在中国用 AI，法律上要注意什么

这是整页对您最直接的一条：您用 AI 生成的东西，发到任何内容平台上时，要「主动声明」，并且要用平台提供的标识功能标出来。义务在发布者身上，不只在平台身上。用户使用网络信息内容传播服务发布生成合成内容的，应当主动声明并使用服务提供者提供的标识功能进行标识。

不许去掉、改掉、伪造或藏起 AI 内容标识 —— 也不许给别人提供做这件事的工具。市面上那些「一键去 AI 水印」的工具，提供方同样在这条里。任何组织和个人不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识，不得为他人实施上述恶意行为提供工具或者服务。

显式标识怎么打：文字放开头结尾或中间，图片放显眼位置，视频要放在起始画面和播放周边。（文本）在文本的起始、末尾或者中间适当位置添加文字提示或者通用符号提示等标识；（图片）在图片的适当位置添加显著的提示标识；（视频）在视频起始画面和视频播放周边的适当位置添加显著的提示标识

除了看得见的标识，文件元数据里还要有隐式标识 —— 这是平台核验用的。在生成合成内容的文件元数据中添加隐式标识

这条是保护您的：服务方不得非法留存能识别您身份的输入内容与使用记录，也不得非法把它们给别人。您往对话框里贴的东西，法律上有这层约束。提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录。

您拿它做违法的事，服务方有义务警示、限制功能、暂停甚至终止对您的服务。提供者发现使用者利用生成式人工智能服务从事违法活动的，应当依法依约采取警示、限制功能、暂停或者终止向其提供服务等处置措施。

备案义务的主体是「提供服务的」。但「企业内部员工使用第三方 AI 产品」算不算「提供服务」，这条原文没有直接写 —— 见下面的「我们没查到的部分」。提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续。

注意主语里有「使用者」。换脸、配音、AI 主播这类内容，拿去做假新闻，责任不只在平台，用的人自己也在这条里。深度合成服务提供者和使用者不得利用深度合成服务制作、复制、发布、传播虚假新闻信息。

要拿别人的脸或声音做素材，必须先告诉本人、并单独取得同意 ——「单独同意」是指专门为这件事同意一次，不能藏在一份总的用户协议里带过。深度合成服务提供者和技术支持者提供人脸、人声等生物识别信息编辑功能的，应当提示深度合成服务使用者依法告知被编辑的个人，并取得其单独同意。

这就是国内 AI 换脸、配音类产品一律要实名的法律出处 —— 不是平台想收您的手机号。深度合成服务提供者应当基于移动电话号码、身份证件号码、统一社会信用代码或者国家网络身份认证公共服务等方式，依法对深度合成服务使用者进行真实身份信息认证，不得向未进行真实身份信息认证的深度合成服务使用者提供信息发布服务。

大家常说的「算法备案」出处在这里。要注意的是时限 ——开始提供服务起十个工作日内，不是「上线前」，也不是「有空再补」。具有舆论属性或者社会动员能力的算法推荐服务提供者应当在提供服务之日起十个工作日内通过互联网信息服务算法备案系统填报服务提供者的名称、服务形式、应用领域、算法类型、算法自评估报告、拟公示内容等信息，履行备案手续。

受理时限是三十个工作日，材料不齐会被退回并说明理由 —— 排期时按两个月留余量比较稳。国家和省、自治区、直辖市网信部门收到备案人提交的备案材料后，材料齐全的，应当在三十个工作日内予以备案，发放备案编号并进行公示；材料不齐全的，不予备案，并应当在三十个工作日内通知备案人并说明理由。

备案完并不是就结束了：编号要挂在网站或 App 的显眼位置，还要提供公示信息的链接。完成备案的算法推荐服务提供者应当在其对外提供服务的网站、应用程序等的显著位置标明其备案编号并提供公示信息链接。

这条是企业把客户资料贴进 AI 对话框之前最该看的一条。客户的身份证号、银行账户、健康信息、行踪轨迹都属于敏感个人信息，要用，得先单独取得本人同意。处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

把客户资料交给一家 AI 服务商处理，同时踩中第（三）项「委托处理」；如果那家服务商在境外，还要再加上第（四）项。法条要求的是「事前」评估并留记录，不是出事之后补。有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：（一）处理敏感个人信息；（二）利用个人信息进行自动化决策；（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；（四）向境外提供个人信息；（五）其他对个人权益有重大影响的个人信息处理活动。

拿 AI 筛简历、定价、审批额度，属于自动化决策。当事人有权要求您解释，也有权拒绝「全程由机器定」——所以这类流程必须留一个人工复核的口子。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

官方原文里没有找到直接回答这个问题的条款。《暂行办法》第十七条写的是「提供具有舆论属性或者社会动员能力的生成式人工智能服务的」——义务主体是「提供服务的」。至于「企业把接入的模型能力对外开放给客户」与「员工内部使用第三方产品」这两种情况各落在哪一侧，官方没有明确划线，标为未采集。涉及具体业务时请咨询专业律师。

有，强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》，编号 GB 45438-2025，2025 年 2 月 28 日发布、2025 年 9 月 1 日实施 —— 编号与两个日期我们在国家标准全文公开系统的条目页上核过。标准正文（显式标识与隐式标识的具体技术要求）在官方条目页的「在线预览」里，要用的话请到条目页点开预览。