2026 年 10 月 7 日和 10 月 12 日，两名伊利诺伊州居民先后在伊利诺伊州北区联邦地区法院（N.D. Ill.，芝加哥）起诉 SpaceXAI Corp. 与 SpaceXAI LLC（原 X.AI Corp. / X.AI LLC，Grok 聊天机器人的运营方），案号分别为 Padilla v. SpaceXAI Corp., No. 1:26-cv-12335 与 Wilson v. SpaceXAI, No. 1:26-cv-12502。原告主张：用户上传自拍，请 Grok 分析、评分、编辑或生成图像时，系统提取了人脸几何特征，而公司既未事先书面告知、取得书面同意，也未公布生物识别数据的留存与销毁政策，违反《伊利诺伊州生物识别信息隐私法》（BIPA，740 ILCS 14/）。
需要说明：以上均为原告的指控，截至本文撰写时，公开信息显示两案仅处于起诉阶段，尚无法院对实体问题作出裁判。但这类案件的意义不在输赢，而在于它把 BIPA 的适用对象从门禁打卡、人脸识别，推向了所有处理用户人脸照片的 AI 图像功能。
一、案件背景：从"识别"到"生成"
据公开报道，Padilla 案的原告称其上传自拍，要求 Grok 生成职业头像和动漫风格图像。起诉书指称：Grok 为了在编辑过程中保持人物"像本人"，会推导出特定于该人脸的几何表示；该表示可与用户账户、对话历史相关联；公司隐私政策未提及人脸几何或生物识别标识符，也没有留存时间表和销毁指引；用户上传的图像在用户未选择退出时还被用于训练商业产品。原告还援引公司曾要求员工在录制面部素材前签署授权书（所谓 "Project Skippy"），以此证明公司知道需要取得同意。拟议集体为：在伊利诺伊州内、登录 Grok 账户、上传本人面部照片并使用相关功能的伊利诺伊州居民。Padilla 起诉书估算集体成员达数千人，争议金额超过 500 万美元。
这并非孤例。同期还有针对 Meta 的类似主张被报道，核心理由同样是 AI 训练和照片编辑功能涉及人脸几何而未取得 BIPA 同意。具体案情应以法院文书为准。
二、BIPA 的核心义务与定义
1. 定义（§ 10）。"生物识别标识符"包括视网膜或虹膜扫描、指纹、声纹，以及手部或面部几何扫描；法定定义明确排除照片本身。因此，一张自拍照不是生物识别标识符，但从照片中提取的面部几何模板可能是。这条界线是本类案件的主战场。
2. 公开政策（§ 15(a)）。持有生物识别信息的私营主体必须公布书面政策，载明留存时间表和销毁指引，原则上在收集目的实现或最迟三年内销毁。
3. 告知与书面授权（§ 15(b)）。收集前须书面告知收集事实、目的和留存期限，并取得书面授权（written release）。
4. 禁止出售与限制披露（§ 15(c)、(d)）。不得出售、出租或以其他方式牟利；向第三方披露须经同意或符合法定例外。
5. 法定赔偿（§ 20）。每次疏忽违反 1,000 美元，故意或鲁莽违反 5,000 美元，另可主张律师费。伊利诺伊州最高法院在 Cothron v. White Castle（2023 IL 128004）中认定每次扫描均构成独立违法；在 Tims v. Black Horse Carriers（2023 IL 127801）中适用五年诉讼时效。但 2024 年 8 月 2 日生效的修正案（P.A. 103-0769）规定，同一主体以同一方式对同一人收集的，只能获得一次赔偿，并明确电子签名可构成书面授权，这在很大程度上缓和了天文数字式的累计赔偿风险。
三、争议焦点：面部几何是否"可识别"
被告一方可以援引 N.D. Ill. 在 Martell v. X Corp.（2024 WL 3011353，2024 年 6 月 13 日）中的思路：该院认为，要构成生物识别标识符，扫描结果必须能够识别特定个人，仅生成图像哈希而无法证明识别功能的主张被驳回。因此，Grok 案的关键在于：原告能否证明所谓"面部几何表示"既真实存在，又被用于识别或可关联到特定个人。原告已针对性地强调该表示可关联账户信息与对话历史，被告则可能主张所处理的仅是照片，或所谓表示不具识别功能。这些问题多半要等到驳回动议阶段才有答案，企业不宜把"可能胜诉的抗辩"当作合规方案。
四、对中资企业的合规要点
1. 盘点涉及人脸图像的功能。头像生成、美颜滤镜、虚拟试妆试戴、证件核验、会议虚拟形象，都应登记：是否生成面部特征模板，模板是否可关联用户账号。
2. 在收集前取得书面授权。面向伊利诺伊州用户的产品，在首次上传人脸前弹出独立的告知与同意界面，并保留电子签名记录；不要把同意埋在通用隐私政策里。
3. 公布并执行留存与销毁政策。政策需写明具体时限，并有技术手段真正删除，包括备份和第三方模型服务商处的副本。
4. 把"训练"单独授权。默认用于模型训练、用户需主动退出的设计，在本案中被原告作为指控要点之一。建议改为单独同意，并核查与云厂商、模型 API 供应商的合同是否限制其将数据用于自身训练。
5. 同步梳理员工生物识别。考勤指纹、人脸打卡同样适用 BIPA，起诉书引用员工授权书作为"明知"的证据，说明内部文件也可能成为反面材料。国内合规方面，《个人信息保护法》第 28 条将生物识别列为敏感个人信息，第 29 条要求取得个人的单独同意，两套规则可以合并设计流程。
五、格知律所如何协助
格知律所在芝加哥执业，熟悉伊利诺伊州联邦与州法院的 BIPA 诉讼实务。针对上述风险，我们可协助中资企业开展：产品人脸数据流 BIPA 合规审计；告知与书面授权界面、隐私政策及留存销毁政策起草；模型训练数据授权与供应商数据处理协议审阅；员工生物识别考勤制度整改；以及收到 BIPA 集体诉讼或律师函后的早期评估、应诉策略与和解谈判。我们建议在上线 AI 图像功能之前，而不是在收到起诉书之后，完成上述工作。
六、结语
Padilla 与 Wilson 两案刚刚起步，后续的驳回动议、集体认证和证据开示才会决定 BIPA 能否真正覆盖"上传自拍、生成头像"这一类功能。无论结果如何，趋势已经清楚：原告律师正在把生物识别法律当作 AI 产品合规的杠杆。对出海中资企业而言，把人脸数据的收集、授权、留存和训练用途写清楚，成本远低于一场集体诉讼。我们将持续关注两案进展。本文仅供一般信息参考，不构成法律意见。