3. 核心法规与标准图谱

AI生成内容治理不是单一法条能覆盖的问题，而是由“法律—行政法规—部门规章—国家标准”四层规范共同构成的约束体系。理解这套体系的关键，不是背诵条文编号，而是看清每部规范各自管什么、在什么环节介入、对内容生产者与平台分别提出什么义务。本节按“效力层级 + 规制对象”两条线索，梳理网络安全法、数据安全法、个人信息保护法、生成式人工智能服务管理暂行办法、深度合成管理规定、AI生成内容标识办法之间的分工与衔接。

一、四层规范体系与各自的规制重心

第一层是三部基础法律。《网络安全法》确立网络运行安全、日志留存与关键信息基础设施保护义务，是AI服务上线运营的底座；《数据安全法》建立数据分类分级、重要数据目录与数据处理活动安全评估制度，管的是“训练数据与业务数据本身”；《个人信息保护法》则聚焦个人信息处理规则，要求告知同意、最小必要、单独同意与自动化决策透明，直接约束训练语料中的人脸、声纹、简历、聊天记录等个人信息。三部法律不专门针对AI，但AI服务的语料采集、模型训练、内容输出三个环节都会落入其管辖。

第二层是两部专门规章。《生成式人工智能服务管理暂行办法》面向“面向公众提供生成式AI服务”的提供者，核心义务包括：训练数据来源合法、不侵害知识产权；对生成内容进行标识；对使用者进行实名认证；发现违法内容立即停止生成并优化训练；对未成年人提供防沉迷措施。《深度合成管理规定》则聚焦深度合成技术（换脸、语音克隆、虚拟场景生成等），要求对深度合成内容进行显著标识，并对生物识别信息编辑功能设置单独同意与安全评估。两者在“标识”上存在交叉，但前者管“生成式服务整体”，后者管“深度合成这一特定技术路径”。

第三层是标识细则。《人工智能生成合成内容标识办法》把标识义务拆成两类：显式标识（文字、图形、音频提示等可被用户直接感知的标识）和隐式标识（文件元数据中写入的生成合成信息）。它进一步区分服务提供者、内容传播平台、用户三类主体的责任，并给出标识位置、形式、元数据字段的落地要求。这一层是前面所有“应当标识”原则的操作化出口。

二、关键条款的实务落点

把规范落到日常操作，需要抓住几个高频触发点。第一，训练语料合法性。《暂行办法》第七条要求训练数据来源合法、不侵害知识产权和个人信息权益。实务中这意味着语料采购合同要写明权利来源与授权范围，爬取公开数据要评估是否含个人信息，使用用户对话数据训练要取得单独同意。第二，实名与未成年人保护。《网络安全法》第二十四条要求为用户提供信息发布服务时进行真实身份信息认证，《暂行办法》进一步要求对未成年人设置防沉迷。第三，标识义务。《标识办法》要求服务提供者在生成内容中添加显式标识，并在文件元数据中写入隐式标识；传播平台则需核验隐式标识、对无标识内容加注提示。第四，深度合成的单独同意。《深度合成管理规定》第十四条要求提供人脸、声音等生物识别信息编辑功能时，需取得被编辑个人的单独同意。

三、合规义务的对照与自查

下表把六部规范的核心义务按“语料—训练—生成—传播”四个环节归位，便于快速定位自身业务落在哪一格、缺哪一项。

四、从条款到动作：一份可执行的自查清单

以下清单可直接用于AI内容产品的合规自查，每项对应上述规范中的具体义务，建议按季度复核。

1. 语料来源：是否留存授权合同或公开数据来源说明？是否筛查含个人信息的数据并取得相应同意？
2. 数据分级：是否建立数据分类分级清单？是否识别重要数据并完成安全评估？
3. 实名与日志：是否对使用者完成真实身份认证？日志是否留存不少于6个月且可追溯？
4. 显式标识：生成内容是否在用户可感知位置添加“AI生成”文字或图形标识？音频是否含提示音？
5. 隐式标识：文件元数据是否写入生成合成信息字段？字段命名与格式是否符合标识办法要求？
6. 平台核验：传播平台是否核验隐式标识？对无标识内容是否加注提示？
7. 深度合成：人脸、声音编辑功能是否取得被编辑人单独同意？是否完成安全评估？
8. 未成年人：是否设置防沉迷或使用时长限制？是否避免向未成年人推送不适宜内容？