Ars Technica 在2025年9月11日发表的报道披露，大约有1万名 Spotify 用户通过第三方市场把自己的听歌记录和播放列表出售给开发者，这些数据被用于训练各类音乐相关的人工智能工具。被售出的数据类型并非简单的曲目清单，消息源称包含播放时间戳、收听频率、跳过率、用户自建歌单及其描述等可关联性强的元信息。
Spotify 在向媒体回应时表示，平台严肃对待用户数据的滥用问题，已经向涉及的开发者发出停止销售数据的警告，要求立刻停止使用通过非正规渠道获得的数据并删除相关训练集。Spotify 强调，公司提供的官方开发者 API 有明确的使用条款，禁止出售或将个人识别性强的数据用于未经授权的用途。
但冲突的焦点在于多位相关开发者对 Ars Technica 表示，他们并未收到 Spotify 的正式警告邮件或通知。一位希望匿名的开发者说，他们是在社区论坛和第三方市场上购买到所谓“清洗过”的数据包，卖家宣称数据已去标识化并可用于训练模型。开发者补充，购买时的交易记录和数据样本没有显示任何来自 Spotify 的合规警示。
报道细节显示，第三方市场上流通的数据包价格各异，从几十美元到数千美元不等，部分数据集由成千上万条用户记录组合而成，且伴随简要的使用说明，明确写到可用于自动化推荐、情绪识别或生成式音乐助手的训练。安全研究者指出，即便去标识化，播放习惯和歌单组合仍可能通过交叉比对恢复出用户身份，构成隐私风险。
在平台治理方面，Spotify 已多次调整其 API 策略以限制不当爬取和批量导出用户数据，但此轮事件显示技术与市场生态仍存在缝隙。Ars Technica 的报道引述法律专家称，用户将个人数据出售给第三方并不直接解除平台对其生态的监管责任，特别是在涉及大规模数据汇集和再分发用于商业训练时，平台仍需评估合规与风险。
开发者社群的反应分歧明显。一些小型 AI 团队表示，数据供给是他们能快速迭代产品的关键——尤其在音乐推荐、歌词生成和音色模仿等领域，真实用户行为数据极为宝贵；另一些开发者及隐私倡导者则敦促市场停止售卖此类数据并强化用户知情同意机制。
Spotify 的下一步动作包括加大对 API 密钥滥用的检测、对可疑账户和应用采取封禁或撤销访问权限，并在必要时通过法律措施追究售卖数据的中间方责任。平台发言人还表示，将与监管机构和同业展开对话，以厘清在以用户数据为燃料的 AI 创新与个人隐私保护之间的边界。
2025年9月11日的这篇报道把音乐流媒体平台、AI 开发者和数据中介市场之间长期存在但不显山露水的问题摆到台面上：在快速发展的 AI 生态中，谁来为数据来源的透明度、用户同意以及再分发责任买单，仍是个悬而未决的问题。