|
新规速递：《生成式人工智能服务管理暂行办法》合规解读与实务指引 引言 2023年7月10日，国家互联网信息办公室联合国家发展和改革委员会、教育部、科学技术部、工业和信息化部、公安部、国家广播电视总局，以七部门令第15号正式公布《生成式人工智能服务管理暂行办法》（以下简称"《暂行办法》"），自2023年8月15日起施行。作为我国首部专门规制生成式人工智能服务的部门规章，《暂行办法》的出台标志着我国生成式人工智能监管进入有章可循、分类分级监管的新阶段。 01 适用范围：判断是否落入监管的基本框架 准确判断自身业务是否落入《暂行办法》的适用范围，是经营者合规判断的起点。 （一）适用标准：向境内公众提供服务 根据《暂行办法》第二条第一款的规定，利用生成式人工智能技术向中华人民共和国境内公众提供生成文本、图片、音频、视频等内容的服务，适用本办法。判断是否适用本办法的核心标准在于"是否向境内公众提供服务"。具体而言：
（二）特别适用规则：专门领域规定的优先适用 《暂行办法》第二条第二款规定，国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的，从其规定。经营者如在上述专门领域利用生成式人工智能服务开展业务，应同时关注行业专门规范的要求，并优先适用专门规定。 （三）经营者的自我定位要点 经营者应根据自身业务模式进行精准自我定位。直接面向公众提供C端生成式AI产品的企业、通过API向第三方提供生成能力的服务商、为他人提供生成式AI技术支撑的技术平台，均属于"提供者"，需全面履行本办法设定的义务体系。仅将生成式AI用于内部研发、测试且不对外提供服务的场景，不属于本办法规制范围，但仍需关注数据安全、个人信息保护等其他法律法规的合规要求。 02 基础合规底线：提供和使用生成式AI服务的通用义务 《暂行办法》第四条规定了提供和使用生成式人工智能服务应当遵守的五项基本要求，构成所有主体参与生成式AI服务活动的合规底线。 （一）内容合法底线 提供和使用生成式人工智能服务，应当坚持社会主义核心价值观，不得生成煽动颠覆国家政权、危害国家安全和利益、宣扬恐怖主义极端主义、宣扬民族仇恨民族歧视、暴力淫秽色情以及虚假有害信息等法律、行政法规禁止的内容。 （二）防歧视义务 在算法设计、训练数据选择、模型生成和优化、提供服务等过程中，应当采取有效措施防止产生民族、信仰、国别、地域、性别、年龄、职业、健康等歧视。这一要求贯穿模型全生命周期，经营者不能仅在某一环节进行单点防控，而应建立覆盖全流程的防歧视审查机制。 （三）尊重知识产权与公平竞争 提供者应尊重知识产权、商业道德，保守商业秘密，不得利用算法、数据、平台等优势实施垄断和不正当竞争行为。 （四）尊重他人合法权益 不得危害他人身心健康，不得侵害他人肖像权、名誉权、荣誉权、隐私权和个人信息权益。 （五）透明度与可靠性 基于服务类型特点，采取有效措施提升生成式人工智能服务的透明度，提高生成内容的准确性和可靠性。 03 经营者核心合规义务体系 《暂行办法》为生成式人工智能服务提供者构建了覆盖"训练数据—服务运营—特别程序"全链条的义务体系，经营者应从以下维度系统建立合规框架。 （一）训练数据合规义务 训练数据是生成式人工智能模型能力的基础，也是合规风险最为集中的环节。《暂行办法》第七条对提供者在预训练、优化训练等训练数据处理活动中的义务作出明确规定。 1.数据和基础模型的合法来源义务 提供者应当使用具有合法来源的数据和基础模型。经营者在采购数据、引入基础模型时，应当对数据供应商和模型提供方进行尽职调查，核实数据来源的合法性和授权链条的完整性，妥善留存交易凭证和授权文件，形成可追溯的数据来源证明。 2.知识产权尊重义务 涉及知识产权的，提供者不得侵害他人依法享有的知识产权。训练数据中如包含受著作权保护的文本、图片、音视频等作品，经营者应建立版权风险排查机制，对大语料库进行版权筛查和风险评估。尤其需要注意的是，开源数据和公开网络爬取数据同样存在版权风险，不能以"数据来源于公开渠道"为由主张当然免责。 3.个人信息保护义务 涉及个人信息的训练数据，应当取得个人同意或者符合法律、行政法规规定的其他情形。经营者使用包含个人信息的训练数据时，应依据《中华人民共和国个人信息保护法》关于"告知—同意"的规则，取得个人的同意，或确认存在法律、行政法规规定的其他合法处理情形。建议经营者对涉及个人信息的训练数据开展个人信息保护影响评估，确认处理的合法性基础并留存评估记录。 4.数据质量保障义务 提供者应当采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性。低质量、片面性、包含显著偏见的训练数据不仅影响模型输出质量，也可能触发第四条关于防止歧视、提升准确性和可靠性的要求。经营者应建立训练数据质量评估指标体系，设置质量抽检机制，确保训练数据的整体质量水平。 5.其他法律义务的衔接 训练数据处理活动还应当遵守《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律、行政法规的其他有关规定和有关主管部门的相关监管要求。经营者应注意，本办法并非孤立规范体系，数据分类分级保护、数据出境安全评估、网络安全等级保护等既有法律制度在生成式AI场景中同样适用。 （二）数据标注合规义务 《暂行办法》第八条专门规定了数据标注活动的合规要求，这是容易被经营者忽视但具有明确刚性的义务。在生成式人工智能技术研发过程中进行数据标注的，提供者应当：
对于采用外包标注模式的经营者，应在委托合同中明确标注规则和质量标准，并对标注过程进行监督和抽查，不能以"已外包"为由免除自身合规责任。 （三）服务运营合规义务 服务运营阶段是经营者日常面对的核心合规场景。《暂行办法》第九条至第十五条从多个维度构建了服务运营的持续合规要求，提供者同时承担"网络信息内容生产者"和"个人信息处理者"的双重法律身份。 1.服务协议签订义务 提供者应当与注册其服务的使用者签订服务协议，明确双方权利义务。服务协议至少应当涵盖：服务内容与适用范围、使用者行为规范与禁止事项、违法内容的处置措施、个人信息处理规则、投诉举报渠道、免责条款与责任限制等核心条款。建议经营者委托法律专业人士审阅修订服务协议文本，确保条款的完整性与合法性。 2.服务适用范围公开与未成年人保护 提供者应当明确并公开其服务的适用人群、场合、用途，指导使用者科学理性认识和依法使用生成式人工智能技术，并采取有效措施防范未成年人用户过度依赖或者沉迷生成式人工智能服务。经营者应在其产品页面显著位置公示服务适用说明，并通过产品机制设置未成年人保护措施，包括但不限于年龄验证、使用时长限制、适龄内容过滤等。 3.用户输入信息和使用记录保护 提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息。这一要求的内涵包括三个层面：
同时，提供者应当依法及时受理和处理个人关于查阅、复制、更正、补充、删除其个人信息等的请求。经营者应建立个人信息权利响应的内部流程，明确受理渠道、处理时限和操作规范。 4.生成内容标识义务 提供者应当按照《互联网信息服务深度合成管理规定》对图片、视频等生成内容进行标识。这是防止深度合成内容引发混淆和欺诈的重要制度安排。经营者应结合技术条件，同时采用显式标识和隐式标识相结合的方式，对生成式AI输出的图片、视频等内容进行标记，确保使用者能够识别内容的AI生成属性。 5.服务稳定性保障义务 提供者应当在其服务过程中提供安全、稳定、持续的服务，保障用户正常使用。经营者应建立服务可用性监控体系，制定应急预案，确保在模型更新、流量高峰、系统故障等情形下尽可能维持服务的连续性。 6.违法内容处置义务 提供者发现违法内容的，应当及时采取停止生成、停止传输、消除等处置措施，采取模型优化训练等措施进行整改，并向有关主管部门报告。这一义务的要点在于"发现即处置"的及时性和"处置即整改"的闭环性。经营者应当建立违法内容监测、发现、处置、整改、报告的完整闭环流程。 提供者发现使用者利用生成式人工智能服务从事违法活动的，应当依法依约采取警示、限制功能、暂停或者终止向其提供服务等处置措施，保存有关记录，并向有关主管部门报告。值得强调的是，此类处置义务是经营者的法定义务，不能以"技术中立"为由消极不作为。 7.投诉举报机制建设义务 提供者应当建立健全投诉、举报机制，设置便捷的投诉、举报入口，公布处理流程和反馈时限，及时受理、处理公众投诉举报并反馈处理结果。经营者应在产品界面设置易于发现的投诉举报入口，制定投诉举报处理的标准作业流程，明确各环节的办理时限和责任人。 （四）特别程序性义务：安全评估与算法备案 《暂行办法》第十七条规定，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续。 这是一项具有刚性约束力的前置性程序义务，直接关系到生成式AI服务能否合法上线运营。经营者应当注意以下要点：
（五）监督检查配合义务与外商投资合规 《暂行办法》第十九条规定，有关主管部门依据职责对生成式人工智能服务开展监督检查，提供者应当依法予以配合，按要求对训练数据来源、规模、类型、标注规则、算法机制机理等予以说明，并提供必要的技术、数据等支持和协助。这要求经营者建立健全内部合规档案体系，确保在监管部门检查时能够及时、完整、准确地提供所需材料。 监管部门及参与安全评估和监督检查的相关机构和人员，对在履行职责中知悉的国家秘密、商业秘密、个人隐私和个人信息依法负有保密义务，不得泄露或者非法向他人提供。经营者在配合监管过程中可依法主张保密权利，保护自身的商业秘密和用户隐私。 04 境外服务提供者的监管约束 《暂行办法》第二十条规定，对来源于中华人民共和国境外向境内提供生成式人工智能服务不符合法律、行政法规和本办法规定的，国家网信部门应当通知有关机构采取技术措施和其他必要措施予以处置。 这一规定具有重要的域外适用意义。境外服务提供者即使未在境内设立实体，只要向境内公众提供生成式人工智能服务，即受到本办法约束。不符合规定的，面临被技术阻断的后果。对于计划向境内用户提供服务的境外AI企业，建议主动评估合规路径，包括是否在境内设立合规运营主体、是否按照本办法要求完成安全评估和算法备案、是否满足数据本地化等相关要求。 05 违法责任 《暂行办法》第二十一条规定了提供者违反本办法的法律责任。提供者违反本办法规定的，由有关主管部门依照《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国科学技术进步法》等法律、行政法规的规定予以处罚；法律、行政法规没有规定的，由有关主管部门依据职责予以警告、通报批评，责令限期改正；拒不改正或者情节严重的，责令暂停提供相关服务。 构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 经营者应当充分认识上述法律责任的实际风险，将合规建设作为经营活动的底线要求而非可选项。本办法规定的法律后果涵盖行政处罚、责令暂停服务乃至刑事责任，部分行为还可能同时引发民事侵权责任，合规风险不容低估。 06 经营者合规建议 基于上述解读，建议经营者从以下六个方面构建和完善生成式AI服务合规体系： 第一，建立训练数据合规管理制度。对数据供应商进行尽职调查并签订数据授权协议，建立数据来源合规审查流程，确保数据和基础模型的合法来源；对大语料库进行版权筛查，建立知识产权风险排查机制；对涉及个人信息的训练数据完成合法性评估，确认处理依据并留存记录；建立数据质量监控体系，设定质量评估指标并定期抽检；建立数据标注管理制度，制定标注规则，开展质量评估，对标注人员进行培训。 第二，完善服务运营合规机制。审慎拟定服务协议文本，明确双方权利义务；在产品页面公示适用人群、场合、用途，设计未成年人防沉迷机制；落实输入信息和使用记录的最小化收集原则，建立个人信息加密存储和访问控制机制；技术实现生成内容的显式与隐式标识；建立违法内容监测、处置、整改、报告全流程闭环；设置便捷的投诉举报入口，制定处理流程和反馈时限。 第三，落实安全评估与算法备案程序。对照"具有舆论属性或者社会动员能力"的判断标准，在产品上线前完成安全评估；按照《互联网信息服务算法推荐管理规定》履行算法备案手续；建立算法合规档案管理制度，妥善保存算法参数、训练数据说明、模型版本记录等材料；算法变更或停止服务时，及时办理变更或注销备案手续。 第四，构建个人信息保护合规体系。针对使用者输入信息和使用记录，建立全生命周期的保护机制，涵盖收集、存储、使用、共享、删除等各环节。制定个人信息权利响应流程，确保能够及时受理和处理个人关于查阅、复制、更正、补充、删除其个人信息等的请求。 第五，关注跨境服务与外商投资合规。涉及向境外提供服务的，应评估是否违反数据出境相关法律规定；涉及外商投资或拟引入外资的，应核查是否符合外商投资准入要求及增值电信业务许可条件。对外服务、外资架构等特殊情形，建议提前进行专项合规论证。 第六，建立持续合规管理能力。生成式AI监管尚处早期阶段，后续分类分级监管规则和配套指引将陆续出台。建议经营者的法务或合规部门密切关注监管动态，定期开展合规内部审查，及时调整合规策略，确保合规体系与最新监管要求保持一致。必要时可引入外部专业机构协助开展合规评估和制度搭建，强化合规体系的专业性与有效性。 07 使用者合规指引 《暂行办法》在设定提供者义务的同时，也为使用者提供了权利保障和行为规范。 （一）使用者的法定权利
（二）使用者的行为边界 使用者在使用生成式人工智能服务时，同样受到《暂行办法》第四条规定的约束，不得利用生成式人工智能服务制作、复制、发布、传播法律、行政法规禁止的内容。具体而言：
使用者违反上述义务的，依法承担相应法律责任。使用者在利用生成式AI技术进行内容创作和传播时，应树立合规意识，对AI生成内容进行必要审核，确保内容的合法性和真实性，避免因技术滥用而承担法律风险。 PART 01 结语 《生成式人工智能服务管理暂行办法》的施行，标志着我国生成式人工智能服务监管进入规范化、制度化的新阶段。在"发展和安全并重"的监管基调下，经营者既面临合规挑战，也迎来有序竞争的机遇。建议各相关企业结合自身业务模式，对照本办法要求，尽快建立健全合规体系，将合规能力转化为可持续的竞争优势。同时，使用者也应当增强权利意识和合规意识，在依法行使权利的同时自觉遵守法律底线，共同促进生成式人工智能技术的健康发展和规范应用。 联系我们 江苏宁申律师事务所 地址：江苏省南京市建邺区绿溢国际广场A座604 联系电话：13951801083 |
