生成式人工智能（AIGC）企业法律合规与风险指引

「正文共计约4000字，阅读全文约需16分钟」

随着DeepSeek的火爆出圈，通用智能大模型再次推向一个新的高潮，国家之间也将人工智能作为人类新一轮工业革命竞争，以占据科技发展高地。企业、个人在ALL IN AI的推崇下不管是主动还是被动都在拥抱AI，当下更是涌现众多企业、个人围绕AI技术提升生产经营或服务效率。在此背景下，业界更多的关注转向到AI应用场景，预测2025年将是AI行业模型应用大爆发的元年。与此同时，除了关注算力、数据等这些人工智能发展的生产要素及基础设施外，人工智能监管的法律法规等制度供给也已巧然而至。

在法律层面，基于对网络安全、数据安全、个人信息保护及大数据杀熟等合规监管已有《网络安全法》《数据安全法》《个人信息保护法》《互联网信息服务算法推荐管理规定》《关于加强互联网信息服务算法综合治理的指导意见》等进行规制。2023年7月13日，网信办、国家发展和改革委员会、教育部、科学技术部、工业和信息化部、公安部、国家广播电视总局七部委联合发布《生成式人工智能服务管理暂行办法》（以下简称“《人工智能服务管理暂行办法》”）标志着对人工智能的监管建立了基本的监管基准和监管框架。

《人工智能服务管理暂行办法》立足于AI行业发展的现实需求，实行分级分类监管、平衡发展与监管的关系，以更好地推动技术发展与风险管控双重目标。本文根据《人工智能服务管理暂行办法》的解读，对行业大模型企业及通用大模型应用企业的法律合规与风险控制提出意见和建议，以期助力企业长久有序发展壮大。

一、生成式人工智能服务企业分类

生成式人工智能（AIGC）企业基于对通用大模型的研发、应用角度主要可分为三类：

• 一是纯自研的通用大模型，其特点是能全面掌握大模型的核心算法和运行规则，独立负责数据训练、标注、模型优化，主流的有DeepSeek、智谱AI、OPENAI等。

• 二是半自研的大模型，其特点是在第三方基础模型/通用大模型的基础上进行二次开发、训练，形成自身独有的研发和应用场景，常见的行业垂直大模型属此类居多，如基于开源通义千问开发的MindChat（漫谈），医疗行业基于大模型进行的二次开发调优的辅助诊疗行业模型企业等。后续AI业界发力点将在这个赛道展开激烈竞争。

• 三是纯应用型AI企业即对模型本身不做调优，不做二次开发，仅仅调用已有的前述二类模型开展应用，提供服务。

二、生成式人工智能服务企业应用场景

本文着重以前述半自研的大模型为主的行业垂直大模型企业和纯应用型人工智能服务企业为主进行分析。

行业垂直大模型企业作为生成式人工智能服务的提供者，旨在基于其对特定行业的积累和行业深耕，依仗所在行业的数据资源、知识/技术资源，借助第三方通用大模型通过API开发接口等方式进行行业垂直大模型的二次开发，形成独居行业竞争力的垂直大模型，对外提供行业相关的生成式服务（如生成图片、视频、文字作品、提供辅助诊断方案、提供客服服务等）。

纯应用型人工智能服务企业不做技术上的二次开发，依仗所在行业的数据资源、知识/技术资源形成独特的提示词、模型输入、应用范式等对第三方模型调用，输出自身的应用产品，提供生成式服务，其最终提供到客户的服务内容和方式与行业垂直大模型企业相似。

生成式人工智能服务企业作为服务提供方与服务使用者进行交互形式主要有小程序、公众号、浏览器等，未来可能出现更多的交互形式。

三、生成式人工智能企业法律合规管理

根据《人工智能服务管理暂行办法》规定，对生成式人工智能服务企业界定为服务提供者的法律主体地位并苛以合规要求，而相应的注册其服务的生成式人工智能服务使用的企业或个人以服务使用者定位，在此基础上明确界定双方的权利义务关系和责任。

《人工智能服务管理暂行办法》秉承对生成式人工智能服务实行包容审慎和分类分级监管的理念下，对生成式人工智能服务提供者规定的合规要求和义务主要从算法、数据及标注、内容管理、使用者管理及监管配合等合规义务。

1.算法、数据及标注合规

生成式人工智能服务提供者开展预训练、优化训练等训练数据处理活动中遵守数据和基础模型来源合法，不得侵害他人享有的知识产权，涉及个人信息的应当取得个人同意或符合法律规定。采取措施提高数据质量、增强训练数据的真实性、准确性、客观性和多样性。

数据标注应当制定清晰、具体、可操作的标注规则，开展数据标注质量评估，抽样核查验证准确性。

在训练数据、标注、输入、输出过程中发现违法内容应当采取算法纠偏、模型优化训练等措施整改。

训练数据又称语料，对其来源分为自采和商业购买，《生成式人工智能服务安全基本要求》规定服务提供者应当采取措施确保语料从源头追溯并确保自采合规性，包括保存采集记录，不采集他人明确不可采集的数据（包括通过robots协议等技术手段限制或标明不可采集的网页数据及文件中正式声明拒绝采集的个人信息）。对于商业购买的数据应确保与出售方签署合法有效的交易文件并要求出售方提供数据合法合规安全承诺和来源合法证明。

2.内容管理合规

生成式人工智能服务提供者作为网络信息内容生产者和网络信息内容服务平台的角色（《网络信息内容生态治理规定》第四十一条有明确规定）应当对其生成的内容网络信息安全义务，涉及个人信息的履行个人信息保护义务并按照《互联网信息服务深度合成管理规定》对图片、视频等生成内容进行标识。对发现生成的内容违法应当采取停止生成、停止传输、消除等处置措施，对使用者利用生成式人工智能服务采取警示、限制功能、暂停或者终止提供服务等处置措施。

3.使用者管理义务

人工智能服务提供者应当与其使用者签订服务协议或用户协议，明确双方权利义务关系。人工智能服务提供者应当明确并公开其服务的适用人群、场合、用途，指导使用者科学理性认识，依法使用并关注使用者输入内容的合法合规性，对使用者违法采取有效处置措施，对使用者可能的侵权和违法行为提供投诉、举报机制，设置便捷投诉、举报入口，公布流程和反馈结果；采取有效措施防范未成年如过度依赖或沉迷人工智能服务。

4.配合监管义务

对于提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续。配合有关主管部门依据职责对生成式人工智能服务开展监督检查，提供者应当依法予以配合，按要求对训练数据来源、规模、类型、标注规则、算法机制机理等予以说明，并提供必要的技术、数据等支持和协助。

四、生成式人工智能企业法律风险控制

生成式人工智能服务提供者主要面对的是训练数据/语料、生成式输出内容的知识产权侵权风险，目前集中反映在生成的图片、文字、音频、视频等的著作权侵权风险及个人信息保护的侵权，训练数据所有权及使用权的侵权风险，生成输出内容权利归属风险。故生成式人工智能服务提供者还应关注《数据安全法》《个人信息保护法》《信息网络传播权保护条例》《著作权法》《民法典》等法律法规下的法律风险控制。这里暂不一一展开，就提供生成式服务实务中常见的著作权侵权风险进行分析。

在现有法律框架下，法律实务中对生成式人工智能服务提供者界定为ICP（内容服务提供者）还是ISP（技术服务提供者）存在争议，基于不同定位界定的责任和权利边界不同且与外部权利人（第三方）之间的责任和义务边界亦有所区别。

如界定为ISP，则避风港原则是通行的法律适用规则，在处理著作权领域的信息网络传播权侵权纠纷之中广泛使用，其规定主要见《信息网络传播权保护条例》。鉴于生成式人工智能服务提供者不单单提供一个大模型应用平台，区别于一般的网络信息平台只是提供一个信息发布和传播的平台，人工智能生成式服务的内容生成过程是存在主动编辑、组织、修改或提供的，故需要根据不同的业务场景和商业运营模式/变现盈利模式来设计适合自身的知识产权策略和解决方案。在现行立法和司法对此暂不明朗期间，依据《著作权法》等法律规定，运用协议约定的方式明确服务提供者与使用者/用户的权利义务、权属约定、侵权责任承担、过错划分等是一个相对明确有效的选择，以有效面对权利人或第三方的侵权指控风险。

简而言之，如在用户协议或服务协议中约定用户/客户需承诺对模型输入内容不侵犯第三方权利，否则自行承担法律责任的声明保证及服务提供者有权根据监管要求和权利人投诉暂停或拒绝对用户提供服务的权利。

其次，对模型生成输出的内容的版权归属及其相应的侵权责任风险的承担作出明确约定，如确定模型生成输出内容著作权归属某方或按比例享有，原则上应当按此归属约定或比例承担可能的侵权责任。

再次，生成式人工智能服务提供者应当采取措施避免与使用者承担共同侵权或连带侵权责任赔偿风险。这就首先要求生成式人工智能服务提供者自身按前述要求建立从语料、模型推理生成、对用户使用的监督等阶段进行合规全流程覆盖，侵权指控/投诉流程公开透明，接到侵权指控或投诉时反馈处理及时有效，避免被认定为共同的意思联络等共同侵权的情形。

以上是笔者根据最新的行业发展动态和司法实践并结合服务大模型企业做出的合规及风险控制指引，企业应当平衡发展与合规风控的关系，尽可能更早的建立适合自身经营场景的生成式人工智能服务合规风控模型，积极应当监管，有效控制风险，这也是未来企业融资上市，走向强大的必然要求。

写在最后

作为一个工科背景（计算机科学与技术专业）出身，有着若干年“程序猿”经验，律师执业十六年的作者，通过试用DS大模型和所谓接入DS大模型的某法律服务产品，AI还远难以达到专业人士工作同等的效果（市面上也暴露了大模型的幻觉等缺陷），且明显受制于训练数据的有限性和局限性。假想未来AI获取到了人类全部的数据、知识、规则，AI也难以替代人类独有的情感、人文、道德、伦理，个人认为应把AI作为工具更妥当些。