应建立算法安全责任制度和科技伦理审查制度”。在《互联网信息服务深度合成管理规定》中也要求“深度合成服务提供者和深度合成服务使用者应当遵守法律法规，尊重社会公德和伦理，坚持正确方向、舆论导向、价值取向，促进深度合成服务向上向善。”
在数据安全角度，虚拟人作为一项使用了大量新技术的业务场景，应当关注科技伦理的合规要求。《数据安全法》第28条专门规定了：“开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。”
虚拟人运营企业作为自身研发、运营过程中科技伦理审查的第一责任人，需要将科技伦理的合规嵌入到运营工作中的全流程中，通常需要：1）组建伦理委员会或专门的审核小组，总体负责虚拟人技术的伦理规范审查；2）制定虚拟人伦理审查管理制度，明确各部门的职责与注意事项；3）将伦理审查嵌入项目立项、对外合作、客户服务、员工培训等各个工作环节；4）等等。
在企业内部建立虚拟人伦理审查的机制，是为了更好地在纠纷发生时保护企业，确保虚拟人业务能够“长命百岁”。
六、虚拟人使用深度合成技术的合规与思考
深度合成技术是虚拟人最为重要的技术基础之一，正是因为深度合成技术的使用提升了虚拟人的拟真程度。
2022年1月，国家网信办发布《互联网信息服务深度合成管理规定》，就深度合成技术的规制公开征求意见，征求意见稿将以下与虚拟人相关的深度学习的技术列为规制范围：
在《互联网信息服务深度合成管理规定》中，专门要求在提供虚拟人相关的深度合成服务商时，应当使用显著方式对深度合成信息内容进行标识，向社会公众有效提示信息内容的合成情况。
在当前版本的征求意见稿中，我国规划要求深度合成服务提供者承担部分监管责任，对使用其技术或服务的深度合成服务使用者通过用户协议、平台规则进行管理。而此种监管模式下，更多地是将深度合成服务使用者视为个人用户，貌似忽略了机构、企业使用虚拟人用于对外运营的场景。
这样的监管模式可能会对虚拟人的运营单位与研发单位之间的法律关系造成直接影响，甚至会对虚拟人权益的归属、分配带来冲击。当然我们也需要等待该管理规定的正式版本，不排除正式施行版本比起当前版本进行较大修订的可能性。
-
史宇航，法学博士，执业律师，注册信息安全专业人员，注册信息隐私管理人员
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。