2023年8月15日，《生成式人工智能服务管理暂行办法》正式施行。该办法由国家网信办等部门公布，适用于利用生成式人工智能技术，向中国境内公众提供文本、图片、音频、视频等生成内容的服务。训练数据来源、知识产权和个人信息保护、生成内容标识、违法信息处置、安全评估及算法备案，由此成为相关产品上线审查的主要事项。
办法共24条，立法依据包括网络安全法、数据安全法、个人信息保护法和科学技术进步法等。其监管思路兼顾技术发展与安全治理，并提出包容审慎、分类分级监管原则。对企业而言，合规判断的起点并非模型规模或技术路线，而是服务对象、开放范围以及产品实际提供的功能。
面向境内公众是适用前提
办法第二条将适用范围限定为向境内公众提供生成式人工智能服务。行业组织、企业、教育和科研机构、公共文化机构及其他专业机构研发、应用相关技术，但未向境内公众提供服务的，不适用本办法规定。新闻出版、影视制作、文艺创作等领域已有专门规定的，依照相应规定执行。
这一范围划分对企业内部知识库、私有化部署和模型接口服务尤为重要。内部研发或仅供特定组织使用的系统，通常与直接向公众开放的产品存在差异，但不能仅凭“内部使用”或“私有部署”的名称排除适用。审查时仍需核对账号开放方式、实际用户范围、服务控制权以及是否能够通过接口向不特定用户提供生成内容。
办法第二十二条明确，生成式人工智能服务提供者包括通过可编程接口等方式提供服务的组织和个人。因此，模型API、SDK、插件和其他嵌入式服务也可能进入监管范围。基础模型供应商、应用开发者、部署方和最终运营者之间的责任，应结合各方对模型、数据、输出和用户关系的控制程度确定。
监管要求覆盖模型开发和服务运营
办法第三条提出发展和安全并重、促进创新和依法治理相结合，并实行分类分级监管。第五条、第六条同时鼓励生成式人工智能在各行业应用，支持算法、框架、芯片、软件平台、算力设施和公共训练数据资源建设，推动国际交流与合作。
合同审查、法律检索、案件材料整理和机构知识库等属于生成式人工智能可能应用的专业场景。相关产品除遵守通用规则外，还需处理客户资料保密、执业责任和专业输出准确性等问题。医疗、教育、金融、新闻出版、视听和法律服务等领域，也可能受到行业准入和专门监管规则约束。
办法第四条集中规定了提供者和使用者的基本义务，包括不得生成法律、行政法规禁止的内容，防止算法和模型输出产生民族、信仰、国别、地域、性别、年龄、职业、健康等方面的歧视；尊重知识产权、商业秘密和商业道德；不得侵害肖像权、名誉权、荣誉权、隐私权及个人信息权益；同时应根据服务类型提高透明度、准确性和可靠性。
这些要求贯穿算法设计、训练数据选择、模型优化和产品运营。企业通常需要通过内容安全测试、偏见评估、权限控制、输出提示和人工复核等方式落实。法律、医疗等专业产品如果向用户展示模型结论，还应明确其适用范围和局限，避免将概率性输出包装为具有专业保证的意见。
训练数据须说明来源和处理依据
办法第七条要求提供者依法开展预训练和优化训练等数据处理活动，使用具有合法来源的数据和基础模型。涉及知识产权的，不得侵害他人依法享有的权利；涉及个人信息的，应取得个人同意或者具备法律、行政法规规定的其他处理依据。
提供者还应采取措施提高训练数据的真实性、准确性、客观性和多样性，并遵守网络安全、数据安全和个人信息保护等相关要求。仅能说明数据来自“公开网络”，通常不足以完整证明其可用于模型训练。数据取得方式、许可条件、作品权利状态、个人信息处理依据以及后续清洗过程，均可能成为审查内容。
在具体项目中，数据来源台账、授权文件、采购或许可协议、抓取规则、清洗和去重记录、个人信息处理依据、脱敏措施及质量评估报告，构成较为关键的证据材料。采用第三方基础模型时，还需核查模型授权范围、训练和微调权限、输出内容责任及供应商提供的合规说明。
第八条对数据标注提出专门要求。提供者应制定清晰、具体且可操作的标注规则，开展标注质量评估，抽样核验准确性，并对标注人员进行必要培训。标注业务外包时，双方合同通常需要覆盖保密、数据安全、个人信息处理、标注质量、违规责任和审计安排。
用户输入和使用记录受到保护
根据第九条，提供者依法承担网络信息内容生产者责任，并履行网络信息安全义务；处理个人信息时，还应承担个人信息处理者责任。提供者应与注册用户签订服务协议，明确双方权利义务。
服务协议需要说明用户输入和模型输出的处理方式、账号管理规则、日志保存安排、用户内容是否用于模型训练或优化、违法使用的处置措施以及投诉渠道。面向企业客户的产品还应处理商业秘密、客户数据隔离、分包处理和服务终止后的数据返还或删除问题。
第十一条要求提供者保护用户输入信息和使用记录，不得收集非必要个人信息，不得非法留存能够识别用户身份的输入和记录，也不得非法向他人提供。对个人提出的查阅、复制、更正、补充和删除请求，提供者应依法及时受理和处理。
这一规定直接涉及产品日志、对话历史和训练数据复用。企业应说明日志保存目的与期限，限制内部访问权限，并区分安全审计、服务改进和模型训练等不同用途。对可能包含案件材料、合同文本、身份证明或商业秘密的法律人工智能产品，还需建立脱敏、隔离、删除和导出机制。
产品说明、内容标识和服务稳定性
第十条要求提供者明确并公开服务的适用人群、场合和用途，引导用户科学、理性使用生成式人工智能，并采取措施防范未成年人过度依赖或沉迷。产品页面、用户协议和操作界面中的适用范围说明，不能仅作为概括性免责声明，还应与实际功能、营销表述和风险提示保持一致。
第十二条规定，图片、视频等生成内容应按照《互联网信息服务深度合成管理规定》进行标识。企业在设计生成、下载和传播功能时，需要核查显式标识、技术性标识以及平台识别机制是否符合相应规则，防止标识在导出、压缩或二次传播过程中丢失。
第十三条要求提供安全、稳定、持续的服务，保障用户正常使用。对于企业级产品，这项义务通常会落实为服务等级协议、系统备份、故障通知、数据恢复、模型降级和服务暂停安排。厂商作出的可用率、响应时间等承诺，应有监测方法和责任条款支持。
违法内容处置须形成闭环
第十四条规定，提供者发现违法内容后，应及时停止生成、停止传输并消除相关内容，同时采取模型优化训练等措施进行整改，并向有关主管部门报告。发现用户利用服务从事违法活动的，应依法依约采取警示、限制功能、暂停或终止服务等措施，保存有关记录并报告。
这一要求涉及识别、处置、复核、留痕和报告等多个环节。企业需要明确风险内容的分级标准、自动拦截和人工复核流程、用户申诉渠道、模型整改责任以及向主管部门报告的触发条件。只删除单条输出而未追查模型、数据或提示词层面的原因，可能不足以完成整改。
第十五条要求建立投诉举报机制，设置便捷入口，公布处理流程和反馈时限，并及时向公众反馈处理结果。涉及侵权、虚假信息、个人信息泄露、商业秘密或错误专业建议的投诉，通常需要交由内容安全、法务、数据保护和产品团队共同处理。
第十八条进一步确认，用户发现服务不符合法律、行政法规和本办法规定时，有权向主管部门投诉、举报。产品运营方因此需要保留投诉受理、调查、处理和反馈记录，并为错误输出、身份冒用和侵权内容提供纠正渠道。
安全评估和算法备案是上线审查重点
第十七条规定，提供具有舆论属性或者社会动员能力的生成式人工智能服务，应按照国家有关规定开展安全评估，并依照《互联网信息服务算法推荐管理规定》办理算法备案以及变更、注销备案手续。
聊天问答、内容生成、资讯摘要和面向公众的信息发布工具，是否具有舆论属性或社会动员能力，需要结合服务功能、用户规模、内容传播方式和社会影响判断。企业不能只依据产品名称作出结论，产品功能、模型用途或开放范围发生变化后，也应重新评估备案和变更手续。
第十六条显示，生成式人工智能服务由网信、发展改革、教育、科技、工业和信息化、公安、广播电视、新闻出版等部门按照职责实施管理。有关部门还可针对技术特点及行业应用，制定分类分级监管规则或指引。因此，通过通用安全评估并不当然替代特定行业的行政许可或合规审查。
第二十三条规定，法律、行政法规要求提供生成式人工智能服务取得行政许可的，提供者应依法取得许可；外商投资相关服务，还应符合外商投资法律和行政法规。涉及新闻出版、网络视听、医疗、教育和金融等业务时，产品上线前需同时核查牌照、外资准入和经营范围。
企业须准备监管说明材料
根据第十九条，主管部门可以依法对生成式人工智能服务开展监督检查，提供者应予配合，并按要求说明训练数据的来源、规模、类型、标注规则以及算法机制机理，提供必要的技术和数据支持。参与安全评估和监督检查的机构及人员，对履职过程中知悉的国家秘密、商业秘密、个人隐私和个人信息负有保密义务。
企业据此需要在产品上线前形成可供说明的材料，包括数据来源和授权情况、模型结构和关键机制、训练与评测记录、标注规则、内容安全策略、用户管理流程及事件处置记录。技术复杂或涉及第三方模型时，还应在采购和合作协议中约定供应商配合监管问询、提供证明材料及处理安全事件的责任。
第二十条涉及境外服务。来源于境外、向境内提供的生成式人工智能服务如果不符合法律、行政法规和本办法规定，国家网信部门可以通知有关机构采取技术措施和其他必要措施。境外模型API或海外软件服务面向中国境内用户时，仍需评估其服务对象、数据跨境、个人信息处理和内容安全责任。
违规可能导致暂停服务
第二十一条规定，提供者违反本办法的，可依照网络安全法、数据安全法、个人信息保护法、科学技术进步法等法律法规处理。其他法律、行政法规未作规定的，主管部门可以给予警告、通报批评并责令限期改正；拒不改正或者情节严重的，可以责令暂停提供相关服务。构成违反治安管理行为或者犯罪的，还将承担相应责任。
相关风险并不限于行政处罚。训练数据侵权、个人信息违法处理、商业秘密泄露或虚假宣传，还可能引发民事索赔、合同违约和声誉损失。企业对供应商合规材料的审核，也不能替代自身作为服务运营者、数据处理者或内容生产者所负的责任。
上线前需核对的事项
- 核实产品是否向境内公众提供文本、图片、音频、视频等生成内容，并记录判断依据。
- 建立训练数据和基础模型的来源台账，保存授权、清洗、标注、质量评估及个人信息处理记录。
- 完善用户协议、隐私规则、适用人群和用途说明，并设置未成年人保护措施。
- 明确用户输入、使用记录和对话内容的保存期限、访问权限、训练复用条件及删除机制。
- 建立违法内容停止生成、停止传输、消除、模型整改、用户处置、记录保存和监管报告流程。
- 按照深度合成等相关规定配置生成内容标识，并检查内容导出和传播环节。
- 评估服务是否具有舆论属性或者社会动员能力，依法办理安全评估、算法备案及变更手续。
- 核查专业行业许可、外商投资准入、第三方模型责任和境外服务涉及的数据合规问题。
资料来源
本文为一般性法规信息整理，不替代针对具体产品、业务模式或执法风险出具的专项法律意见。