1. 课程导入
AI产品合规不是“把隐私政策写长一点”这么简单。它同时受三类规则牵引：一类保护用户权益（知情、同意、拒绝、更正、删除、解释、投诉等），一类约束平台责任（内容治理、风险提示、未成年人保护、算法备案、应急处置等），还有一类来自技术生命周期（数据采集、模型训练、推理输出、迭代更新）。三者交叉，才构成AI产品合规的真实边界。
本课程的目标不是背诵法条，而是建立一套可落地的判断能力：看到一个AI功能，能迅速定位它涉及哪些用户权益、平台承担哪些责任、需要哪些证据链来证明“已合规”。学完后，你应当能够独立完成一次AI功能的上线前合规评估，并输出可执行的整改清单。
一、核心概念：四个必须分清的对象
在展开之前，先明确四个高频概念，避免后续混淆：
- 用户权益：用户作为自然人享有的权利，如知情权、选择权、拒绝自动化决策权、个人信息查阅复制删除权、投诉举报权。
- 平台责任：平台作为服务提供者承担的义务，如显著标识AI生成内容、建立投诉通道、对违法信息采取处置措施、对高风险场景做安全评估。
- 合规义务主体：谁承担义务。同一产品中，模型提供方、应用运营方、分发渠道可能分别承担不同义务，不能笼统说“平台负责”。
- 合规证据：能证明义务已履行的材料，如弹窗截图、同意记录、日志字段、评估报告、投诉处理工单。没有证据，等于没有合规。
判断一个AI功能是否合规，先问三个问题：谁的权利受影响？谁承担义务？留下什么证据？这三个问题贯穿全课程。
二、整体框架：从功能到证据的四层结构
本课程采用“功能—权益—责任—证据”四层框架。下面这张图展示了四层之间的映射关系，以及一个典型AI功能如何逐层落到具体合规动作上。
这张图的关键在于：功能层的一个动作，会同时触发权益层和責任层的多个义务，最终必须落到可调取的证据。很多团队只做了功能，没做权益告知，也没留证据，上线后一旦被投诉就非常被动。
三、学习目标：学完你能做什么
本课程围绕“能判断、能落地、能举证”三个能力层次展开：
- 能判断：拿到一个AI功能描述，能识别它是否涉及自动化决策、是否处理敏感个人信息、是否面向未成年人、是否生成对外内容，从而判断合规风险等级。
- 能落地：能写出具体的告知文案、同意流程、人工复核机制、投诉处理路径，而不是只写“应加强合规管理”。
- 能举证：能设计日志字段、保存截图、整理评估报告，形成一条完整的证据链，应对监管检查或用户诉讼。
四、一个可执行的上线前合规检查清单
下面这份清单可以直接用于AI功能上线前的自检。字段和判断依据均来自本课程后续章节会展开的真实合规要求，此处先给出完整结构，便于你建立整体印象。
| 检查项 | 判断依据 | 所需证据 | 不通过时的动作 |
|---|---|---|---|
| 是否告知用户AI参与决策 | 用户能否在交互前看到显著提示 | 弹窗截图、页面文案版本记录 | 补充显著标识，重新走查 |
| 是否提供拒绝或人工复核通道 | 用户能否选择不走AI、转人工 | 人工复核入口截图、工单记录 | 增加转人工按钮及处理SLA |
| 是否处理敏感个人信息 | 简历含身份证号、联系方式等 | 数据字段清单、加密存储说明 | 最小化采集，脱敏后再入模 |
| 是否保存决策日志 | 能否还原某次打分的输入与输出 | 日志字段定义、留存期限 | 补充日志字段，设定留存期 |
| 是否有投诉处理路径 | 用户能否在产品内提交异议 | 投诉入口截图、处理时限说明 | 建立投诉通道并公示时限 |
注意：清单中的“证据”不是形式主义。监管检查时，无法提供截图、日志或工单，通常会被认定为未履行义务。证据的保存期限、字段完整性和可检索性，与义务本身同等重要。