我们给客户拍的人像后期用AI磨皮润色,这在合规上算违规吗?

按你描述的场景，纯粹的AI辅助人像后期处理本身通常不构成违规，但你目前的操作链条里有几个关键风险点需要尽快堵上：AI工具是否在云端处理照片、合同条款里有没有说清楚"如何后期"、以及客户有没有被有效告知。

事情核心不是"AI磨皮润色算不算违规"，而是"你有没有在客户不知情的情况下，把人脸数据交到了一个你也没审过的外部处理链路里"。如果使用的是本地推理、数据从未离开你手里，风险很小；如果插件把图片发送到了境外服务器，这就可能涉及数据出境和个人信息对外提供，合规要求陡然升高。

你这个情况很可能不违规，但笔记里藏着3个风险点

• 风险一：插件是否静默上传到云端。Topaz 的部分产品支持本地处理，但也存在云端模型。很多人像插件（尤其一键美颜类）默认会把图片上传到厂商服务器进行推理，这就已经不是"你帮客户修图"，而是"你把客户的生物识别信息交给了第三方"。人脸图像属于《个人信息保护法》里的敏感个人信息，一旦上传，需要单独的告知同意。
• 风险二：服务器在境外，就可能构成数据出境。如果该插件的服务器在日本、新加坡、美国等地，你的操作就触发了个人信息出境的法律场景。根据 国家网信办 发布的相关规则，个人信息出境的路径包括申报数据出境安全评估、签订标准合同、获取个人单独同意等，摄影工作室基本不具备走完这些流程的条件。一旦被认定为违规出境，可能面临行政处罚。
• 风险三：合同里那句"合理后期处理"太模糊。"合理"是主观词，客户理解的是调色、裁剪、去杂物，你做的却是用外部AI重新处理了人脸结构数据。在出现纠纷时，这种模糊条款对你不利，法院或监管部门倾向于保护个人信息主体。

合规边界在哪里：从《个保法》角度看AI修图

人脸修图是否属于"必要"，关键看这个处理行为是否在履行合同的合理范围内。参考 中国人大网 发布的《个人信息保护法》释义，婚庆摄影合同的核心目的是"交付符合约定的照片"，那么为了让照片达到约定效果所做的后期处理，本身就属于履行合同的必要行为。

但这个"必要"有个硬前提：处理方式应当是达成目的的最轻微手段。如果你可以在本地完成磨皮而不上传，却选择用云端插件，这份"上传到第三方"就不是最小必要。同样，如果你手动磨皮也能达到近似效果，却选择上传到境外服务器，那就更站不住脚。

实用建议：合同怎么写、流程怎么跑

1. 立即排查你现在用的插件。打开 Topaz 设置和人像插件的偏好选项，重点看是否有"本地处理/离线模式"选项、是否勾选了"发送匿名数据"或"上传以改进模型"。直接在工具里设成全本地、断网试一次，看它报不报错。这是最紧迫的一步，半小时能干完。
2. 合同条款微调，不要泛泛写"合理后期"。改成类似表述："后期处理包含曝光调整、色彩校正、皮肤瑕疵修复等，其中肤质修复可能使用本地AI辅助工具完成，加工过程在工作室设备内完成，不向第三方传输原始照片及人脸数据。" 这样既没骗客户，又划清了你的数据边界。
3. 交片前给客户看一下对比图，但要轻量化。不需要发"是否同意AI修图"的确认书，那样反而把简单事搞复杂。可以在交片群里发一张修前修后的对比，问一句"皮肤质感这边做了细化处理，你看这个程度OK吗"，截图留存即可。这样实际上完成了一次"告知"，也给客户选择的机会。
4. 优先选本地推理的工具。Topaz Gigapixel / DeNoise 通常有本地独立安装版，部分人像插件如 Retouch4me 也支持本地推理。购买前确认：官网描述里有明确说"processes images locally"或"no upload required"，且工具运行时防火墙不显示对外连接。

工具选择的避坑指南

• 多看一次软件的隐私政策，尤其看"Data Collection"或"What data we process"那一段。如果出现 "upload to our servers for processing" 或 "collect facial feature data to improve models"，立刻停用或切断网络后使用。
• 警惕打着"AI云端修图"旗号的小程序、网页工具。很多摄影圈流行的批量修图网页端，要求你把客户照片拖浏览器窗口，这相当于直接把数据裸跑给一个你完全不了解的后端。
• 如果团队内有多人经手照片，在NAS里设置权限分级，导出给客户的成品文件夹和原始工程文件分开，避免误传原始数据给客户或第三方。这虽然跟个保法没直接关系，但属于行业内的稳妥做法，国家版权局的《作品自愿登记管理办法》相关规范也强调创作者对作品流动过程的管控能力，参考 国家版权局 的管理框架思路同理可用在数据管控上。

你需要处理的其实不是"能不能用AI修图"这个大问题，而是"用什么修、怎么告诉客户、数据走到哪"这三个具体点。把工具换成全本地版、合同里加一句清楚的话、交片时确认一下风格程度，就基本稳了。

本文仅供个人合规参考，不构成正式法律意见。如果客户已提出异议或涉及个人信息跨境引发的投诉，建议尽快带着具体工具清单和合同文本咨询专业律师。