生成式 AI 服务管理要点
面向境内公众提供生成式人工智能服务，适用《生成式人工智能服务管理暂行办法》（2023 年 8 月 15 日施行）：核心义务包括训练数据与模型来源合法、内容治理与标识、保护个人信息与未成年人、提供投诉举报渠道。具有舆论属性或社会动员能力的服务，还需按规定完成安全评估与算法备案。判断适用性看的是「是否面向境内公众提供服务」，而不是模型是否自研。
基本信息
| 依据 | 《生成式人工智能服务管理暂行办法》，2023 年 8 月 15 日施行 |
|---|---|
| 适用对象 | 向境内公众提供生成式人工智能服务的提供者 |
| 基本义务 | 语料与模型来源合法、内容治理、标识、个人信息保护、投诉渠道 |
| 加重义务 | 具有舆论属性或社会动员能力的服务需安全评估与算法备案 |
| 监管主体 | 网信部门统筹，相关部门按职责分工 |
| 配套规则 | 生成合成内容标识、算法推荐与深度合成等方面的专门规定 |
主要义务与落地动作
| 方面 | 要求 | 落地动作 |
|---|---|---|
| 语料与模型 | 来源合法，不侵犯他人权益 | 留存来源与授权记录，形成台账 |
| 内容治理 | 发现违法内容及时处置 | 建立审核、拒答与人工兜底机制 |
| 标识 | 按规定对生成合成内容作标识 | 显式提示与隐式标记同步落地 |
| 个人信息 | 依法处理用户输入中的个人信息 | 最小化收集、脱敏、明确告知与删除路径 |
| 未成年人保护 | 防范不良内容与沉迷 | 年龄确认与内容分级措施 |
| 投诉举报 | 提供便捷的投诉与反馈入口 | 公开入口并留存处理记录 |
上线前自检清单
- 服务是否面向境内公众开放，是否触发备案与安全评估义务
- 语料与模型来源、授权链条是否有可追溯的留档
- 生成内容的标识方案是否覆盖接口返回与界面展示
- 用户协议、隐私政策与投诉入口是否齐备且可访问
- 内容安全机制是否覆盖输入、输出与工具调用三个环节
- 是否建立应急预案与人工复核流程
合规自查（清单式）
合规自查（清单式）
[ ] 服务面向公众？→ 触发暂行办法义务
[ ] 语料与模型来源及授权记录是否留档
[ ] 具有舆论属性或社会动员能力 → 安全评估 + 算法备案
[ ] 生成内容标识方案（显式提示 + 隐式标记）
[ ] 用户协议 / 隐私政策 / 投诉举报入口
[ ] 内容安全机制：输入过滤 + 输出审核 + 人工兜底
[ ] 个人信息处理：告知同意、最小必要、删除路径
[ ] 日志与留存策略符合对应行业要求适用性判断的常见情形
| 情形 | 是否触发 | 说明 |
|---|---|---|
| 面向公众的对话服务 | 触发 | 直接面向境内公众提供生成式服务 |
| 企业内部工具 | 通常不触发面向公众条款 | 个人信息保护等要求仍然适用 |
| 调用第三方模型做产品 | 触发 | 合规主体看的是服务提供方 |
| 开放接口给开发者 | 视情况 | 下游再向公众提供会形成链条，需在协议中约定责任 |
| 离线演示不对外 | 通常不涉及 | 一旦对外开放就要重新评估 |
面向公众与内部试用是两条不同路径：内部工具也要遵守个人信息保护的相关要求，只是不触发面向公众服务的部分义务。
标识要求包含显式与隐式两部分：界面上要有可感知的提示，文件与元数据层面也要按配套规定留痕，只做其一都不完整。
只做模型侧合规远远不够：语料授权、个人信息处理、内容审核与留存策略都是检查重点，缺一项都可能构成风险。