数据安全法与网络安全法的 AI 义务是什么
两部法律对 AI 系统的要求分别落在数据侧与运行侧：数据安全法要求数据分类分级、识别与保护重要数据、开展风险监测与评估；网络安全法确立网络安全等级保护制度，并要求网络日志留存不少于六个月。AI 系统的训练语料台账、运行日志、重要数据目录都在射程之内。落地接口有两条：与等级保护测评衔接，与数据安全评估衔接。最常见的缺口是把日志只留几天用于排障，或用「内部数据」的名义把重要数据当普通数据外发。
基本信息
| 数据安全法 | 数据分类分级、重要数据识别与保护、风险监测与评估 |
|---|---|
| 网络安全法 | 网络安全等级保护制度、网络日志留存不少于 6 个月 |
| AI 场景落地 | 训练语料台账、运行日志留存、重要数据目录 |
| 衔接动作 | 等级保护测评与数据安全评估 |
| 日志范围 | 覆盖网关、模型调用与内容审核三类日志 |
| 常见缺口 | 日志留存过短、数据集未分级 |
典型使用场景
- 数据目录建设：给每个数据集打上分类分级标签
- 日志体系改造：把留存期从排障级提升到合规级
- 重要数据识别：梳理哪些数据涉及重要数据并限制外发
- 等保测评准备：整理系统边界与日志能力材料
- 数据出境评估：涉及出境时走对应合规流程
数据台账字段示例
数据台账字段示例
数据集ID / 名称 / 来源 / 授权依据
分类分级：公开 / 内部 / 敏感 / 重要数据
个人信息：是否含 / 脱敏方式
存储位置：境内 / 出境（关联出境合规流程）
保留期限与销毁记录
# 台账要能回答：这条数据是什么级别、存在哪、谁能用、何时销毁
# 日志留存 6 个月要覆盖网关、模型调用与内容审核日志要求与落地动作
| 要求 | 落地动作 | 常见缺口 |
|---|---|---|
| 数据分类分级 | 建立数据目录与分级标签 | 含个人信息的数据集未分级 |
| 日志留存 | 覆盖网关、调用与审核日志 | 只留七天排障日志 |
| 重要数据保护 | 识别重要数据并限制外发 | 重要数据被当普通数据外发 |
| 风险评估 | 定期开展并留存报告 | 从未开展评估 |
日志留存六个月是硬指标，且要可检索可导出；只在磁盘上堆着但查不出来，等于没有留存。
数据分级要与实际处理链路绑定：只在台账里分级、代码里不做限制，敏感数据依然可能被发到外部接口。