2025 年 9 月，浙江上虞一起利用 AI 换脸技术抢购茅台案一审宣判。据公开报道，谢某、张某通过 AI 换脸技术绕过平台的实名核验环节，批量抢购茅台，被以非法控制计算机信息系统罪判处有期徒刑一年一个月至一年四个月，缓刑一年六个月至一年九个月，并处罚金；赵某因涉及公民个人信息，被以侵犯公民个人信息罪判处有期徒刑八个月，缓刑一年，并处罚金。各被告人均未上诉。

一个行为，两条罪名

本案最值得注意的，是同一个技术滥用行为同时触发了两个不同的罪名。

非法控制计算机信息系统罪针对的是对系统正常运行的干扰。AI 换脸绕过实名核验，本质上是未经授权干预了平台系统的身份验证逻辑，使其按照非预期的方式运行。

侵犯公民个人信息罪针对的是个人信息的非法获取与使用。换脸通常需要以他人的人脸信息为素材，这一环节直接落入个人信息保护的规制范围。

这说明，AI 技术的刑事风险很少是单一的。人脸信息既是身份凭证，也是个人信息；绕过核验既是对系统的干预，也可能涉及信息滥用。参见AI 企业刑事合规与监管应对。

换脸滥用的三条风险线

第一条是身份核验线。 凡以人脸作为身份凭证的场景——支付、政务、平台实名、门禁——都是换脸滥用的高发区。参见人脸识别备案指引。

第二条是个人信息线。 人脸属于敏感个人信息，其收集、使用需取得单独同意并具备合法性基础。以他人人脸训练换脸模型，是典型的高风险行为。参见个人信息保护合规要点。

第三条是内容标识线。 换脸产生的视频属于生成合成内容，标识义务不可回避。参见AI 生成合成内容标识办法要点。

对企业与开发者的提示

对提供换脸、数字人等技术能力的企业而言，本案的警示在于：技术本身中性，但能力输出需要配套风险控制。

其一，建立使用场景的白名单与黑名单，对涉及身份核验、金融支付等场景的技术调用设置更严格的限制与审核。

其二，在用户协议中明确禁止性用途，并配套异常检测与处置机制。参见AI 商业合同的关键条款。

其三，保留技术调用的日志与留痕，在发生争议时能够说明已尽到合理注意义务。

对普通用户而言，本案也提示：以「技术手段提高抢购成功率」为名绕过平台规则，其法律后果可能远超预期收益。

本文依据公开报道的判决信息编写，仅供参考，不构成法律意见。