生成式 AI 合规：备案、登记与内容标识

先说结论：如果你面向中国境内公众提供生成式人工智能服务，通常需要完成算法备案与生成式人工智能服务备案（业内称"双备案"），生成的内容需要按规定添加显式与隐式标识。如果只是企业内部员工使用、不对公众提供服务，适用情况不同——但"不同"不等于"没有要求"，这条线值得请法律顾问帮你确认，而不是自己判断。

本页引用的第三方数据与政策信息，均于 2026 年 9 月 26 日对照发布机构的公开材料核对。该领域变化很快，任何没有标注日期的数字都值得怀疑——包括我们自己页面上的。本文为一般性介绍，不构成法律或税务意见。

先把适用范围搞清楚

这是整篇里最省钱的一段。常见的三种情形，后果差别很大：

• 面向境内公众提供服务——比如一个任何人都能注册使用的 AI 助手、一个对外开放的智能客服。这是规则的核心适用对象，备案与标识要求指向的就是它。
• 仅供企业内部使用——员工用来起草、摘要、检索内部资料，不对外提供。适用要求与前者不同，但涉及个人信息处理、数据安全的一般性法规仍然适用。
• 面向境外用户提供服务——则要看服务实际触达哪里，以及数据是否涉及跨境，见数据不出境。

把自己归到哪一类，是先做的事，不是做完再补的事。

规模：这不是一条冷门规则

据国家网信办公布的信息，截至 2026 年 4 月 30 日，累计有 868 款生成式人工智能服务完成备案，530 款生成式人工智能应用或功能完成登记。这个量级说明流程是常规化运转的，不是个别情况。

双备案：两件事，不是一件

实践中常被合成一句"去备案"，但它是两条独立的手续：

1. 算法备案——针对具有舆论属性或社会动员能力的算法推荐服务，登记算法本身的基本情况。
2. 生成式人工智能服务备案——针对面向公众提供的生成式服务本身。

还有一点值得特别留意：有报道指出，即便你调用的是已经完成备案的第三方模型 API，你自己面向公众提供的那个应用仍可能需要单独履行登记手续。这一点直接影响"我用了大厂的 API，所以合规由他们负责"这个相当普遍的误解，务必向监管部门或专业顾问确认你的具体情形。

材料清单里真正费时间的部分

申报材料通常包括上线备案表、安全评估报告、语料标注规则及标注证明，以及覆盖各类安全风险的拦截关键词列表。公开的实操指南提到，安全评估报告的篇幅通常在 30 到 100 页之间，关键词列表需覆盖十余类安全风险。

值得提前安排的现实问题有三个。安全评估报告不是模板填空，它要求你说清楚模型从哪来、语料从哪来、怎么标注、风险怎么拦。语料来源要能说清楚——如果你自己也讲不明白训练或检索用的资料从哪来，这一栏会卡住整个流程。准备周期以月计，而不是以周计，各地实践还存在差异。

内容标识：显式与隐式

自 2025 年 9 月 1 日起，人工智能生成合成内容需要添加标识，分为显式标识与隐式标识两类。平台侧在内容上架或上线时要进行核验，对未标识或疑似生成的内容添加风险提示。

对企业的实际含义很具体：如果你的智能体会生成对外发布的图片、音频、视频或成篇文字，标识不是可选项，也不是只在界面上写一句"本内容由 AI 生成"就算完成——隐式标识指向的是文件层面的信息。把它当作产品需求排期，而不是上线前一天的补丁。

2026 年的方向

公开分析普遍指向几个趋势：合规要求进一步工程化（从写文档转向在系统里能验证）、按场景分层监管、以及责任沿服务链条穿透。还有一项被反复提及的预期是，生成式人工智能的暂行办法将升格为更高位阶的规范。

对企业的启示不在于猜测时间表，而在于：能在系统里自动产生的证据，比事后补写的文档可靠得多。操作日志、审批记录、内容标识，都属于这一类——而且都是补不回来的。没有记录过的审批，无法在事后变成记录过。

不管适不适用，都值得做的四件事

1. 盘点。哪些系统在用生成式 AI，对内还是对外，接了谁的模型。多数企业做到这一步就会发现，实际数量比自己以为的多。
2. 留操作日志，而不是聊天记录。做了什么、在哪个系统、谁授权的、结果如何。这是所有框架的共同底座。
3. 在不可逆的动作上留人工审批。发送、支付、发布、删除。可逆的部分让它自己跑。
4. 指定一个人负责。能说清楚这个系统是干什么的、边界在哪里。合规检查最先问的就是这个。

本文为方向性介绍，不构成法律意见。该领域规则变动频繁且各地执行存在差异，落地前请以监管机构的现行规定和专业法律顾问的意见为准。