李依怡   壹定发助理教授、硕士生导师。

摘  要：智能体的兴起将数据权利的法律议题从“用户与平台”的双边关系拓展至“用户、平台与智能体”三方互动的复杂格局。智能体作为第三方所享有的数据权利，其权源在于用户的法定权利，因而具有从属性与附随性。智能体的介入并未改变既有权利框架的核心利益结构，其对平台流量经济模式的冲击虽触及商业模式根本，但尚不足以构成否定用户及第三方法定权利的理由。在权利内容不变的前提下，可通过身份标识义务、协商补偿机制、禁止开发竞品等合理限制实现利益平衡。上述限制应遵循市场自治优先、立法审慎补位的规范路径，可将身份标识的技术实践上升为法定义务以矫正市场失灵，同时建立智能体场景下格式条款的公平性审查规则，防止平台利用优势地位架空用户及第三方法定权利。

关键词：智能体；数据权利；用户授权；身份标识；格式条款

DOI：10.20231/j.cnki.xxyts.2026.07.004

基金项目：北京市社会科学基金项目“AI赋能下北京市电商供应链韧性提升机制及策略研究”（25BJ03204）。

李依怡：《基于用户授权的智能体数据权利探析》，《学习与探索》2026年第7期，第31-40页。

一、问题的提出

智能体技术的快速发展，正在深刻改变用户与网络平台的交互方式。从豆包手机助手代行点餐、订票等日常操作，到Perplexity的Comet智能体接受用户指令在亚马逊平台完成交易，智能体作为用户与数字世界之间的新型中介，正逐步承担起信息检索、交易决策、服务交互等多元功能。这一技术实践的核心特征在于，智能体基于用户授权，获得用户数据访问权限，进而代为操作第三方平台。因此，用户授权成为智能体获取数据访问权限的逻辑起点。

然而，同样是基于用户授权，用户授权的正当性却面临不同评价。在最高人民法院发布的263号指导性案例中，提供关联账号服务的平台（非智能体）经用户授权同步其在关联网站获取的简历数据，被认定为合法行为，用户基于个人信息可携权与数据来源者权转移其促成产生的数据，获得司法肯定。而在豆包手机助手事件中，用户授权智能体操作其他应用程序时遭遇抵制，引发用户授权是否足以使智能体获得数据访问权限的激烈争议。何以同样基于用户授权，传统网络服务提供者的数据访问获得司法支持，而智能体的同类行为却陷入争议？

这一问题的复杂性，首先源于既有数据权利框架对授权第三方权利规定付之阙如。《中共中央、国务院关于构建数据基础制度更好发挥数据要素作用的意见》（以下简称“数据二十条”）虽然明确提出“保障数据来源者享有获取或复制转移由其促成产生数据的权益”，但其规范重心在于用户与数据处理者之间的双边关系，对于用户将此类权利延伸至第三方时，第三方的权利性质、权利范围等核心问题，未做进一步规定。263号案例虽在非智能体场景下确认了第三方基于用户授权的数据访问行为具有正当性，但智能体的介入使得问题更为复杂。用户基于法定权利的授权意愿，能否当然转化为智能体实际的数据访问权限？平台通过格式条款一概禁止智能体访问，其效力边界如何认定？上述问题亟待系统回应。

鉴于此，本文围绕基于用户授权的第三方数据权利展开探讨，重点关注智能体作为第三方时的数据权利配置。首先，厘清授权关系中的多元主体及其权利基础，揭示用户授权在不同场景下的差异化评价，并考察用户自身享有的数据权利。其次，讨论基于用户授权的第三方数据权利，分别梳理非智能体场景下的权利内容与智能体场景下的特殊争议。最后，分析智能体数据权利的规范路径，在既有权利框架内重新审视智能体介入后的利益格局，提出技术实践法定化与格式条款公平性审查的具体方案。

二、授权关系中的多元主体与用户数据权利

智能体数据权利的法律构造主要涉及三类主体：数据处理者、数据来源者以及用户授权的第三方［1］。其中，授权第三方的权利并非独立存在，而是以用户自身的法定权利为权源。用户对自身数据享有访问、复制、转移等权益，方能将此类权利通过授权方式延伸至第三方。因此，对主体身份的界定是理解授权关系的逻辑起点，对用户权利的厘清则是判断授权行为正当性的规范前提。

    （一）授权关系中的多元主体

      1.数据处理者、数据来源者与授权第三方

根据国家数据局发布的《数据领域名词解释（第一批）》，数据处理者是指在数据处理活动中自主决定处理目的和处理方式的个人或者组织。与数据处理者相区别的是受托处理者，后者接受他人委托处理数据，不具备自主决定权。

数据来源者是与数据处理者相对的核心概念。尽管“数据二十条”明确提出了保障数据来源者享有获取或复制转移由其促成产生数据的权益，但现行规范尚未对这一权益作出明确定义。学界观点虽有差异，但均将“贡献”作为认定核心，即通过劳动、行为活动或信息提供等方式对数据生成作出实质性贡献的主体，应当就其促成产生的数据享有访问、复制、转移等权益。

与数据处理者、数据来源者不同，授权第三方并非政策文件明确规定的主体类型，其概念问题亦尚未引起学界的系统关注。目前，授权第三方的内涵主要从数字经济发展的实践中提炼归纳，从当前业态观察，授权第三方大致可分为两类：其一，用户授权的服务提供者（非智能体）。例如，招聘企业用户通过网络平台的关联外网账号功能，将其在其他平台获取的简历数据同步至新平台进行集中管理。其二，用户授权的智能体。例如，豆包手机助手经用户明确授权后，代替用户操作第三方App完成点外卖、订机票、回复微信消息等任务。对授权第三方作上述区分，缘于实践中用户授权第三方访问数据的场景日益普遍，但其法律评价却呈现出“同案不同判”的复杂样态。在最高人民法院发布的263号指导性案例中，用户授权第三方访问简历数据的行为获得司法支持；而在豆包手机助手、亚马逊诉Perplexity案等涉及智能体授权的争议中，相同性质的用户授权却引发纠纷。何以同样基于用户授权，法律评价却产生如此分野？其深层原因值得深入剖析。

2.用户授权模式的差异化评价

    （1）用户授权模式的司法肯定

最高人民法院发布的第47批指导性案例中，263号案例（某网络公司诉某信息公司不正当竞争纠纷案）涉及授权第三方权利。在该案中，某信息公司运营的乙网站提供关联外网账号功能，招聘企业用户通过授权输入其在甲网站的账号密码后，可将其在甲网站获取的简历数据同步至乙网站集中管理。运营甲网站的某网络公司认为该行为构成不正当竞争，诉请赔偿。对此，法院认为，网络平台向用户提供关联账号服务，经用户授权后转移其在关联网络平台获取的数据，为用户在合理范围内处理该数据提供便利，未扰乱市场竞争秩序，不构成不正当竞争行为。。最高人民法院研究室进一步指出，根据《个人信息保护法》以及“数据二十条”，用户享有个人信息转移权和数据来源者权，有权转移其促成产生的数据，某信息公司基于用户授权提供关联账号服务，该行为并无不当。

    （2）用户授权模式的实践争议

然而，同样是用户授权第三方访问数据，豆包手机助手、亚马逊诉Perplexity等事件却呈现出不同的争议态势。豆包手机助手争议的核心在于，用户授权智能体操作手机后，智能体在操作第三方App时被限制登录，用户授权能否替代第三方平台授权？支持方主张，用户授权智能体代替自己操作，是用户意志的合法延伸，第三方平台不应做限制。质疑方则认为，用户对数据的授权具有相对性，不能当然覆盖第三方平台的合法权益。

亚马逊诉Perplexity案则更为复杂。亚马逊指控Perplexity将其Comet智能体伪装成人类用户，违规进入亚马逊完成购买，违反亚马逊的使用条款及美国《计算机欺诈和滥用法案》。Perplexity则抗辩称智能体是遵从用户指令的代理或助手，拥有与人类用户相同的权限，无需特别标明身份。争议焦点由此从“能否进入”进一步升级为“以何种身份进入”。Perplexity通过伪装规避平台检测机制，其行为方式本身即存在合规疑点。亚马逊反复强调的透明度要求表明，即使用户授权，智能体在代表用户与第三方平台交互时，仍负有披露其自动化身份的义务。

前述争议揭示了一个关键问题：用户授权虽是数据访问的逻辑起点，但似乎并不足以为第三方的数据访问行为提供充分的正当性依据。在此，无论是263号案例中受到肯定的数据同步，还是豆包手机助手、亚马逊诉Perplexity等争议事件中的智能体操作，其正当性判断均无法绕开一个前置性问题：用户自身究竟享有哪些数据权利？若用户权利本身含糊不清，则授权行为的效力范围亦将随之飘忽不定。因此，在厘清三方主体概念与关系的基础上，有必要进一步追问，用户作为数据来源者，其对数据享有何种性质、何种内容的权利？

（二）用户数据权利

1.个人信息可携权

对于个人信息的转移，《个人信息保护法》第45条第3款确立了个人信息可携权，规定个人请求将其个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。最高人民法院263号指导性案例进一步明确，用户有权将其个人信息在不同网络平台间转移。

2.数据来源者权

数据来源者权是指用户对其促成产生的数据享有的获取、复制、转移等权益。“数据二十条”对这项权益虽进行了初步规定，但并未对数据来源者权做进一步界定。学界相关研究观点繁杂，目前已初步形成若干共识。就权利性质而言，主流观点倾向于将其认定为请求权，即用户有权向数据处理者为或不为一定行为，而非对数据的支配权。这一性质定位决定了权利的实现依赖于数据处理者的积极配合，而非用户单方意志即可完成。就权利客体而言，学界共识在于数据来源者权强调主体贡献，指向用户促成产生的数据，既涉及个人数据，也涉及非个人数据。就权利内容而言，虽然表述各异，但学界普遍认同，数据来源者权以获取、复制、转移数据为核心权能，具体包括：数据获取权（获取其促成产生的数据）、数据复制权（获取数据副本）、数据转移权（将数据转移至第三方）。

尽管围绕权利客体与核心权能的共识已初步形成，但现有研究仍存在明显不足。对于权利的具体行使方式，比如用户如何向数据处理者提出请求、数据处理者应在何种期限内响应、相关数据应以何种方式提供等程序性问题，学界着墨甚少。对于权利的行使边界，比如数据处理者可否向第三方收取合理费用、第三方可否利用数据开发与数据处理者相竞争的产品或服务等实体性问题，更缺乏深入探讨。尤其从本文所关注的授权第三方视角审视，现有讨论基本仅聚焦于用户与数据处理者的双边关系，对于用户行权过程中的第三方角色、第三方取得数据后的权利状态、第三方与数据处理者之间可能产生的利益冲突等三方法律关系，则近乎阙如。这些正是后文将要讨论与回应之处。

三、授权第三方的数据权利与相关争议

当用户通过授权将自身数据权利延伸至第三方时，便产生了授权第三方的数据权利问题：用户的权利如何为第三方的访问行为提供正当性基础？第三方在获得授权后，究竟享有何种性质、何种范围的权利？这一问题的答案，在非智能体场景与智能体场景下呈现出显著差异，以下分别予以考察。

    （一）非智能体场景下的第三方数据权利

1.基于个人信息可携权的权利延伸

在个人信息领域，用户授权第三方访问数据主要通过个人信息可携权实现。实践中典型的操作模式是，第三方服务提供者在《用户协议》《服务条款》中以勾选同意的方式获得用户授权，进而基于该授权向数据处理者请求传输用户的个人信息。例如，用户使用第三方平台的关联外网账号功能，通过授权输入其在其他网站的用户名和密码，即可将其在该网站积累的简历数据等同步至新平台进行集中管理。

从权利范围看，第三方能够获得的信息范围来自且不得超过个人信息可携权的内容边界。《网络数据安全管理条例》第25条规定，对符合条件的个人信息转移请求，网络数据处理者应当为个人指定的其他网络数据处理者访问、获取有关个人信息提供途径。根据该条第2项，第三方能够获取的信息应限于用户“提供”的个人信息，即用户基于同意或订立、履行其作为一方当事人的合同所必需而提供的个人信息。对于为履行法定职责或者法定义务、应对突发公共卫生事件等其他依据法律、行政法规规定的情形而处理个人信息的，不适用个人信息可携权，第三方无法基于用户授权而获取相关个人信息的访问权限。

就第三方的数据使用权限而言，理论上只要获得用户的明确授权，第三方可在授权范围内自由使用所获取的个人信息。这意味着，第三方可以按照用户允许的处理目的、处理方式等，对所获信息进行分析、加工、存储乃至向其他主体再次提供。但需注意的是，第三方的使用权限并非毫无限制：其处理行为仍需遵循目的限制、数据最小化等原则，不得滥用用户授权。

2.基于数据来源者权的权利延伸

较之个人信息可携权，用户对促成产生的数据所享有的数据来源者权，在授权第三方访问时涉及更为复杂的利益结构与权利配置。然而，国内学界对此问题鲜有讨论，仅个别学者在论及数据访问权时附带提及第三方问题。

针对授权第三方的数据权利，欧盟《数据法》提供了相对完整的规范框架，其制度设计的核心在于平衡用户、数据处理者、第三方等多元主体之间的多重利益。这一利益衡量框架可以从第三方权利来源、第三方使用限制以及商业补偿机制三个维度加以把握。

其一，第三方权利的来源。《数据法》将数据来源者权的行使权限完全赋予用户，即只有当用户要求数据处理者向第三方进行数据传输时，数据处理者方负有此种义务。这意味着，第三方本身并不享有独立的数据请求权，其获取数据的正当性完全源于用户的授权。因此，第三方对数据的权利具有从属性与附随性，其权利内容以用户授权为限。

其二，第三方使用限制。在用户授权的基础上，《数据法》对第三方施加了双重法定义务，旨在防止用户授权被滥用，并适当考虑数据处理者权益。一方面，第三方仅能基于与用户约定的目的和条件处理数据，且应在数据不再为约定目的所必需时予以删除。任何超出授权范围的处理均需另行取得用户同意。另一方面，第三方不得将数据用于开发与数据处理者相竞争的产品或服务。用户授权第三方获取数据，并不意味着第三方可以借此从事任何数据利用行为。数据处理者对于所持有的数据，往往有实质性投入和贡献，其对数据的竞争利益也应得到适当保护。

其三，商业补偿机制。《数据法》承认数据处理者在数据生成过程中投入了成本，因此在用户授权第三方访问时，允许数据处理者向第三方收取合理补偿，该补偿可包含合理利润。补偿机制的核心原则是“公平、合理、非歧视”。补偿的计算需考虑两类成本：一是数据提供所涉的直接成本，如格式化、电子传播、存储等技术成本；二是数据收集和生产的投资成本。对于中小企业和非营利研究机构，补偿不得超过直接提供数据的成本，以鼓励创新主体参与数据生态。

综上所述，欧盟《数据法》在用户授权第三方访问其促成产生的数据问题上，构建了“用户授权启动、第三方义务约束、商业补偿平衡”的利益衡量框架。这一框架的优势在于，既承认用户对促成产生数据的控制权，又兼顾数据处理者的投入回报期待，同时为第三方的数据利用划定清晰边界，在三方主体之间取得了较好的利益平衡。

（二）智能体场景下的数据权利争议

在非智能体场景下，用户授权第三方访问数据的权利基础与权利边界已相对清晰。然而，在智能体场景下，此类权利规则却遭遇了根本性质疑。亚马逊诉Perplexity案、微信拒绝豆包手机助手访问等争议表明，数据处理者（如亚马逊、微信）倾向于认为，智能体若要访问相关数据，不仅需要用户授权，还应另行取得数据处理者同意，或至少应当披露其智能体身份。这一立场的背后，既包括技术手段对平台运行秩序的现实冲击，也涉及智能体对流量经济模式的深层撼动，更触及代理制度能否适用于非法律主体的理论争议。

1.数据处理者视角：对流量经济模式的深层冲击

数据处理者对用户授权智能体访问的抵制，表面上可归纳为若干技术层面的理由：智能体的高频自动化操作会对平台服务器造成超负荷压力，挤占正常用户的服务资源；智能体未经许可抓取数据，构成“搭便车”式的不正当竞争；智能体代理用户操作可能引发网络安全风险，如账号被盗、支付欺诈等。不过，上述问题在数据来源者权立法过程中已经出现并被充分考虑，并不是智能体场景所独有的。真正将智能体争议与传统争议区别开来的，是前者对流量经济模式的深层冲击，这一冲击触及平台商业模式的根本。

平台流量经济的核心逻辑在于，平台通过提供免费服务吸引用户，积累用户流量，进而通过广告展示、优先推荐等方式实现商业变现。这一模式建立在平台对用户行为的可见性与可引导性之上，平台能够观察用户浏览了什么、点击了什么，并据此推送广告或优化推荐。当用户通过智能体与平台交互时，这一链条被彻底重构：智能体可直接依据用户预设偏好完成操作，无需浏览广告位、无需点击搜索结果，平台失去了对用户行为的可见性与引导能力。有学者将这一现象概括为去中介化，即智能体成为用户与平台之间的新型中介，使平台与用户的直接交互关系被切断。在起诉书中，亚马逊虽未直接批评智能体对流量模式的冲击，但也隐晦地指出，来自智能体的流量给亚马逊的广告系统带来了运营负担和成本：“亚马逊必须投入工程资源来检测并在向广告商收费前过滤掉这些非人类展示。这需要对亚马逊的广告系统进行修改，包括开发新的检测机制来识别和排除自动化流量。这些系统调整对于维护与仅支付合法人类展示费用的广告商的合同义务是必要的。”

质言之，智能体与大型网络平台的冲突，表面上是用户授权的第三方与数据处理者关于数据权利的争议，但本质上其实是一场关于流量入口主权与数据控制权的争夺战。在传统网络爬虫争议中，平台担忧的是数据被批量抓取后的竞争替代风险；而在智能体场景下，平台面临的是流量入口被架空、商业模式被颠覆的生存性威胁。

2.第三方视角：用户代理主张及其理论困境

面对数据处理者的抵制，作为第三方的智能体（服务提供者）提出了以用户代理为核心的抗辩理由。Perplexity在《霸凌不是创新》一文中提出，用户授权智能体代其操作，智能体即成为用户意志的延伸，应享有与用户同等的访问权限；平台区分用户本人与用户授权的代理，缺乏正当性基础。

然而，用户代理主张面临双重困境。一方面，从技术模式层面来看，作为人的代理与作为智能体的代理，对平台的影响存在本质差异。当用户本人操作时，其行为受制于人的注意力、时间、操作频率等客观限制。用户无法同时进行大量操作，无法持续不间断地访问平台，其行为模式具有可预期性。但智能体可以规模化、高频次、全天候地执行操作，其对平台服务器造成的负载压力、对交易系统的冲击程度远非人类用户可比。另一方面，从法律规范层面来看，智能体能否适用代理规则，本身即存在重大疑问。传统代理制度以“人”为核心构建，代理人须为具有意思能力的法律主体。智能体作为算法程序的集合，不具有人的理解认知能力，无法成为法律意义上的代理人。诚然，在智能体场景中可能出现代理关系的经典问题，如信息不对称（委托人难以理解智能体决策过程）、利益冲突（智能体存在自身商业利益）等，但传统代理问题的解决方案在智能体场景下难以适用。比如，人类奖惩机制难以影响算法、监控在机器速度决策面前不切实际、司法制裁面临智能体无法被起诉的困境等。

3.平台规则的现行约束及其审视

从当下实践来看，面对智能体浪潮的冲击，平台方普遍通过《用户协议》《服务条款》等格式合同明确规制自动化程序的访问行为，目前主要存在两类举措：其一，禁止未经许可的自动化访问；其二，强制披露智能体身份。两类举措在普遍性和具体内容上存在显著差异，需要分别审视。

（1）禁止自动化访问

禁止未经许可的自动化程序访问，是当前多数平台的共同选择。亚马逊在其《使用条件》中规定，亚马逊有权自主决定是否限制智能体访问、使用亚马逊服务以及智能体与亚马逊的交互方式。易贝网在《用户协议》中明确，未经网站事先明确许可，不得使用任何智能体、机器人等自动化手段访问网站服务。微信则在《软件许可及服务协议》第8.2.1.6条中明确规定，用户不得“通过非腾讯开发、授权的第三方软件、插件、外挂、系统，登录或使用本软件及服务，或者进行自动化操作”。

（2）强制披露智能体身份

相较于普遍禁止访问，明确要求智能体披露自身身份的条款尚属少数，亚马逊是最为典型的代表。亚马逊在其《使用条件》中明确规定：“智能体必须在所有HTTP/HTTPS请求中标识该请求来自智能体，并通过用户代理字符串披露智能体的名称，例如Agent/Amazon Agent。”这一规定明确了智能体的身份标识义务，要求其在技术层面表明非人类身份，为网站管理方识别自动化流量提供了依据。

      （3）格式条款的效力审视

上述用户协议条款的效力，需置于格式条款规制框架下审视。根据《民法典》第497条，提供格式条款一方不合理地免除或者减轻其责任、加重对方责任、限制对方主要权利的，该格式条款无效。据此，平台通过格式条款禁止用户授权智能体访问其自身数据，是否构成对用户“主要权利”的不当限制，成为问题的核心。当然，从平台视角观之，服务器负载压力、网络安全风险、流量经济收益、反欺诈需求等，均构成限制用户权利的正当理由。因此，问题的关键并非简单判断用户协议条款的效力，而是须回归权利本身：在智能体场景下，用户基于个人信息可携权和数据来源者权所享有的权利，其内容与边界是否因智能体的介入而发生改变？平台利益应当在何种条件下、以何种方式纳入权利行使的考量范围？智能体基于用户授权取得的数据权利，又应受到何种限制？这些问题构成了下文探讨的核心议题，即在智能体场景中，重新审视并构建用户授权第三方的数据权利体系。

四、智能体数据权利的规范路径

（一）智能体场景下的权利配置逻辑再审视

在智能体场景下，用户授权第三方访问数据的权利配置，本质上是多元主体之间的利益分配与平衡过程。这一利益衡量框架并非凭空构建，而是奠基于个人信息可携权与数据来源者权的制度逻辑与价值取向。深入剖析这些既有利益框架的内在逻辑，是评估智能体是否足以改变权利配置的理论前提。

1.既有权利框架的内在利益结构

个人信息可携权的利益结构表现为人格权益优先，兼顾总体福利。《个人信息保护法》第45条第3款确立的个人信息可携权，以强化个人对自身信息的控制为核心目标。其背后的利益衡量可概括为三层：首先，个人信息权益的优先保障。个人有权决定其信息在何种范围内被转移，数据处理者原则上负有配合义务。其次，数据处理者的投入保护。权利客体通常限于用户提供的数据，而排除处理者通过实质性投入分析生成的衍生数据。最后，消费者福利与市场竞争。个人信息可携权有助于降低转换成本、促进竞争，实现总体福利提升。

与个人信息可携权不同，数据来源者权聚焦用户在数据价值生成中的贡献，指向对数据上财产权益的公平分配。其利益框架同样包含三层：首先，数据来源者的贡献回报。用户基于其参与和投入享有对数据的公平使用权等，这是分配正义的基本要求。其次，数据处理者的投入回报。欧盟《数据法》第9条允许处理者向第三方收取合理补偿，以承认其在数据收集、加工中的投资。最后，数据流通与市场创新。通过承认各方贡献，构建用户、处理者、第三方等多方共赢的数据生态。

综上，既有权利框架已在用户人格权益保障、用户贡献、数据处理者投入、市场竞争与创新等多元利益之间形成了相对平衡的利益格局。问题在于，智能体的介入是否足以打破这一平衡，以至于需要重新调整权利内容与权利边界？

2.智能体场景下的利益格局重估

数据处理者拒绝智能体访问，核心考量在于智能体对其流量经济模式构成根本性挑战。智能体依据用户指令直接完成交易，使平台依赖的广告变现链条被彻底绕开。然而，此种商业利益的减损，并不构成限制用户及第三方法定权利的充分理由。

首先，流量经济模式本身并非法律保护的独立利益形态。平台基于其市场地位形成的商业模式固然值得尊重，但用户基于法定权利行使数据访问权、复制权、转移权，其正当性具有更为深厚的法理基础。个人信息可携权和数据来源者权不仅为现行法所明确承认，更承载着数字时代人格尊严与分配正义的基本价值。最高人民法院研究室在263号指导性案例的评述中亦明确，网络平台对其所采集生成的数据虽享有受法律保护的权益，但不得阻碍“用户对所收集的数据进行转移等合理处理”。

其次，智能体对平台收益的冲击属于技术演进中的正常商业风险。从历史经验看，每一次技术革新都会对既有商业模式造成冲击。搜索引擎的出现冲击了传统媒体广告，电子商务的兴起改变了实体零售格局，移动互联网的普及重构了流量入口分布。但法律从未因此限制用户使用新技术工具的权利，而是由市场通过有序竞争实现商业模式的动态调整。智能体作为提升用户效率的技术工具，其应用、普及所带来的商业格局变化，属于市场竞争的正常状态。若因保护既有商业模式而对新技术设限，将可能阻碍整体社会福利的提升。此外，智能体对平台的冲击并非单向剥夺，而是重构了平台与用户的互动方式：平台仍然掌握着用户行为数据，并拥有广告位资源，只是需要适应智能体时代的交互逻辑。

最后，既有权利框架已内嵌或可内嵌对平台利益的保护机制，无需通过否定权利本身来实现平衡。以欧盟《数据法》为例，其允许通过技术措施对访问频率、并发数量进行合理规制，要求第三方不得将数据用于开发竞争性产品，允许数据处理者向第三方收取一定费用等。这些机制为平台利益提供了一定保护，但均不否定用户及第三方基于法定权利的数据访问权限。由此可见，权利本身与平台利益并非不可调和的矛盾，关键在于通过配套规则实现利益平衡，而非以牺牲权利为代价。

（二）规范路径的审慎选择

前述分析表明，智能体场景下的用户数据权利及第三方数据权利，在权利内容与行使方式等核心层面，与既有权利框架并无本质差异。但这并非意味着对实践中数据利用冲突的放任。关键问题在于，应当通过何种规范路径来平衡智能体数据权利中的多元利益，是选择立法的事前干预，还是交由市场自发演进。

1.新兴技术治理的包容审慎原则

面对新兴技术引发的法律与实践争议，立法谦抑应当成为立法者的首要立场，这一选择并非消极的不作为，而是基于技术发展规律与制度演进历史的理性判断，其核心要义是在守住安全底线的前提下，为技术创新与市场试错保留充足空间。

技术规制史上的“红旗法案”是立法过度干预新兴技术的典型反面例证。1865年英国议会颁布了《道路机车法》，以传统马车交通的安全标准规制刚出现的机动车，不仅要求机动车配备三名操作员，且规定一人需在车前60码手持红旗开道，同时将城区机动车限速锁定在4英里/小时。该法案虽以安全治理为初衷，却无视机动车的技术特性与发展潜力，直接导致英国汽车工业被桎梏30年，错失了早期产业发展的关键窗口期。

智能体目前仍处于技术路线探索、应用场景拓展的早期阶段，若立法者贸然出台刚性规则，极有可能重蹈“红旗法案”的覆辙。我国《人工智能安全治理框架（2.0版）》将“包容审慎”确立为人工智能治理的基本原则，正是对这一规律的回应，其要求对包括智能体在内的新兴人工智能技术实践，优先通过市场机制、行业自律解决争议，立法仅在必要且成熟的领域适度介入，这也是智能体数据权利治理应遵循的基本准则。

2.技术实践的自发演进

对于智能体数据访问争议，当前市场已形成自发性治理方案，各类科技企业与标准化组织围绕生态构建、风险管控、系统互操作等现实需求，逐步形成以身份标识、行为追溯为核心的技术实践共识，为智能体数据权利治理奠定了市场化与规范化基础。

领先科技企业基于生态建设与风险管理需要，已初步形成以智能体身份标识为核心的技术方案。谷歌在其A2A（Agent-to-Agent）智能体互联协议生态中，提出智能体卡片（Agent Card）标准化方案，通过结构化数字元数据档案，对智能体的唯一身份标识符、功能边界、认证方式、访问权限等核心信息进行统一描述，实现智能体交互过程中的身份核验与能力匹配。微软则推出智能体身份证（Agent ID）技术体系，为每个智能体实例分配全球唯一、全生命周期可管理的数字身份，并通过密码学绑定技术将身份标识与智能体技术实体深度融合，确保智能体在部署、运行、交互全流程中身份可验证、行为可追溯。

在行业标准层面，国内与国际标准化组织均已启动智能体治理规则的制定工作。在国内，《人工智能 智能体互联》系列国家标准于2026年5月发布，聚焦智能体身份标识、交互协议等核心环节，明确提出统一身份认证与全程追溯机制，推动智能体在数据访问、跨平台协作等方面实现规范化运行。放眼域外，国际互联网工程任务组（IETF）框架下已有个人提交的SD-Agent互联网草案，将SD-JWT（选择性披露JSON网络令牌）技术应用于智能体治理，支持智能体根据交互场景选择性披露必要信息，在保障知情权的同时避免敏感信息过度暴露。

3. 市场协商的补偿机制

智能体数据访问中的利益冲突，其化解路径既涉及身份标识与行为追溯等技术层面的支撑，也有赖于通过市场协商，在数据处理者与第三方之间构建合理的利益分配机制。欧盟《数据法》为此提供了初步的制度参照。该法第8条引入的“公平、合理、非歧视”（FRAND）原则，旨在防止数据处理者设置不合理共享障碍；第9条则进一步明确，数据处理者有权向第三方收取合理补偿，其计算可涵盖直接成本、投资成本乃至合理利润，同时允许对中小企业等主体适用优惠规则。

与欧盟的制度探索相呼应，我国同样在推进数据提供、数据访问相关的规则供给。2025年7月，国家数据局与国家市场监管总局联合发布了《数据提供合同》《数据委托处理服务合同》《数据融合开发合同》等示范文本。这些官方示范合同专门针对数据流通中的核心场景，将“补偿数额的确定交由市场主体自主协商”这一原则，转化为可供企业参照使用的合同蓝本。

4.立法介入的具体展开

包容审慎、尊重市场并不意味着立法的完全缺位，当市场自治存在结构性失灵、用户法定权利面临被架空的风险时，立法的适度介入具有必要性与正当性。在智能体数据权利治理中，立法的介入应划定清晰边界，聚焦技术实践的法定化与格式条款的公平性规制两大核心领域，实现对市场自治的有效补位。

（1）身份标识作为法定义务

智能体身份标识与行为追溯已有行业方案，但市场自发演进存在结构性缺陷，须将核心技术实践上升为强制性义务，以矫正市场失灵。身份标识的核心功能在于提供可识别、可追溯的身份锚点。其一，破解责任认定困境。智能体作为匿名行动者，其行为主体难以辨别。身份标识通过为智能体赋予唯一、可验证的数字身份，为责任认定提供事实基础。其二，建立合作预防框架。在亚马逊诉Perplexity案中，冲突根源在于智能体以匿名身份侵入为人类设计的交互体系。若智能体在交互伊始即声明身份，亚马逊便可启动差异化管理策略，实现事前合作与风险预防。

但是，从实践来看，现有头部企业的身份标识方案往往服务于生态内部的互操作性需求，例如，谷歌的智能体卡片主要针对智能体间的机器交互设计，其标识信息为机器可读的元数据，难以满足监管机构的治理需求；且各类技术方案具有场景封闭性，跨平台、跨生态的身份验证与行为追溯仍存在技术壁垒，无法实现智能体身份的全域可识别。从市场机制的运行来看，企业出于经济利益考量，存在强烈的隐匿智能体身份的动机：明确披露身份可能触发第三方的合规审查与责任追究，增加运营成本。当身份标识仅为行业实践时，隐匿身份的商业收益往往高于违规成本，最终将引发责任追溯失效、协作信任崩塌等系统性风险。

因此，立法应将身份标识确立为法定义务，并围绕全链条构建协同义务。模型开发者需创建唯一不可篡改的数字标识，绑定基础架构；服务提供者需在交互界面显著呈现标识，构建行为日志系统；服务使用者需在高风险场景主动声明身份，并绑定自身已验证的数字身份，提供责任背书。

（2）平台规则的效力边界

如果说身份标识解决了“谁在行为”，那么格式条款规制则明确了“用户能否有效授权”。平台通过用户协议单方限制智能体访问数据，本质上是以格式条款设定准入规则。用户法定授权能否实现，取决于格式条款的效力边界，这正是立法的核心介入领域。

我国《民法典》第497条确立了格式条款效力规则。在智能体场景中，用户基于个人信息权益、数据来源者权享有授权访问、复制、转移数据的权利，平台一概禁止或设置过高门槛，构成对用户主要权利的不当限制，按照格式条款规则此类条款应属无效。欧盟《数据法》第13条进一步明确，单方强加的、背离商业惯例或违反诚信的数据访问限制条款无效，该方案可供借鉴。

结合我国立法框架与智能体实践，应构建分层分类的格式条款公平性审查规则，明确平台用户协议中数据访问条款的效力边界。其一，有效条款。平台可基于负载、安全、隐私等正当需求，合理限制访问频率、并发量、范围等；可要求履行身份标识义务；可禁止将数据用于开发竞争性产品或服务。其二，无效条款。禁止一概否定用户授权智能体访问相关数据，禁止设置不合理的身份验证门槛，禁止通过单方解释权、责任限额等条款免除自身义务或加重对方责任。其三，个案审查。对数据访问补偿、费用收取条款，应结合技术成本、商业惯例等，依“公平、合理、非歧视”原则审查，明显高于成本或实行差别待遇的费用条款应认定为不公平格式条款。

五、结  语

智能体的兴起正在将数据权利的法律议题从“用户与平台”的双边关系，推向“用户、平台、智能体”三方互动的复杂格局。智能体作为第三方所享有的数据权利，其权源在于用户的法定权利，这决定了智能体的权利内容与边界。智能体的介入并未改变既有权利框架的核心利益结构，其对平台流量经济模式的冲击虽触及商业模式根本，但尚不足以构成否定用户及第三方法定权利的理由。当然，承认用户及第三方的法定权利，并不意味着权利行使毫无限制。在权利内容不变的前提下，可通过身份标识义务、协商补偿机制、禁止开发竞品等合理限制实现利益平衡。上述限制的实现路径应遵循包容审慎、市场自治与立法介入协同的基本立场，立法仅在市场存在结构性失灵的领域适度介入。智能体治理注定是一场从具体规则到基本理论的漫长探索。立法者与学界宜对其保持观察与审慎的态度，在具体问题的解决中积累经验，为智能体时代的法律体系重构奠定基础。