智能眼镜出海欧盟：告别无声录制背后，GDPR合规生死题

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月23日 10:00
广东

去阅读

导语：它不是法律条文，但这一份声明，将成为欧盟市场智能眼镜产品的“合规考卷”。外观、AI功能、指示灯，产品设计直接决定你能不能闯过GDPR。

最近欧盟EDPB（欧洲数据保护委员会）发布《智能眼镜声明》，很多厂商扫一眼就划过去了：又一份非约束性指引，不是强制法律，不用太紧张。

但我劝做智能眼镜、AR眼镜的产品、硬件、合规负责人，千万别轻视这份文件。 它没有写处罚条款，没有立法禁令，但它直白告诉全欧盟各国监管机构：以后评判智能眼镜是否违反GDPR，就按这套逻辑来。

很多厂商过去的惯性思维：设备是用户在用，用户拿它偷拍、偷偷录路人，那是使用者的问题，我们把隐私协议写长一点，风险就转移出去。

EDPB这次直接打碎这个幻想：不能把合规责任全部推给佩戴眼镜的消费者，厂商和AI服务商自己就是数据控制者，要扛责任。

01

核心痛点：路人看不见采集，传统隐私告知彻底失效

手机、运动相机，大家拿起设备拍照，周围人一眼就能识别。 智能眼镜最大的麻烦，就是它长得和普通眼镜几乎一模一样。佩戴者开启AI翻译、物体识别、拍照录像，镜框摄像头默默采集路人的人脸、声音，旁边的人完全察觉不到。

过去我们的合规套路：APP弹窗、包装盒说明书、长长的隐私政策。 但这些文字，对大街上擦肩而过、被你设备采集到的路人，完全无效。路人不会下载你的APP，不会看你的说明书，根本没有机会阅读你的隐私条款。

GDPR写得很清楚：处理个人数据要满足透明度义务，要让数据被处理的人知情。法条没有说必须装LED灯。 但现实难题来了：你拿什么手段，让毫不知情的路人当场知道自己正在被眼镜的摄像头/麦克风采集？

划重点：不装LED指示灯≠直接违法。但如果没有LED，又拿不出同等效果、可被监管举证的替代方案，那就等于完不成GDPR的透明度法定义务，属于违规。 网页隐私政策、用户端弹窗，不算有效替代方案。

EDPB给出的参考方案是组合拳，并且条件非常苛刻：

1. LED视觉指示灯：多光照环境下肉眼可见；拍照闪烁、录像常亮；指示灯被遮挡时，设备必须立刻停止录制；不能轻易关闭；单纯微弱白灯不行，容易被当成反光眩光。
2. 音频提示：拍照快门音、语音唤醒口令，作为补充。
3. 蓝牙手机通知只能做辅助，绝对不能单独拿来当做告知手段。
4. 硬件外观设计，尽量让智能眼镜和普通眼镜可以被区分。

很多硬件设计师看到这里头大： 我做消费级智能眼镜，追求的就是轻薄、极简、像普通眼镜。加高亮、不容易屏蔽的LED，会破坏外观美学，增加硬件成本，甚至影响续航。

这就是摆在厂商面前残酷的权衡：产品颜值，不能凌驾GDPR的透明度义务之上。如果你的产品设计天然支持隐蔽采集，监管机构会对你的合规性打大大的问号。

不要心存侥幸：EDPB文件虽然是“声明”，不是强制法律。但欧盟各个成员国的数据保护局，未来执法就是拿着这份文件作为标尺。

你的产品进入欧盟市场，一旦产生隐私投诉，监管会直接问你：你用什么技术手段，让路人实时感知数据采集？你的替代方案效果如何，有没有实测证据？拿不出，就面临GDPR高额罚款。

02

第二个大坑：AI功能一开，厂商直接变成共同控制者

很多厂商以为：我只是卖硬件，拍照录像是用户操作，我不用为路人的数据负责。

EDPB明确纠正这个认知： 当眼镜内置AI，镜框摄像头拍摄路人画面上传/本地运算，用来做翻译、物体识别、环境解析，哪怕佩戴者只是普通私人使用，设备厂商、AI服务提供商，也会成为独立或者联合数据控制者，要承担GDPR义务，不能甩锅给用户。

这里有个很容易混淆的豁免：普通自然人用户，纯私人家庭使用，只把视频发给家人朋友，可以享受GDPR家庭豁免。但是这个豁免，只给终端用户，不给厂商、AI服务商。厂商不会因为“用户自己在玩”就免除合规责任。

尤其要警惕拿路人画面做AI训练这件事。 EDPB态度非常明确：想依靠“合法利益”作为法律基础，拿街头路人影像做AI模型训练，难度极高。

路人完全不知道自己画面被采集，更谈不上预期会被拿去训练模型，几乎很难满足合法利益的平衡测试。事后再补同意，在GDPR下是无效的，同意必须发生在处理之前。

03

给出海做欧盟市场厂商的4条落地提示

1. 不要赌“只是指引，没有强制力”。

建议产品早期就把透明化提示纳入硬件需求，不要等到硬件定型之后，再试图靠软件隐私协议去补救。硬件层面的短板，软件补不上。
2. 不要迷信单一方案。

不要指望只靠一个小小的LED就万事大吉，也不要指望蓝牙手机通知解决全部问题。EDPB提倡多手段组合，同时要做实测：强光、户外、室内，普通人能不能一眼发现设备正在采集。还要考虑视障人群的感知问题。
3. AI功能上线前，先厘清控制者身份。

AI解析路人图像，这部分的数据处理，谁决定目的和方式，谁就要承担GDPR责任，提前评估合法基础，不要默认“全是用户行为”。
4. 高风险场景提前做防护。

可以考虑地理围栏，在学校、医疗机构这类敏感场所，限制录制能力；默认开启路人面部模糊、端侧处理，尽量减少原始人脸图像留存。不要把“用户个人安全”作为无差别持续录制路人的挡箭牌。

04

写在最后

智能眼镜的魅力，就是把计算能力藏进日常眼镜。但这份“无感”，恰恰也是最大的合规风险。

技术创新的前提，是不能把普通路人置于被悄悄采集的风险之下。EDPB这份声明，本质不是要扼杀智能眼镜行业，而是给出海厂商划清楚未来的监管风向。

现在提前布局，好过产品大批量铺货欧盟之后，遭遇监管调查、召回、巨额罚款。

更多相关内容

尽在视频号“GTG网络安全实验室”