美国数据标注服务商 Scale AI 近日在欧盟面临严峻的合规挑战。隐私倡导组织 noyb 代表投诉人，在法国、意大利、荷兰和奥地利四个国家向当地监管机构提交了五起 GDPR（通用数据保护条例）投诉，指控该公司涉嫌非法监控其欧洲承包商。
据 noyb 披露，Scale AI 通过其旗下的 Outlier AI 平台对执行数据标注任务的承包商实施了广泛且持续的监控。Outlier 平台的运作模式类似于亚马逊的 Mechanical Turk，承包商的职责包括标记数据、评估人工智能生成的响应以及执行其他旨在优化 AI 模型的任务。该平台的客户阵容强大，涵盖 OpenAI、xAI、Anthropic、Google 以及美国政府机构。
由于所有工作均通过数字远程方式完成，Scale AI 建立了一套庞大的数据收集机制，不仅用于验证员工身份，还深入追踪其日常活动。法国隐私研究小组 DIPLab 的社会学研究员 Thomas Le Bonniec 指出：“平台工作似乎成为了新型职场监控的温床。如果在欧盟的其他就业形式中出现此类行为，将被视为完全不可接受。”
投诉的核心焦点之一涉及身份验证服务提供商 Persona。noyb 的律师团队质疑 Persona 的身份验证系统存在滥用风险，该系统此前因暴露测试环境而受到审查。研究人员推测该系统可能被用于构建人员追踪器，尽管 Persona 否认了这一解释并声称没有美国政府合同，但其与聊天应用 Discord 的合作关系在后者推出更广泛的年龄验证功能前已出现裂痕，Discord 曾表示该提供商未能满足其设备面部年龄估计的要求。
根据 noyb 的说法，Persona 不仅收集生物识别数据以验证 Outlier 承包商的身份，还获取用户的 IP 地址、设备信息、地理位置数据、住址及信用数据。除了生物识别信息外，noyb 还指控 Scale AI 通过收集系统数据和设备活动来跟踪员工，甚至包括在非工作时间或 Outlier 平台之外的活动。这些数据被传输给包括 LinkedIn、TikTok、Facebook 在内的第三方分析服务。noyb 警告称，这些信息可能被用于分析个人情况并投放定向广告。
数据保护律师 Lisa Steinfeld Leiser 对这些指控评论道：“在工作期间进行这种持续且广泛的跟踪违背了合理预期。LinkedIn 或 Facebook 为何需要知道用户正在执行哪些具体任务？”
noyb 在投诉中强调，Scale AI 缺乏在承包商设备上安装追踪软件的法律依据，违反了 GDPR 关于数据最小化的规定，即公司仅应收集特定目的严格必要的数据。此外，投诉还指出 Scale 侵犯了 GDPR 赋予的数据访问权，因为该公司忽视了投诉人要求查看其存储数据记录的请求，也未遵守相关国家的特定法律。noyb 呼吁各国数据保护机构展开全面调查，并在必要时对所谓的违规行为处以罚款。
针对上述指控，Scale AI 在回应中表示报告内容“毫无根据且不准确”。该公司辩称，Outlier 的做法已向贡献者披露并获得同意，使用标准工具旨在验证身份、防止欺诈、保护机密项目信息并确保付款准确。
