AI智能体数据授权之争：用户授权还是平台双重授权？

背景：智能体跨应用调数据的授权难题

2026年被称为“AI智能体元年”，人机交互从“人找App”转向“用户指示智能体完成任务”。当智能体代替用户访问App、调用数据与功能时，用户本人授权是否足够、平台许可是否不可或缺，成为基础性法律问题。技术上有三条路线：API路线、GUI Agent视觉方案、协议互操作路线。形态不同，事实结构相同：智能体经由用户凭据或同意，接触并处理第三方平台数据。

“双重授权”缺乏普遍规范基础

行业实践多以用户授权为基础，部分观点主张“双重授权”，即用户授权之外叠加平台授权。其特征是：授权主体双重，平台可单方阻却数据流动；授权前置，属事前许可而非事后追责；依据是《反不正当竞争法》一般条款形成的个案裁判。但个案裁判本是事后矫正工具，以具体竞争关系与现实损害为前提，挪作常态化数据流动的事前准入，属于规范功能错配。

成文法始终以信息主体同意为枢纽。从2012年决定到《网络安全法》《民法典》《数据安全法》《个人信息保护法》，均指向信息主体本人。2025年修订的《反不正当竞争法》第十三条第三款更以行为规制取代授权前置，规定经营者不得以欺诈、胁迫、避开或破坏技术管理措施等不正当方式获取、使用其他经营者合法持有的数据。

域外实践与“用户中心授权”

美国亚马逊诉Perplexity案中，联邦第九巡回上诉法院2026年8月撤销初步禁令，认为访问亚马逊的主体是使用智能体的用户本人，平台不得仅凭意愿将用户委托的访问定为“未经授权”。欧盟Meta案中，欧盟委员会2026年6月作出临时措施决定，命令恢复第三方AI助手接入，审查重心是平台能否凭入口地位妨碍用户选择。两案均未将平台额外授权设为前置条件。

依《民法典》代理制度，智能体受用户委托、持用户凭据在用户账号内操作，效果归属用户；《个人信息保护法》第十三条以个人同意为首要合法性基础。若解释为“用户同意加平台同意”，等于附加平台否决权，缺乏条文依据。代订机票、老人挂号等场景中，要求逐一取得成千上万App事前授权，操作不可行，商业上等于把准入权交给竞争者。当然，用户授权可能被滥用为数据过度汇集通道，大规模自动化可能冲击平台风控，授权范围也可能模糊。面向规模化应用，宜建构以“用户中心授权”为基础的规则体系，并配置必要防控机制，在创新与权益保护间平衡。