《生成式人工智能服务管理暂行办法》快评

作者：袁立志朱垒

2023年7月13日，国家网信办联合多部委发布《生成式人工智能服务管理暂行办法》（简称“《暂行办法》”）。这是我国首部针对生成式人工智能领域的专门立法，建立了生成式人工智能服务的基本规范。

一

对《暂行办法》的整体评论

产业发展与安全保障

与草案相比，《暂行办法》更加突出“发展与安全并重”的治理原则，鼓励生成式人工智能技术与应用的创新发展，实现规范治理与科技创新的平衡。比如，《暂行办法》立法依据新增《中华人民共和国科学技术进步法》，正文增加了若干的部分产业发展促进类条款，包括支持基础技术创新、应用场景探索、生态体系构建、数据资源建设等。

此外，值得关注的是，《暂行办法》的签发部门中包括国家发展和改革委员会。国家发展和改革委员会负有统筹协调产业发展的职责，结合2023年初国家数据局设立一事，可以看出中央在数据生产要素领域坚持发展与安全平衡的监管思路延续至人工智能领域，释放了促进人工智能产业发展的积极信号。

层累式立法与监管创新

《暂行办法》具有典型的层累式立法的特征，其大部分条文是现行法律在生成式人工智能领域的落实、应用和重申，如内容安全管理要求、个人信息处理合法事由与权利响应、数据安全、应用安全、算法安全评估与算法备案等。即使没有《暂行办法》，根据《网络安全法》《数据安全法》《个人信息保护法》《网络信息内容生态治理规定》《互联网信息服务算法推荐管理规定》《互联网信息服务深度合成管理规定》等，生成式人工智能服务提供者也要遵守相关法律义务。

《暂行办法》也对生成式人工智能提出了若干新的监管要求，如模型训练数据质量要求、数据标注要求、服务说明、生成内容标识等。相比4月公布的征求意见稿，《暂行办法》这些条文的表述更加符合生成式人工智能的特点（如对生成内容真实性和准确性的要求），更加具有灵活性（如发现生成内容违法时优化模型的时间要求）。

专项立法与未来的统一立法

《暂行办法》是针对生成式人工智能的专项立法，立足于解决当前大模型研发和应用带来的紧迫问题。受限于实践经验、准备时间、立法层级等因素，《暂行办法》主要延续了现行法律框架，在此前提下进行了适当监管创新。至于更广泛的人工智能的统一监管问题，并非《暂行办法》所能解决，只能留待后续立法。

我们注意到，根据2023年6月初国务院办公厅印发的《国务院2023年度立法工作计划的通知》，人工智能法被列入2023年立法计划，相关草案预备提请全国人大常委会审议。这意味着我国人工智能统一监管立法已提上日程。与当前低层级、层累式的专项立法相比，统一的人工智能法更有望在体系和重大制度上取得突破，为人工智能产业发展和安全保障提供更好的法律支撑。

二

《暂行办法》重点条款解读

生成式人工智能与深度合成、生成合成

《暂行办法》规制的客体是生成式人工智能。那么，什么是生成式人工智能？它与此前相关法律中使用的深度合成、生成合成等术语有什么区别？

根据《暂行办法》第22条第1款，生成式人工智能技术，是指具有文本、图片、音频、视频等内容生成能力的模型及相关技术，应用于传媒、影视、办公、社交、电商等多个业务场景，代表性产品有ChatGPT、Midjourney、Stable Diffusion、阿里通义千问、讯飞星火等。

深度合成技术，是指利用深度学习、虚拟现实等生成合成类算法制作文本、图像、音频、视频、虚拟场景等网络信息的技术，如文本转换、人脸生成、图像修复、数字人等，典型的应用场景有AI换脸、一键美颜、AI变声器、AI视频生成、虚拟数字形象合成。

我们理解，生成式人工智能与深度合成在外延上存在重叠，前者宽于后者。相较于生成式人工智能，深度合成更强调深度创造性的处理，如图片修复、文本转语音、沉浸式拟真场景，输出的结果更具有创造性或伪造性，因此其被滥用的风险也更高，如用于诈骗、误导舆论等。生成式人工智能与深度合成技术可统称为生成合成类技术。

适用范围与豁免

根据《暂行办法》第2、20条，《暂行办法》适用于面向中国境内公众提供生成文本、图片、音频、视频等内容的服务，并明确将不向境内公众提供服务的研发、应用活动排除在适用范围之外。因此，《暂行办法》适用的关键点在于“面向中国境内公众提供服务”，而提供者是否为中国境内的组织或个人、提供者的服务是否收费及向谁收费则在所不问。

例如，A公司自研大模型，并应用至其运营的App中，面向中国大陆的C端用户提供服务，此时属于典型的面向境内公众服务，适用《暂行办法》。

再如，A公司自研大模型，尚处于研发阶段，仅邀请少量用户开展测试，或仅用于本企业内部运营管理，未将其投入市场对公众提供服务，则不适用《暂行办法》。

又如，A公司自研大模型，向中国大陆的B公司提供大模型AI能力接口服务，并收取技术服务费，接入了AI能力的B公司面向中国大陆的C端用户提供服务，此时，A与B均适用《暂行办法》。如果B公司仅面向境外用户提供服务，则B公司不适用《暂行办法》。

又如，A公司为B公司提供基础云服务，B公司在基础设施层训练模型并向C端提供服务，此时A公司不适用《暂行办法》，B公司适用。

《暂行办法》与《互联网信息服务深度合成管理规定》有所区别。《暂行办法》未区分服务提供者与技术支持者，即不论直接面向C端用户提供服务，还是通过API接口等方式为B端用户提供服务，均构成“提供者”。

生产内容的真实性与准确性

在今年4月发布的征求意见稿中，监管者要求“生成的内容应当真实准确”。当时我们评论认为，生成式人工智能是基于词语相互连接时出现的概率（马尔可夫链）来预测生成内容，并非接入网络或权威数据库查询答案，从人类视角来看有一定的“创作性”（这正是生成式人工智能的价值所在），因此无法保证生成内容的真实性和准确性。我们当时建议，在这个问题上，宜对行为提出要求，不宜对结果提出要求，否则不利于产业发展。

当时许多专家也对此提出了类似意见。主管部门从善如流，《暂行办法》第四条将表述调整为“基于服务类型特点，采取有效措施，提升生成式人工智能服务的透明度，提高生成内容的准确性和可靠性”，这就是只要求采取适当行动，尽量提升准确性和可靠性，但不要求确保生成内容的准确性和可靠性。这一调整对于产业发展有积极意义。

内容生产者责任

互联网时代，法律对于网络内容信息安全采取“二分法”治理思路，即区分平台与内容生产者，生产者（如UGC、PGC）承担制作、发布信息内容的安全责任，平台承担平台内信息内容传播管控的责任。

生成式人工智能的出现，对上述规制思路提出了挑战。与互联网时代人类利用技术工具编辑和发布内容不同，AIGC由人机共同参与完成，人工输入指令或语料，机器进行内容生成，机器实质地参与了内容“创作”，其对生成内容的“创作性”的贡献甚至超过使用它的自然人，不再是单纯的技术工具的角色，且随着大模型的不断迭代，机器的贡献度可能越来越高，而用户的贡献度越来越低。在此情况下，如果仅将生成式人工智能的提供者界定为信息发布平台，而将用户界定为内容生产者，不仅与实际情况不符，也不利于信息内容安全治理。但要精细区分人机贡献度进而精细区分二者责任，似乎又难以操作。我们猜测，正是基于这些考虑，《暂行办法》第9条直接要求提供者承担内容生产者的责任。

对于使用者来说，虽然《暂行办法》未将其界定为内容生产者，但其仍应按照《网络安全法》《网络信息内容生态治理规定》《暂行办法》等规定，遵循内容安全要求，如不得输入违法违规指令，不得引导AI生成违法违规内容，不得发布侵犯他人权益的内容，否则会面临警示、封号、暂停服务等处置措施。

训练数据资源建设

《暂行办法》第5、6条提出鼓励数据资源建设，推动公共训练数据资源平台建设，加快公共数据分类分级有序开放，扩展高质量的公共训练数据资源。数据资源建设对当前飞速发展的人工智能产业极其重要。

大模型预训练需要投喂巨量的数据，为了优化迭代模型，还需持续不断地投喂数据来开展优化训练。当前，数据资源生产滞后、数据来源合规问题难解决、各企业间数据资源隔绝等问题，严重阻碍了生成式人工智能产业的发展。

根据《暂行办法》第7条，生成式人工智能预训练、优化训练的数据需满足一系列合法性要求，来源合法，不得侵犯知识产权、个人信息权益等。而满足或保障训练数据的合法性颇具挑战。目前企业训练大模型使用的数据有存量数据、商业公开数据、公共互联网数据、用户行为数据等。这些数据来源不同，所需采取的合规措施也有所区别，如要满足完全的合规，势必需要花费巨大的成本。

而公共数据的有序开放，公共训练数据资源的建设，有助于缓解数据资源紧张的问题，降低企业获取数据的合规成本。

安全评估与算法备案

根据《暂行办法》第17条，结合《互联网信息服务算法推荐管理规定》《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》《互联网信息服务深度合成管理规定》，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当开展安全评估，履行算法备案手续。安全评估与算法备案成为了监管人工智能的主要抓手。

先前，鉴于安全评估与算法备案的相关执法力度有限，企业根据自身情况自主开展相关工作，未见有因算法备案、安全评估而被处罚的案例。而随着对生成式人工智能的监管深入，今年部分涉AIGC的App被应用市场纷纷下架，部分大模型也一直处于内测阶段，并未面向公众提供服务。部分应用市场也要求App运营者提供算法安全评估报告、算法备案等佐证材料，提交审核通过后方才允许产品上架。

因此，涉AIGC产品或服务的企业，需按照规定开展安全评估和算法备案工作，以保障服务的正常在架运行。

就算法备案而言，生成式人工智能一般应在互联网信息服务算法备案平台（beian.cac.gov.cn）进行生成合成类算法备案，算法备案过程中企业需说明算法使用场景、输入输出数据情况、算法模型、算法策略、机制机理等算法属性内容，并就算法安全风险开展自评估，提交自评估报告。算法备案通过后，网信办将发布企业算法备案信息，但仅对外公示算法名称、角色、主体、应用产品、用途和备案编号，有关算法详细机制机理信息不会对外公示。

生成式人工智能如未开展安全评估将无法面向公众提供服务。该安全评估并非是算法备案过程中的安全评估，而是依据《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》开展的新技术新应用安全评估，即实务中所说的“大模型双新评估”。这与传统的双新评估不同，如评估部门、材料递交流程、评估标准等。据我们目前掌握的有限信息，暂时还无通过安全评估的大模型。

综合我们的客户服务经验，安全评估与算法备案工作所需周期较长，工作量较大，相关材料颗粒度极细，建议企业尽早着手布局相关工作。

三

生成式人工智能服务合规检查表

根据《暂行办法》，结合相关法律规定，我们梳理了生成式人工智能服务合规检查表，供相关企业参考。

生成式人工智能服务合规检查表
合规模块	合规要求	责任主体	对应条款
内容安全	1.信息安全义务：依法承担网络信息内容生产者责任，履行网络信息安全义务	提供者	第9条第1款
	2.内容合规：不得制作、复制、发布违宪、违法、损害国家利益、社会公共利益和他人合法权益的信息；应采取措施防范抵制博眼球、色情暴力、煽动性、诱导性、低俗化等类不良影响信息	提供者、使用者	第4条第1款
	3.生成违法内容的处理：发现违法内容的，应当及时采取停止生成、停止传输、消除等处置措施，采取模型优化训练等措施进行整改，并向有关主管部门报告	提供者	第14条第1款
	4.用户管理：发现使用者利用生成式人工智能服务从事违法活动的，应当依法依约采取警示、限制功能、暂停或者终止向其提供服务等处置措施，保存有关记录，并向有关主管部门报告	提供者	第14条第2款
数据安全	1.数据来源合规：依法开展预训练、优化训练等训练数据处理活动，使用具有合法来源的数据	提供者	第7条第1款
	2.数据质量：采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性		第7条第4款
	3.数据标注规范：在生成式人工智能技术研发过程中进行数据标注的，提供者应当制定符合本办法要求的清晰、具体、可操作的标注规则；开展数据标注质量评估，抽样核验标注内容的准确性；对标注人员进行必要培训，提升尊法守法意识，监督指导标注人员规范开展标注工作		第8条
个人信息保护	1.个人隐私与信息权益保护：不得侵犯隐私权和个人信息权益	提供者	第4条第4款
	2.合法性基础：训练数据处理活动涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形		第7条第3款
	3.必要性、去标识、合法流通：对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录		第11条第1款
	4.响应用户行权：依法及时受理和处理个人关于查阅、复制、更正、补充、删除其个人信息等的请求		第11条第2款
	4.响应用户行权：依法及时受理和处理个人关于查阅、复制、更正、补充、删除其个人信息等的请求		第11条第2款	科技伦理	1.反歧视：在算法设计、训练数据选择、模型生成和优化、提供服务等过程中，采取有效措施防止产生民族、信仰、国别、地域、性别、年龄、职业、健康等歧视	提供者	第4条第2款
2.保护个人权益：尊重他人合法权益，不得危害他人身心健康，不得侵害他人肖像权、名誉权、荣誉权	提供者、使用者	第4条第4款		科技伦理
知识产权保护	1.尊重知识产权、商业道德，保守商业秘密	提供者、使用者	第4条第3款
知识产权保护	2.模型训练不得侵犯知识产权：开展预训练、优化训练等训练活动，应使用具有合法来源的基础模型，不得侵害他人依法享有的知识产权	提供者	第7条第1、2款
竞争法	不得利用算法、数据、平台等优势，实施垄断和不正当竞争行为	提供者、使用者	第4条第3款
产品合规	1.透明度：基于服务类型特点，采取有效措施，提升生成式人工智能服务的透明度，提高生成内容的准确性和可靠性	提供者	第4条第5款
	2.服务协议：应当与使用者签订服务协议，明确双方权利义务		第9条第2款
	3.用户教育：明确并公开其服务的适用人群、场合、用途，指导使用者科学理性认识和依法使用生成式人工智能技术，采取有效措施防范未成年人用户过度依赖或者沉迷生成式人工智能服务		第10条
	4.内容标识：对图片、视频等生成内容进行标识		第12条
	5.服务连续性：提供安全、稳定、持续的服务，保障用户正常使用		第13条
	6.投诉举报机制：设置便捷的投诉、举报入口，公布处理流程和反馈时限，及时受理、处理公众投诉举报并反馈处理结果		第15条
监管手续	1.安全评估：按照规定开展安全评估	提供者	第17条
	2.算法备案：按照规定履行算法备案和变更、注销备案手续		第17条
	3.行政许可：依法取得许可必要的行政许可，如增值电信业务许可（ICP、EDI、SP）等		第23条第1款
	4.外资准入：外商投资生成式人工智能服务，应当符合外资准入规定		第23条第2款
	5.行业监管：遵循行业主管部门有关生成式人工智能的分类分级监管规则		第16条

前沿科技法律观察专栏往期文章

作者介绍

袁律师是注册信息隐私专业人员（CIPP/E）、注册信息隐私管理人员（CIPM）、注册信息安全专业人员（CISP），参与多项信息安全技术标准的编制，并兼任华东政法大学数字法治研究院特聘研究员，华东师范大学法学院校外实务导师，“数据安全推进计划”智库专家，WeLegal法商学院特聘导师。

袁律师的执业领域为网络与数据法、前沿科技法律事务，曾为众多国内外知名企业提供法律服务，承办了一系列前沿的、富有挑战性的项目，积累了丰富的实践经验，是该领域的知名专家。

袁律师连续多年名列The Legal 500数据保护和TMT领域“特别推荐律师”以及LEGALBAND中国顶级律师排行榜“网络安全与数据”第一梯队，先后荣获中国律师特别推荐榜15强：网络安全与数据合规，中国律师特别推荐榜15强：高科技与人工智能；中国法律商务（China Law & Practice）年度网络安全杰出律师提名，DHR公会“数字化人力资源管理数据合规专家”，Ace Legaltech Award年度大奖“Top 20 Data Privacy Lawyers”等奖项。

袁立志律师历史文章

继续阅读

阅读原文

关键词

生成式人工智能

生成式人工智能服务

个人信息

暂行办法

技术