2023年1月10日，《互联网信息服务深度合成管理规定》正式施行。根据国家互联网信息办公室、工业和信息化部、公安部联合发布的规定，文本生成、语音合成、人脸替换、图像修复、数字人物和虚拟场景等服务均被纳入监管范围。
这部共25条的部门规章，将深度合成服务提供者、技术支持者和使用者分别纳入责任体系，并对真实身份认证、输入与生成结果审核、训练数据安全、生物识别信息处理、内容标识、算法备案和安全评估作出具体要求。其适用对象不限于通常所称的“换脸”或Deepfake产品，也包括提供相关模型、接口、模板和技术支持的企业。
监管对象覆盖生成与编辑服务
规定第一条列明立法依据和治理目标，涉及网络安全、数据安全、个人信息保护、公共利益以及公民、法人和其他组织的合法权益。企业评估深度合成业务时，除内容安全外，还需同时考察人格权、个人信息权益、新闻真实性和社会公共秩序等问题。
第二条明确，在中国境内应用深度合成技术提供互联网信息服务，适用该规定。结合第二十三条的定义，深度合成技术包括利用深度学习、虚拟现实等生成合成类算法制作或编辑网络信息的技术，具体涵盖篇章生成、文本风格转换、问答对话、文本转语音、语音转换、音乐生成、场景声编辑、人脸生成与替换、人物属性和姿态操控、图像生成与修复、三维重建及数字仿真等。
规定将参与主体划分为三类：直接提供深度合成服务的组织和个人属于服务提供者；为相关服务提供技术支持的组织和个人属于技术支持者；利用服务制作、复制、发布或传播信息的主体属于使用者。模型供应商、API服务商、应用程序运营者和插件开发者，均需根据实际控制能力和业务关系判断自身角色，不能仅凭合同中的名称排除法定义务。
第三条确定了监管分工：国家网信部门负责统筹协调全国治理和监督管理，电信主管部门、公安部门按照职责开展监管；地方层面采取相同的职责配置。深度合成产品若涉及应用分发、通信网络、身份冒用、电信网络诈骗或违法信息传播，可能面对多个部门的协同监管。
第四条要求服务提供者遵守法律法规、社会公德和伦理道德，并坚持相应的政治方向、舆论导向和价值取向。该条属于原则性规范，在新技术和新业务尚无具体规则覆盖时，可能成为监管判断业务风险的重要依据。
第五条提出行业自律要求，鼓励行业组织建立行业标准、行业准则和自律管理制度。对企业而言，行业标准虽不当然等同于法律义务，但在侵权纠纷或行政检查中，可能被用于判断企业是否采取了与业务风险相匹配的管理措施。
虚假新闻和违法内容受到重点约束
第六条规定，任何组织和个人不得利用深度合成服务制作、复制、发布和传播法律、行政法规禁止的信息，也不得借此实施危害国家安全和利益、损害国家形象、侵害社会公共利益、扰乱经济社会秩序或侵犯他人合法权益的活动。
该条还单独规定了新闻信息的真实性要求。深度合成服务提供者和使用者不得制作、复制、发布或传播虚假新闻信息；转载以深度合成服务制作发布的新闻信息，应依法转载互联网新闻信息稿源单位发布的内容。采用生成式工具制作新闻、虚拟主播节目、自动剪辑视频或资讯摘要的机构，需要核验稿源资质，区分事实报道、评论和合成演示，避免生成内容被作为真实新闻传播。
第七条要求服务提供者落实信息安全主体责任，建立用户注册、算法机制机理审核、科技伦理审查、信息发布审核、数据安全、个人信息保护、反电信网络诈骗和应急处置等制度，并配备安全可控的技术保障措施。
上述要求并非仅以内部制度文件为限。监管检查或纠纷处理通常还会涉及技术措施是否实际启用、工作人员是否依流程操作、异常情况是否留存记录等问题。企业因此需要保存制度版本、审核记录、风险评估报告和处置日志，以证明相关机制得到执行。
第八条要求服务提供者制定并公开管理规则、平台公约，完善服务协议，并以显著方式提示技术支持者和使用者承担信息安全义务。服务协议可结合具体功能，明确禁止冒用身份、制造虚假信息、侵犯肖像和名誉权益，以及删除或篡改合成标识等行为。
信息发布实行实名与双向审核
第九条要求服务提供者通过移动电话号码、身份证件号码、统一社会信用代码或者国家网络身份认证公共服务等方式，对使用者进行真实身份信息认证。未完成认证的使用者，不得获得信息发布服务。
这一要求涉及账号体系与发布权限之间的衔接。仅在注册环节收集电话号码，但允许未核验身份的账号公开发布合成内容，可能不足以满足规定要求。企业还需依法处理认证信息，并根据个人信息保护规则控制收集范围、保存期限和访问权限。
第十条将内容审核同时延伸至使用者的输入数据和合成结果。服务提供者可以采取技术或人工方式审核，并应建立用于识别违法和不良信息的特征库，完善入库标准、规则和程序，记录并留存相关网络日志。
发现违法和不良信息后，服务提供者应依法处置、保存记录并向网信部门和有关主管部门报告；对相关使用者，可以依照法律和平台规则采取警示、限制功能、暂停服务或关闭账号等措施。对于允许用户上传图片、声音和视频的产品，审核范围通常还应覆盖上传素材、提示词、生成结果及平台内的二次编辑环节。
第十一条要求平台建立辟谣机制。发现有人利用深度合成服务制作、复制、发布或传播虚假信息时，应及时采取辟谣措施，保存有关记录并向主管部门报告。对于社交平台和视频平台，删除内容并不必然等同于完成辟谣义务；是否需要发布澄清、限制继续传播或提示其他用户，应结合虚假信息的传播范围和社会影响判断。
第十二条规定，服务提供者应设置便捷的用户申诉以及公众投诉、举报入口，公布处理流程和反馈时限，并及时受理、处理和反馈结果。涉及肖像权、名誉权、隐私权、个人信息权益或冒名诈骗的投诉，往往具有较强的时效性，平台需要配置快速冻结、下架、复核和证据保全程序。
应用商店被纳入分发环节管理
第十三条将互联网应用商店等应用程序分发平台纳入责任范围。分发平台应承担上架审核、日常管理和应急处置等安全管理责任，并核验深度合成类应用程序的安全评估、备案等情况。
对于违反国家有关规定的应用，分发平台应及时采取不予上架、警示、暂停服务或下架等措施。这一安排使渠道方不再只是软件下载入口。深度合成类产品申请上架时，可能需要提交算法备案、安全评估、内容标识和投诉机制等材料；产品功能发生重大变化后，渠道方也可能要求重新审核。
人脸、仿声业务须取得单独同意
第十四条要求深度合成服务提供者和技术支持者加强训练数据管理，采取必要措施保障训练数据安全。训练数据中包含个人信息的，还需遵守个人信息保护相关规定。
规定对人脸、人声等生物识别信息编辑功能作出专门安排：提供者和技术支持者应提示使用者依法告知被编辑的个人，并取得其单独同意。换脸、声音克隆和数字人产品不能只依赖用户勾选一项概括性条款，还应考虑如何确认授权主体、授权范围、使用期限和传播场景，并保存能够证明单独同意的材料。
训练数据的风险也不限于是否含有姓名或联系方式。可识别自然人的图像、声音和视频可能构成个人信息，其中人脸、人声等生物识别信息属于敏感个人信息。数据来源、授权基础、清洗规则、访问控制和退出机制，均应纳入项目审查。
第十五条要求服务提供者和技术支持者加强技术管理，定期审核、评估和验证生成合成类算法的机制机理。提供人脸、人声等生物识别信息生成或编辑功能，以及生成、编辑可能涉及国家安全、国家形象、国家利益和社会公共利益的特殊物体或场景的模型、模板等工具，应依法自行或者委托专业机构开展安全评估。
安全评估需要与产品开发进度衔接。对高风险功能，如果在上线前没有完成法律、技术、伦理和安全审查，后续整改可能涉及模型、数据和产品交互的整体调整，而不只是修改用户协议。
合成内容须保留技术标识
第十六条要求服务提供者对使用其服务生成或者编辑的信息内容采取技术措施，添加不影响用户使用的标识，并依法保存日志信息。此类技术标识主要服务于内容识别和来源追溯，应考虑内容下载、转码、压缩和跨平台传播后能否继续发挥作用。
第十七条进一步规定了显著标识义务。服务可能导致公众混淆或者误认时，应在生成或编辑内容的合理位置、区域作出显著标识，向公众提示其经过深度合成。
需要显著标识的情形包括：智能对话、智能写作等模拟自然人的文本生成或编辑；合成人声、仿声等语音生成，或者显著改变个人身份特征的语音编辑；人脸生成、替换、操控和姿态操控等人物图像、视频处理；沉浸式拟真场景生成或编辑；以及其他具有生成或显著改变信息内容功能的服务。
对于上述情形以外的深度合成服务，提供者仍应提供显著标识功能，并提示使用者可以进行标识。企业判断是否必须显著标识时，需要考察普通公众看到内容后的认知，而不能仅依据产品内部对功能的分类。
第十八条禁止任何组织和个人以技术手段删除、篡改或隐匿第十六条、第十七条规定的深度合成标识。产品若提供“去水印”“清除元数据”等功能，需要确认其是否会一并移除法定标识；明知相关功能用于规避识别仍继续提供服务，可能增加行政和侵权风险。
技术标识、显著提示和禁止删除篡改共同构成内容识别机制。前者侧重机器识别和追溯，后者用于向公众作出直接提示，两类义务不能相互替代。
具有舆论属性的服务涉及算法备案
第十九条规定，具有舆论属性或者社会动员能力的深度合成服务提供者，应按照《互联网信息服务算法推荐管理规定》办理备案，以及变更、注销备案手续；深度合成服务技术支持者参照履行相关手续。
完成备案的服务提供者和技术支持者，还应在对外提供服务的网站、应用程序等显著位置标明备案编号，并提供公示信息链接。备案并非一次性事项，算法机理、服务功能或运营主体发生变化时，应判断是否需要办理变更或注销手续。
第二十条要求服务提供者开发上线具有舆论属性或者社会动员能力的新产品、新应用、新功能时，按照国家有关规定开展安全评估。生成式模型、数字人直播、虚拟主播和面向公众的信息生成工具，均需结合服务对象、传播能力和内容影响评估是否触发这一要求。
算法备案与安全评估属于不同程序。前者侧重算法基本情况及主体信息的登记和公示，后者侧重产品上线或重大功能变化前的风险识别与控制，企业不宜以已经备案为由替代安全评估。
高风险服务可能被暂停更新或注册
第二十一条赋予网信部门、电信主管部门和公安部门监督检查职责。深度合成服务提供者和技术支持者应依法配合，并提供必要的技术、数据等支持和协助。
主管部门发现服务存在较大信息安全风险时，可以依法要求企业暂停信息更新、用户账号注册或者其他相关服务。企业应按要求整改并消除隐患。对于用户规模较大、传播能力较强的平台，此类措施可能直接影响运营，因此需要预先形成监管检查材料目录、内部响应机制和整改责任分工。
第二十二条规定，服务提供者和技术支持者违反规定的，依照有关法律、行政法规处罚；造成严重后果的，依法从重处罚。行为构成违反治安管理的，由公安机关处罚；构成犯罪的，依法追究刑事责任。
除行政和刑事风险外，深度合成内容还可能引发肖像权、名誉权、隐私权、个人信息权益和著作权纠纷。平台是否知道侵权行为、是否具备控制能力、接到通知后是否及时处置，将影响其在民事案件中的责任判断。
出版、视听等业务仍需遵守行业规定
第二十三条除界定深度合成技术和各类主体外，还对训练数据与沉浸式拟真场景作出定义。训练数据是用于训练机器学习模型的标注或者基准数据集；沉浸式拟真场景是通过深度合成技术生成或编辑、可供参与者体验或互动并具有高度真实感的虚拟场景。
这些定义影响合同中的责任分配。模型供应、接口调用、内容生成、发布传播等环节由不同企业完成时，协议需要明确谁负责实名认证、素材审核、生成结果审核、内容标识、日志保存、投诉处理以及配合监管，避免出现法定义务无人承担的情况。
第二十四条规定，服务提供者和技术支持者从事网络出版服务、网络文化活动或网络视听节目服务的，还应同时符合新闻出版、文化和旅游、广播电视主管部门的规定。深度合成业务可能叠加许可证、内容审查和节目管理要求，完成网信领域备案并不代表已经取得其他行业准入资格。
第二十五条明确规定自2023年1月10日起施行。规则并未对施行前上线的存量产品设置普遍豁免。存量服务仍需根据实际功能，检查实名认证、输入和结果审核、训练数据、标识、备案、安全评估及服务协议是否符合现行要求。
企业合规应与产品流程同步
从规定的责任结构看，深度合成合规贯穿产品设计、训练数据使用、账号注册、内容生成、公开发布和后续投诉处置。企业需要先确定产品是否构成深度合成服务，并区分服务提供者、技术支持者和使用者，而后再根据功能和传播能力配置控制措施。
对一般生成服务，基础措施包括真实身份认证、平台规则、输入与结果审核、违法信息特征库、日志留存、辟谣、投诉举报和应急处置。涉及人脸、人声或特殊场景生成的，还需审查单独同意、安全评估及高风险功能审批。可能造成公众混淆的内容，应同时具备技术标识和面向公众的显著提示。
具有舆论属性或者社会动员能力的服务，需要进一步判断算法备案、新产品安全评估和备案编号公示义务。应用商店等分发平台也应核验相关材料，并在发现违规应用后采取拒绝上架、警示、暂停服务或下架措施。
相关义务最终需要在产品和运营环节留下可以核验的记录。只有协议而没有审核、标识和处置能力，或者配置了技术措施却无法说明运行情况，均可能在监管检查和争议处理中形成风险。
资料来源
本文为一般性法规解读，不替代针对具体产品、业务模式或执法风险出具的专项法律意见。