（1）安全评估

《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》通过“列举+兜底”的方式，将“具有舆论属性或社会动员能力的互联网信息服务”定义为“论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序信息服务及提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的信息服务”。

前述规定对需要进行安全评估的互联网信息服务的表述相对宽泛，并未设定具体的量化指标，从规则角度给与了主管部门充分的自由裁量空间；此外，目前实际触发或公开报道的案例也较为有限，尚未形成可资参照的监管实践。在未来的监管实践中，不排除面向C端用户的生成式人工智能产品均可能被要求进行安全评估，或相关服务提供者被主管部门主动联系和要求进行安全评估的情况，因此，服务提供者可以考虑结合业务情况和主管部门咨询和确认。此外，需要注意的是，《互联网信息服务深度合成管理规定》还要求互联网应用商店等应用程序分发平台落实上架审核，核验深度合成类应用程序的安全评估、备案等情况，所以服务提供者亦可考虑提前和应用程序分发平台沟通确认是否需要完成安全评估后方可上架，并据此合理安排安全评估的时间表。

（2）算法备案

根据《互联网信息服务算法推荐管理规定》的相关规定，具有舆论属性或者社会动员能力的算法推荐服务提供者，应当履行备案和变更、注销备案手续；《互联网信息服务深度合成管理规定》除要求深度合成服务提供者依照前述规定履行备案和变更、注销备案手续外，另要求深度合成服务技术支持者亦需参照履行备案和变更、注销备案手续。“具有舆论属性或者社会动员能力”的认定标准可以参考我们在“安全评估”的相关分析。

目前，算法备案的落地规定已相对成熟，备案平台（https://beian.cac.gov.cn/#/index）已上线运行近1年。根据公开的算法备案清单，我们注意到目前备案的算法类别以“个性化推送类”、“检索过滤类”为主，也有一些天猫、淘宝、钉钉、快手、美团等互联网企业的产品办理了生成合成类算法备案，但数量相对较少。

（3）科技伦理审查

根据《科技伦理审查办法（试行）（征求意见稿）》，从事人工智能科技活动的单位，研究内容涉及科技伦理敏感领域的，应设立科技伦理（审查）委员会；特别地，具有舆论社会动员能力和社会意识引导能力的算法模型、应用程序及系统的研发活动，被列为“需要开展专家复核的科技活动”，在通过本单位科技伦理（审查）委员会的初步审查后，还应报请所在地方或相关行业主管部门组织开展专家复核。

该办法目前仍处于征求意见阶段，尚不确定未来实际执行的的监管口径和落地安排，建议持续关注相关规定的最新动态。

除了安全评估、算法备案和科技伦理审查，生成式人工智能服务提供者在提供相关产品服务时，还需要关注其自身的产品或服务形态是否构成增值电信业务，进而需要取得增值电信业务经营许可证；以及是否构成受监管的视听类服务活动，进而需要取得《网络文化经营许可证》《网络出版服务许可证》《信息网络传播视听节目许可证》《广播电视节目制作经营许可证》，由于其中部分证照实践中取得难度较高，服务提供者应根据自身情况调整展业方式。

（二）运营合规要求

结合《征求意见稿》，我们从投资项目角度，将需要提请重点关注的事项总结如下：

除了《征求意见稿》提及的以上事项，根据《网络安全法》《数据安全法》《个人信息保护法》等相关规定，如下常见的数据合规事项也需要予以关注：

1. 网络安全等级保护：是否根据规定完成了网络安全等级保护制度所要求的定级备案、安全建设整改、等级测评和自查等工作；

2. 数据跨境合规：是否涉及个人信息或重要数据出境活动，是否依法通过数据出境安全评估、个人信息出境标准合同、个人信息保护认证等方式满足数据出境条件；此外，对于双向的数据跨境活动，亦需考虑是否符合其他境外适用法律规定；

3. 重要数据识别及保护：是否涉及重要数据（如与政府、军队存在大模型项目合作）；如涉及重要数据，是否依法履行了重要数据目录备案、设立数据安全负责人及管理机构、定期开展风险评估等合规义务；

4. 用户协议和隐私政策审查：从《个人信息保护法》等相关规定角度审查用户协议和隐私政策的条款是否完备、是否贴合业务实际情况。

（三）业务合同审查

除了面向C端的产品，生成式人工智能服务提供者还可能为企业、科研院所、政府和军队等客户提供服务。从投资项目的角度，我们建议围绕如下重点问题核查：

1. 结合业务合同反映出的业务模式，进一步核查和确认项目公司涉及的业务资质类型以及运营合规问题；

2. 实际签署的业务合同是否与公司描述的业务模式一致；

3. 是否限制或排除项目公司在特定领域或与特定客户或供应商的合作；

4. 与重要客户、供应商的合作稳定性（如合作期限、解除权等）。

对于提供生成式人工智能服务的项目公司，除了常规类型合同，还需要特别关注其与训练数据采购以及算力供应相关的合同。

就训练数据采购，应关注数据提供方是否对提供的数据拥有合法的权利，以及购买的数据中是否涉及个人信息。如果涉及个人信息，需要注意核查第三方是否就数据的提供和使用以征得用户同意等方式取得合法性基础，数据提供方是否就数据违法行为承担兜底赔偿责任。

算力供应，通常包括自采、外采和算力共享等多种方式。从投资项目角度，需要关注算力是否能满足项目公司的需求，以及算力供应是否稳定（比如相关算力采购或合作协议的期限等）。

三、小结

生成式人工智能技术作为一项突破性技术，将深刻影响我们的生活和工作方式。而鉴于生成式人工智能服务需要处理大量的数据，可能涉及个人信息和重要数据，生成式人工智能服务的应用中，也可能会出现不符合社会伦理和公序良俗的情况（如：恶意攻击、欺诈等行为），公众开始担心生成式人工智能技术会在网络和数据安全、个人信息和隐私保护、科技伦理和社会秩序等各方面产生新的冲击。对此，监管部门已经出台了一系列规定，以促进生成式人工智能健康发展和规范应用，但该等规定具体如何把握和执行有待未来更多实践的检验，也需要提请生成式人工智能服务提供者及相关投资机构对行业规定予以持续关注。

*杨建媛律师、李天烁律师就本文亦有贡献