人工智能合規建設初議

李志強 楊子安 歐 龍（上海金茂凱德律師事務所）

前言

近年來，人工智能無疑是世界范圍內最炙手可熱的新興議題之一。何謂人工智能？人工智能的定義之廣，可能難以用列舉的方式窮盡。但總的來說，它是一門以計算機科學為基礎，由計算機、心理學、哲學等交叉融合的學科，也是模擬、延伸和擴展人類智能的理論、方法、技術及應用的一系列科技成果。這些科技企圖探究智能的實質，并生產出一種新的能以人類智能相似的方式作出反應的智能機器或系統。

人工智能成為無可爭議的社會熱點，不僅是由于技術層面的突飛猛進，也源于人們正在挖掘越來越多的人工智能應用場景，見證著這項技術愈發融入人類的日常生活及社會經濟，并開始思考隨之而來的倫理問題和運用風險。對世界各國而言，人工智能不僅是一次全球技術革新，也是一次對合規體系的共同挑戰。本文旨在分享人工智能合規建設的中國經驗，為關注人工智能問題的人們提供一些有益的思路與參考。

一、以信息安全為抓手，綜合構建法律與規章相結合的多層次合規體系

人工智能，諸如ChatGPT等，雖然形式上日新月異，但往往都有賴于對信息的收集、檢索、分析、處理。其中既涉及網絡信息的搜索，也有用戶個人信息的采集。因此，網絡信息與個人信息的合規管理，是人工智能合規建設的必由之路，也是構建人工智能合規體系的重要抓手。

在網絡信息管理方面，2016年11月7日，《中華人民共和國網絡安全法》頒布，在中華人民共和國境內建設、運營、維護和使用網絡，以及網絡安全的監督管理，均適用該法。針對網絡安全監管部門職能分工，該法第八條規定：“國家網信部門負責統籌協調網絡安全工作和相關監督管理工作。國務院電信主管部門、公安部門和其他有關機關依照本法和有關法律、行政法規的規定，在各自職責范圍內負責網絡安全保護和監督管理工作。縣級以上地方人民政府有關部門的網絡安全保護和監督管理職責，按照國家有關規定確定”；該法第二十一條則明確規定國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行“制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任”“采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施”“采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月”“采取數據分類、重要數據備份和加密等措施”等安全保護義務。此外，當前人工智能產品往往在與用戶交互的過程中大量收集用戶信息和需求，該法第四十一條也明確要求網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。人工智能產品的提供者基于網絡向社會公眾發布產品，都應當遵守上述各項規定，保障人工智能運行規范化、安全化。

在個人信息保護方面，2021年8月20日，《中華人民共和國個人信息保護法》（以下簡稱《個人信息保護法》）頒布。該法適用于在中華人民共和國境內處理自然人個人信息的活動，以及雖在境外處理境內自然人個人信息，但目的系向境內自然人提供產品或者服務的活動。該法第二十八條明確界定了敏感個人信息范圍，即生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。針對上述信息，當且僅當在具有特定的目的和充分的必要性，并采取嚴格保護措施的情形下，個人信息處理者方可處理敏感個人信息。同時，該法第五十一條明確要求個人信息處理者應當根據個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取有效措施，防止未經授權的訪問以及個人信息泄露、篡改、丟失。該類措施包括：制定內部管理制度和操作規程；對個人信息實行分類管理；采取相應的加密、去標識化等安全技術措施；合理確定個人信息處理的操作權限，并定期對從業人員進行安全教育和培訓；制定并組織實施個人信息安全事件應急預案。人工智能服務提供者在收取用戶數據、需求等個人信息過程中，均需符合《個人信息保護法》相關規定，保障公民個人信息安全，否則將承擔相應的法律責任。

以上述法律為基礎，2022年11月25日，國家互聯網信息辦公室、工業和信息化部、公安部聯合出臺《互聯網信息服務深度合成管理規定》并于2023年1月10日正式施行。該規定對人工智能服務提供新聞信息作出了特別規定：“任何組織和個人不得利用深度合成服務制作、復制、發布、傳播法律、行政法規禁止的信息，不得利用深度合成服務從事危害國家安全和利益、損害國家形象、侵害社會公共利益、擾亂經濟和社會秩序、侵犯他人合法權益等法律、行政法規禁止的活動。深度合成服務提供者和使用者不得利用深度合成服務制作、復制、發布、傳播虛假新聞信息。轉載基于深度合成服務制作發布的新聞信息的，應當依法轉載互聯網新聞信息稿源單位發布的新聞信息。”

2023年7月10日，國家互聯網信息辦公室、國家發展和改革委員會、教育部、科學技術部、工業和信息化部、公安部、國家廣播電視總局聯合出臺《生成式人工智能服務管理暫行辦法》（以下簡稱《辦法》）。該《辦法》適用于利用生成式人工智能技術向中華人民共和國境內公眾提供生成文本、圖片、音頻、視頻等內容的服務，對人工智能的訓練、服務、安全保障等全方位內容均予以規制。其明確要求具有輿論屬性或者社會動員能力的生成式人工智能服務應當按照國家有關規定開展安全評估，并按照《互聯網信息服務算法推薦管理規定》履行算法備案和變更、注銷備案手續。同時，該《辦法》還明確要求生成式人工智能提供者應當配合主管部門依據職責對生成式人工智能服務開展的監督檢查，對訓練數據來源、規模、類型、標注規則、算法機制機理等予以說明，并提供必要的技術、數據等支持和協助，從而將對社會治理具有重要影響力的人工智能產品服務置于有效監管之下，避免人工智能服務對社會公眾的認知與判斷產生嚴重的誤導影響。

目前，我國已經形成了法律與規章相結合的多層次人工智能合規體系，并充分運用，嚴格查處人工智能技術違法違規運作，防止危害社會穩定。2023年4月25日，甘肅省公安機關偵破了利用人工智能技術炮制虛假不實信息的案件。犯罪嫌疑人通過微信好友獲知網絡賺取流量變現方法，在全網搜索近幾年社會熱點新聞，并通過近期火爆的ChatGPT人工智能軟件將收集到的新聞要素修改編輯后，上傳至網絡非法獲利。經查，犯罪嫌疑人利用現代科技手段編造、散布虛假信息，被大量傳播瀏覽，其行為已涉嫌尋釁滋事罪。公安機關迅速采取措施，對犯罪嫌疑人采取了刑事強制措施，避免不實信息進一步誤導社會公眾。

二、以關鍵問題為導向，切實探索開放與嚴謹相兼顧的多樣化合規路徑

當前，人工智能技術已成為不可否認、不容忽視的一股生產力量，并逐漸在各行各業中發揮愈發重要的作用。拒絕人工智能技術在行業中的應用，將會錯過產業發展的關鍵契機；縱容人工智能技術在行業中的濫用，則會加劇產業運行的震蕩風險。因此，需要各行各業結合各自實際情況，以人工智能技術融入本行業運作中的重大問題為導向，有針對性地探索兼具開發包容與嚴謹審慎的合規運作路徑，將法律與規章的精神落到實處。

在人工智能技術的司法運用方面，2022年12月9日，最高人民法院發布《關于規范和加強人工智能司法應用的意見》（以下簡稱《意見》）。該《意見》設定了到2025年、2030年兩個階段的人工智能助力司法工作的具體目標，提出建成具有規則引領和應用示范效應的司法人工智能技術應用和理論體系，為司法為民、公正司法提供全流程智能輔助支持。同時，該《意見》也明確強調人工智能技術的“輔助審判原則”，即無論技術發展到何種水平，人工智能都不得代替法官裁判，確保司法裁判始終由審判人員作出，裁判職權始終由審判組織行使，司法責任最終由裁判者承擔，從而鞏固了在人工智能技術浪潮中司法仍需以人為本的根本底線。

在人工智能技術的金融應用方面，2018年4月27日，中國人民銀行、中國銀行保險監督管理委員會、中國證券監督管理委員會、國家外匯管理局聯合出臺《關于規范金融機構資產管理業務的指導意見》，規定有資質的金融機構運用人工智能技術開展資產管理業務應當嚴格遵守投資者適當性、投資范圍、信息披露、風險隔離等合規規定，不得借助人工智能業務夸大宣傳資產管理產品或者誤導投資者。避免利用普通消費者對技術的信任騙取投資，也提醒金融機構不應過于依賴固定程式展開投資、忽視人工的復查監測。

此外，人工智能技術主要應用領域還包括網絡搜索服務。當前，諸多搜索引擎借助人工智能算法，為廣大網絡用戶提供其需求的信息知識。2022年3月1日起施行的《互聯網信息服務算法推薦管理規定》要求，算法推薦服務提供者應當定期審核、評估、驗證算法機制機理、模型、數據和應用結果等，不得設置誘導用戶沉迷、過度消費等違反法律法規或者違背倫理道德的算法模型。發現違法信息的，應當立即停止傳輸，采取消除等處置措施，防止信息擴散，保存有關記錄，并向網信部門和有關部門報告。發現不良信息的，應當按照網絡信息內容生態治理有關規定予以處置。

三、以社會平臺為依托，廣泛開展理論與實踐相呼應的多維度學術交流

2017年7月，國務院印發《新一代人工智能發展規劃》提出，增強風險意識，重視風險評估和防控，強化前瞻預防和約束引導，近期重點關注對就業的影響，遠期重點考慮對社會倫理的影響，確保把人工智能發展規制在安全可控范圍內。人工智能技術的規范應用，不僅依賴于政府部門與行業機構的審慎工作，也需借力社會平臺、協會組織，為人工智能技術的合規經驗交流賦能增效。

早在1981年，我國就已設立中國人工智能學會（Chinese Association for Artificial Intelligence，CAAI）。該學會是一個集人工智能技術學術理論、產業應用、人才培育于一體的高層次、全國性社會組織。目前擁有61個分支機構，包括52個專業委員會和9個工作委員會。其下設的人工智能與安全專業委員會多次組織召開了全國人工智能與安全學術論壇，為國內網絡安全與人工智能跨學科交流搭建了學術平臺。

除全國性的組織外，各地的地方性人工智能社會組織也力量雄厚。就上海而言，上海市人工智能行業協會（SAIA）是代表上海人工智能行業性質的非營利性社會團體。2022年9月，該協會主辦了“數據智能與內容認知高峰論壇”。該論壇邀請到全球數據智能領域知名專家學者及業界專家，圍繞數據智能與內容認知領域的技術創新、自然語言發展趨勢、多模態內容理解與認知應用實踐等多方面進行研討，并從不同視角、不同維度解析技術變革帶給當下社會的機遇與挑戰。

歷經數十年建設，國家及地方社會平臺、協會組織已成為我國人工智能技術合規建設的重要依托，與政府、行業機構的工作形成了有效互補。

四、我國人工智能合規建設之展望

當前我國人工智能領域法制體系建設全面開展，各項監管措施協同推進，綜合治理成效逐步顯現。而未來我國人工智能合規治理之路將走向何方，也正吸引著法學界及社會人士的熱切關注。身為法律人，深感有三點展望值得分享。

（一）分級分類，加快建設寬嚴并濟的行政監管體系

正如上文所述，人工智能是一個相當寬泛的定義。具體的人工智能產品、服務千變萬化，功能、屬性可能有天壤之別。如以“一刀切”方式予以監管，可能會引發某些不合理的現象，也容易引發監管資源的浪費。因此，分級分類、寬嚴并濟的政府監管體系建設勢在必行。

我國《生成式人工智能服務管理暫行辦法》對具有輿論屬性或者社會動員能力的生成式人工智能服務予以重點關注，要求其應當按照國家有關規定開展安全評估，并按照《互聯網信息服務算法推薦管理規定》履行算法備案和變更、注銷備案手續，已為人工智能分級監管打下了堅實的基礎。

放眼國際，2021年4月歐盟委員會提出了《人工智能法案》提案。2023年6月14日，歐洲議會通過《人工智能法案》草案。該草案以人工智能技術的用途為標準，形成了對各類人工智能產品服務的可操作分類監管細則。比如，最基礎的以人工智能技術驅動的電子游戲及垃圾郵件過濾器等被認為風險極低，幾乎不施加監管措施；對于人工智能聊天機器人，開始要求告知用戶相關風險；對于應用于社會公共服務的部分人工智能技術，則屬于高風險范圍，需要通過審查評定方可實施。

人工智能的分類監管，代表著該領域合規體系建設正從宏觀設想轉向具體落實，有助于監管部門兼顧全局、抓住重點；有助于一線監管、執法人員有的放矢，獲得可參考、可操作的行動準則；更有利于廣大產業經營者明確人工智能技術的風險邊界，妥善把控規劃產品服務的設計使用。因此，可考慮盡快形成適合我國人工智能產業發展的產品服務分級分類監管體系，聯合學界、企業等專業力量，明確界定人工智能的不同風險等級判斷標準和對應的監管措施，盡快積累一批具有指導性意義的行業監管案例，形成示范效應，推動人工智能合規監管精細化發展。

（二）群策群力，深入培育自查自省的行業自律機制

人工智能合規體系建設離不開政府監管基礎，但涉及該技術應用的行業自律機制培育亦不可偏廢，應注重發動行業主體群策群力，共同參與我國人工智能合規治理。可以考慮由行業協會向業內單位發出關于人工智能開發、使用、銷售等方面的共同倡議，鼓勵開展業內機構自檢自查活動，組織開展違規違法案例警示工作，培育從業機構人員合規意識，形成良好的行業合規自律風氣。

（三）相輔相成，提前布局同舟共濟的合規技術市場

在日新月異的科技革新浪潮中，對人工智能產品服務的監管恰恰也離不開人工智能技術。面向社會消費者的人工智能產品服務市場廣闊，但監控、檢測、防御人工智能違規的相關合規科技市場潛力也不容小覷。因此，可以考慮提前布局、統籌規劃，以市場力量促進人工智能合規科技產業發展。以政策扶持、財政補貼、引介投資等方式幫扶合規科技企業發展壯大，從而吸引更多業內優秀科技人才隊伍關注這一新興市場，促進我國人工智能監管科技發展壯大，與人工智能產品服務本身形成相輔相成、同舟共濟的良好發展局面，為監管該領域產品服務提供更多更好的先進技術工具，全面賦能我國人工智能合規監管科技力量。

人工智能是當今世界各國共同面臨的新挑戰、新機遇。我們要高度關注人工智能技術發展，加強對人工智能發展潛在風險的研判和防范，加強人工智能合規建設，確保人工智能安全、可靠、可控。我們相信，化挑戰為機遇，在借力人工智能促進社會經濟發展的同時避免野蠻生長的亂象，是人們的共同訴求。