歐洲數位權利組織 noyb 於二零二六年十月二十七日宣布，已在法國、意大利、荷蘭與奧地利合共提出五宗《一般資料保護規例》（GDPR）投訴，針對美國人工智慧數據標註商 Scale AI 旗下平台 Outlier；指該平台對逾九十萬名「自由工作者」實施侵入式追蹤與強制生物識別驗證，客戶名單涵蓋 Meta、OpenAI、Google、Anthropic、xAI 及美國政府。本文已核對 noyb 官方新聞稿，來源真實性已驗證。

noyb／官方：向 Scale AI 提出五宗 GDPR 投訴——指 Outlier 標註平台監控歐盟自由工作者；客戶涵蓋 Meta／OpenAI／Google

歐洲數位權利中心 noyb（European Center for Digital Rights）於二零二六年十月二十七日發布官方新聞，宣布與 Intérêt à Agir、DIPLab、Reversing.Works 合作，就 Scale AI 營運的人工智慧訓練平台 Outlier，在法國、意大利、荷蘭與奧地利合共提交 五宗 GDPR 投訴。noyb 指 Outlier 僱用逾 九十萬 名「自由工作」平台工作者，以撰寫提示、排序答案等任務訓練模型；其最為人知的客戶包括 Meta、OpenAI、xAI、Google、Anthropic，以及美國政府。本文內容已對照 noyb 官方原文核對指控範圍、國家與數字，來源真實性已驗證；Scale AI 方面經 The Register 引述作出否認，下文一併列明。

一、核心事件：AI 標註供應鏈被指變成「職場監控」

技術細節

noyb 將爭議置於「平台工作」脈絡：全歐已有逾四千萬人以平台組織勞動，公司常以「自僱」定性迴避勞動法；人工智慧產業高度依賴這類人力，手動審核或標註輸出，才能支撐 ChatGPT、Gemini、Grok 等熱門工具。Scale AI 的 Outlier 正是該鏈條上的大型節點之一。

官方新聞稿把指控收斂為三條主軸：

1. 侵入式追蹤（invasive tracking）
   noyb 稱技術分析顯示，工作者登入 Outlier 期間，裝置會被植入來自 TikTok、LinkedIn、Facebook、問卷平台 Sprig，以及數據分析公司 Datadog 等的追蹤器；這些追蹤器每隔數秒把個人資料傳給第三方，包括 IP 位址、聯絡資料、獨特識別碼與瀏覽頁面資訊，並可用於定向廣告與剖析。noyb 數據保護律師 Lisa Steinfeld Leiser 質問：為何 LinkedIn 或 Facebook 應知道你正在處理哪項任務？

2. 強制生物識別驗證
   投訴指 Scale AI 要求工作者反覆經由 Persona 完成生物識別核身，包括面部錄像與上載身份證明。Scale 方面對外說法是防欺詐與「核實技能」；noyb 則認為遠超必要程度，並點名 Persona 於二零二五年十月曾曝約 七萬 張政府簽發身份證件照片外洩事件，且 Persona 條款容許收集 IP、裝置資訊、地理位置、地址與消費信貸等資料。

3. 資料最小化與查閱權
   noyb 指 Scale AI 欠缺有效法律基礎即在投訴人裝置放置追蹤器，違反資料最小化原則；生物識別處理同樣受質疑；此外公司未回應投訴人的資料查閱請求，違反 GDPR 查閱權。noyb 要求主管機關全面調查，並建議處以行政罰款以遏止類似做法。

DIPLab 社會學研究員 Thomas Le Bonniec 在 noyb 稿內表示：「平台工作似乎是全新一類職場監控的沃土；若換成歐盟其他僱傭形式，這會被視為不可接受。」Intérêt à Agir 項目統籌 Baptiste Delmas 則強調，投訴揭示 AI 熱潮依賴大量勞動力，而其私隱正面臨風險，數據保護機關必須認真執法。

二、技術原理深度解析

標註平台為何成為高敏資料匯流點
Outlier 類平台同時接觸三類敏感訊號：工作者身份與生物特徵、任務內容（往往接近客戶模型評測或未公開提示）、以及裝置行為遙測。當追蹤器把「正在做哪一題」與第三方廣告識別碼串起來，監控對象已不只是「登入是否本人」，而是整段工作過程的行為圖譜。

生物識別與「防欺詐」的比例原則
GDPR 對生物識別屬特殊類別個人資料，通常要求嚴格必要性與明確法律基礎。noyb 並非否定一切身份核實，而是質疑「反覆面部錄像＋證件上載＋廣泛授權第三方收集信貸／位置」是否符合最小化與預設資料保護。Persona 過往證件照片外洩，則放大了「把核身外包給第三方」時的供應鏈風險。

查閱權作為可核對的程序指控
相對於「追蹤器是否違法」需技術 quant 與法律解釋，未回應資料主體查閱請求屬較易核對的程序主張。若屬實，企業即使主張已獲同意，仍可能在回應時限與透明度上違規——這對依賴歐盟承包商的 AI 供應商尤其關鍵。

對下游客戶的連帶盡職審查
noyb 點名的客戶陣容（Meta、OpenAI、Google、Anthropic、xAI、美國政府）意味：即使投訴對象是 Scale／Outlier，採購方仍可能被問「標註供應商如何處理歐盟工作者資料、是否將遙測外洩給廣告科技」。這已超出單一 HR 合規，進入模型供應鏈與數據治理。

四、日常應用場景

1. 開發者與技術團隊

若產品依賴第三方標註、人類回饋強化學習（RLHF）或外判評測，應把供應商的追蹤器清單、生物識別處理者、資料處理協議（DPA）與資料主體請求流程寫進採購清單；並要求可匯出的處理活動紀錄，而非只看 SOC2 徽章。

2. 企業與隱私敏感行業

金融、醫療、法律等香港／亞洲企業若把內部數據送出標註，除了內容保密，還要問：標註員裝置上的第三方腳本會否把任務元數據送往廣告或分析平台？合約應禁止非必要遙測，並限制生物識別僅用於一次性核身且有刪除期限。

3. 一般用戶

一般消費者不會直接使用 Outlier；但日常聊天機械人背後的「人工評分」往往來自這類平台。供應鏈監控爭議，最終可能影響模型供應商對歐盟人力的使用方式與成本結構。

4. 香港與亞洲市場視角

香港企業導入生成式 AI 時，常同時面對《個人資料（私隱）條例》與跨境傳輸。歐盟對標註平台的執法訊號，可作為本地盡職審查的參考清單：追蹤器披露、生物識別必要性、查閱請求回應時限。若團隊希望把敏感語料留在境內微調與託管，應優先評估私有部署，而非把整條標註與推理鏈外包到透明度不足的平台。

五、專業評價與潛在考量

優勢（就新聞可核對性與產業意義）

• 有 noyb 具名官方新聞、明確投訴國家與宗數（五宗；法／意／荷／奧），數字與客戶名單可核對。
• 把「AI 訓練」從算力敘事拉回勞動與私隱供應鏈，對企業採購有即時警示價值。
• 同時覆蓋追蹤器、生物識別、查閱權三條可分開調查的主張，執法路徑清楚。

需要留意的地方

• 仍屬投訴階段：noyb 是倡議組織提出的主張，尚未等同監管裁決或法院判決；結果取決於各國數據保護機關調查。
• Scale AI 否認：The Register 引述 Scale 回應，稱報告說法「缺乏根據且不準確」，並指 Outlier 做法已向貢獻者披露且需其同意，使用標準工具核身、防欺詐、保護項目機密與確保正確付款。雙方陳述並存，讀者不應把投訴內容當成已認定事實。
• 「十九個追蹤器／鍵盤側錄」等細節：部分轉載報道另有量化描述；本文以 noyb 官方點名的 TikTok、LinkedIn、Facebook、Sprig、Datadog 及「每隔數秒傳輸」為準，不外推未在官方稿核實的數字。
• Persona 二零二五年外洩：屬歷史事件引用，用於說明第三方核身風險，並非本週新漏洞。

結語

noyb 這五宗投訴，把人工智慧標註供應鏈的職場監控與 GDPR 合規一次推到台前：當模型品質依賴全球自由工作者，裝置追蹤與生物識別就不再是「後台運維細節」，而是可被歐盟監管點名的系統風險。企業若正在外包標註或人類評測，應立即盤點供應商遙測、核身與資料主體權利流程；若需要在香港以可控邊界部署企業私有 LLM，或強化雲端遷移與網絡安全（官網刊 99.99% SLA），可參考 YSK Limited：https://ysk.hk/services/cloud-security 。涉及數據集建置、微調與私有 API 全託管，亦可見 https://ysk.hk/services/ai-automation 。

參考來源

1. noyb 官方新聞：AI training platform Outlier illegally surveils European platform workers（2026-10-27）https://noyb.eu/en/ai-training-platform-outlier-illegally-surveils-european-platform-workers
2. The Register：EU privacy advocates accuse US data annotation firm of snooping on contractors（含 Scale AI 回應引述；2026-10-27）https://www.theregister.com/legal/2026/10/27/eu-privacy-advocates-accuse-us-data-annotation-firm-of-snooping-on-contractors/5305757