韓國 Lee Luda 聊天機器人案：訓練資料來自真實對話，問題出在哪裡？

先講結論

公司已經拿到資料，不代表後續每一種 AI 用途都自動合法。

真實對話常包含感情、家庭、健康、地點、工作與兒少資訊。把它從原服務搬到聊天機器人訓練、產品營運、外包或開源資料時，目的和風險都可能改變，不能只沿用最初那份同意。

案件發生了什麼

Scatter Lab 原本透過旗下服務取得使用者的 KakaoTalk 對話，之後將資料用於開發與營運 Lee Luda 聊天機器人。主管機關也檢視了資料蒐集與告知方式、兒少與敏感內容，以及部分資料被放到 GitHub 的情況。

爭點不是聊天機器人有沒有說出不當內容而已，而是訓練資料從哪裡來、原本為什麼取得、後來又被怎麼利用。

主管機關確認

韓國個人資訊保護委員會於 2021 年 4 月 28 日作成處分。官方議決資料所列金錢結果，包括韓元 5,550 萬附加金與韓元 4,780 萬罰鍰，合計韓元 1.033 億元。

處分處理的問題包含資料蒐集與利用目的、告知同意、敏感和兒少資料，以及資料安全與對外分享。這是個資主管機關行政處分，不是法院判決。

為什麼去掉姓名仍可能不夠

聊天紀錄的識別力不只在姓名。對話中的公司、學校、住址、事件、關係、時間與特殊經歷，可能和其他資料一起指向特定人。

因此，去識別不能只跑一次字串刪除。企業要看資料整體、外部可取得資訊、模型是否會記憶並重現內容，以及誰能接觸原始資料。

台灣公司可以先做什麼

建立 AI 資料集前，先做資料血緣清冊：每批資料從哪裡來、當時告知什麼、為何蒐集、是否可再利用、誰能存取、保存多久、能否交給模型或供應商。

產品、客服、研究與工程團隊也不能各自留一套測試資料。微調、RAG、評測、除錯、紅隊測試與開源樣本，都要走同一個資料審查入口。

這個案件不代表什麼

這個案件不代表企業永遠不能使用對話資料訓練 AI。實際仍要確認目的、合法基礎、告知、資料類型、必要性、安全措施與權利保障。

它也不代表刪掉姓名就一定匿名，或韓國的罰款會直接套到台灣。台灣企業應回到個人資料保護法、契約和具體資料流重新判斷。