美杜莎 LoRA 案二审落槌：值钱的是说理，不是结论

二十来张动画截图，一份付费视频会员，一个抠图工具，再加上某个平台上那个「训练 LoRA」的按钮。这就是一起中国著作权案的全部事实，如今二审已经判完；而比结果更值得看的，是中间的论证。

原告持有国产长篇动画《斗破苍穹》中美杜莎一角的角色设计。一名用户截取了该角色二十多帧画面，做了修整，喂进平台的 LoRA 训练功能，训出两个小模型——一个以一套新服装命名，一个以当前版本命名。他把两个都发布在了平台上。随后其他用户输入提示词，就得到了美杜莎的图像，有的几乎一模一样，有的相当接近。

原告诉请平台赔偿 200 万元、用户赔偿 20 万元，并要求在 15 万元范围内承担连带责任。法院认定用户侵权，平台则不承担责任。两个结论都重要，但夹在中间的那段说理才是真正该读的部分。

复制是再现，不是存储

二审的说理只靠一步教义上的挪移：复制权的本质是「再现」之权，也就是让作品重新可被感知。不是把它存下来，不是让模型去学它，而是把它重新呈现出来。

法院随后把这条链切成三段，逐段判断。

第一段：截取屏幕画面、裁剪成一个训练包。这是复制，构成侵权。

第二段：把训练包投进 LoRA 训练。法院认为这未必构成复制，而它采纳的那套解释，才是本案真正的转折点。LoRA 学到的是一个低秩的权重偏移矩阵。用法院的话说，这是低秩的统计压缩，而不是对原图的编码。那些参数没法再拼回原来那张图。

第三段：用户发出提示词、模型输出与原作实质性相似的画面——这一刻，复制才完成，责任也才落下。

{{INLINE1}}

为什么技术细节决定了判决

这是中国法院第一次必须在判决书里回答：LoRA 里到底装了什么。它采纳的答案是大多数机器学习工程师会给出的那个：一个秩分解后的增量，几百万个数字，改变基座模型的行为方式，里面不存有任何一张训练图像的可检索副本。

这一点之所以关键，是因为它把大家习惯性混为一谈的两件事分开了。拿作品去训练，和把作品再现出来，是两个不同的行为；后者需要第二个行为主体——那个敲下提示词的人。法院搭起了一条因果链，链条末端站着一只具体的人手。

它还给出了一条不靠感觉的判断标准。输出实质性相似，复制就发生了；不相似，就没有。这是一个被告真能据以抗辩的标准，而不像「模型看过你的作品」那种说法。

可以对照英国的 Getty 诉 Stability 案：专家证据确认，Stable Diffusion 的权重并不存储、也不包含训练图像的副本，只包含由这些图像导出的统计模式。英国法院据此驳回了间接侵权的请求。Getty 已获准就「侵权复制件」的解释提起上诉，听证预计在 11 月。两个法域、两套法条，最后落到同一幅技术图景上。

平台能脱身，靠的是流程，不是清白

平台这一关过得比看上去要脆，这一段其他平台应该读两遍。

法院并没有认定「提供训练功能」本身是安全的。它认定的是：这次有针对性的训练是由用户完成的——基座模型是他选的，素材是他上传的，参数是他设的。平台提供的是基座模型、算力和发布渠道。平台要不要担责，取决于它有没有尽到与其信息管理能力相适应的注意义务——而在这个案子里，它下架了模型，还通知了镜像了数据的境外平台。

这份判决该当成一张清单来读，而不是一张赦免状。通知、下架，以及一条留有记录的升级路径，才是平台换来这个结果的原因。一个托管 LoRA 的平台，在权利人投诉时什么都不做，处境就完全不同，同一个法院也会这么说。

一审还留了一根线头。在另一起涉及奥特曼 LoRA 的杭州案件中，一审法院探讨过：在没有证据表明训练意在利用作品表达上的独创性、也没有对权利人造成不合理损害时，训练是否可以构成合理使用。二审没有走到这个问题。所以合理使用这扇门在中国实践中还开着，只是还没人真正走进去。

更大的框架在九月落地

9 月 7 日，中国最高人民法院发布《关于审理涉人工智能纠纷案件的意见》，这是国内针对这一类纠纷的第一套司法规则。第 12 条按服务类型、训练数据来源、各方参与程度、所采取的措施以及获利情况，在开发者、提供者和用户之间分配责任。

它也给主张不侵权的开发者加了举证负担：要拿出训练数据来源的证据、训练过程的记录，以及模型如何运行的说明。第 14 条则另外确认，AI 辅助完成的发明可以申请专利，但发明人必须是自然人。

这跟美杜莎案的判决是同一套结构，只是被一般化了。责任跟着解释能力走。手里握着技术事实的一方，就背着把事实说清楚的负担。

这套说理可能在哪里断掉

低秩这套论证，用在二十张图训出来的小 LoRA 上非常干净。训练集一大、秩一高，它就开始晃：因为到某个点上，模型可能是在记，而不是在概括，「统计压缩」和「有损副本」之间的界线也就不再一目了然。

Getty 在英国的案子已经在这里插了个标：双方专家都同意，在某些条件下 Stable Diffusion 会输出带 Getty 水印的图像，因为训练数据里有带水印的图，而模型记得足够牢，能把水印复现出来。英国法院把商标方面的认定限制在三张示例图上，并基于证据驳回了针对 SDXL 和 v1.6 的更广泛主张。教训不是「记忆不会发生」，而是记忆必须按模型、按提示词、按输出逐项证明。

这份判决接下来就会在这里受检验。如果原告能证明单条提示词就能稳定地重新生成某个受保护角色，第三段就闭合了，责任也就回来了。以后每个案子里的技术问题都会是：试了几次。

如果你在训 LoRA，这意味着什么

从本案能落出的实操规则并不复杂。别用没拿到授权的受版权保护画面去搭训练集，哪怕你只是私下用来做个工具。别发布一个全部用途就是复现某个特定受保护角色的模型。如果你运营平台，先把下架通道建好，再建市集。

还有一条没被判决写出来、但大概应该写出来的规则：模型不是复制件，输出才是。也就是说，风险住在提示词里，而提示词是这条流水线上唯一还由人手写下的部分。