随着生成式人工智能技术的迅猛发展和广泛应用，其在提升生产效率、丰富内容创作的也带来了个人信息泄露、数据滥用、算法偏见等用户权益保护挑战。为引导行业健康发展，中国信息通信研究院（以下简称“中国信通院”）近日正式启动生成式AI产品和服务“个人信息和用户权益保护”专项评估，重点关注数据处理服务环节的合规性与安全性。这一举措标志着我国生成式AI治理体系迈入精细化、实操化的新阶段。

一、专项评估背景：生成式AI数据处理服务的风险凸显

生成式AI产品和服务依赖于海量数据的采集、训练、推理和优化，数据处理贯穿全生命周期。在数据处理服务中，主要风险包括：

1. 数据来源合规性存疑：部分模型训练数据未经有效授权，包含个人敏感信息或受版权保护的内容；
2. 数据泄露与滥用风险：用户输入信息可能被留存、二次利用或用于模型迭代，缺乏透明告知与控制机制；
3. 数据主体权利响应不足：用户难以行使删除、更正、撤回同意等个人信息权利；
4. 数据跨境与再委托处理不规范：涉及委托处理、联合处理或跨境传输时，安全评估和合同约束不到位。

专项评估旨在通过标准化的测试与评价，帮助企业识别数据处理服务中的薄弱环节，建立健全个人信息保护机制，提升用户权益保障水平。

二、评估重点：聚焦数据处理服务全链条

本次专项评估围绕“个人信息和用户权益保护”主题，针对生成式AI产品和服务的数据处理服务提出多维度要求，主要评估内容包括：

1. 数据处理合法性基础
- 是否明确告知用户数据收集目的、方式与范围，并取得有效同意；
- 训练数据来源是否合法，是否建立数据来源合规审查机制；
- 涉及敏感个人信息处理时，是否履行单独同意和必要性说明。

2. 数据处理透明性与可控性
- 是否提供清晰的数据处理规则（如隐私政策、模型卡），使用户了解其数据如何被使用；
- 是否为用户提供数据查询、更正、删除、撤回同意等权利行使渠道；
- 是否实现用户输入数据的隔离存储与访问控制，避免未经授权的模型记忆或泄露。

3. 数据处理安全性与稳定性
- 数据采集、传输、存储、使用、销毁等环节是否采取有效加密、脱敏、访问控制等安全措施；
- 是否建立数据安全事件应急预案和数据泄露通知机制；
- 委托处理、联合处理或跨境传输时，是否进行安全评估并签订数据保护协议。

4. 用户权益影响与算法治理
- 是否对生成内容进行标识，防止虚假信息误导用户；
- 是否建立用户投诉与反馈渠道，及时响应权益诉求；
- 是否针对未成年人等特殊群体采取额外保护措施。

5. 数据处理服务的持续优化
- 是否定期开展个人信息保护影响评估（PIA）和安全审计；
- 是否建立数据处理活动记录制度，实现全流程可追溯；
- 是否将用户权益保护要求嵌入产品设计（Privacy by Design）。

三、评估意义：推动数据处理服务从“被动合规”走向“主动治理”

专项评估的启动对生成式AI产业具有多重积极意义：

• 对企业而言，评估提供了清晰的数据处理服务合规框架，有助于降低法律风险，增强用户信任，提升产品市场竞争力；
• 对行业而言，通过树立标杆案例和最佳实践，促进形成公平、透明、可信的生成式AI数据生态；
• 对监管而言，为后续政策制定和标准完善提供技术支撑和数据参考；
• 对用户而言，强化了个人信息和权益保护，推动生成式AI服务更安全、更可靠。

四、实施建议：构建数据处理服务合规体系

为顺利通过专项评估并切实提升保护水平，企业应重点推进以下工作：

1. 开展数据映射与风险评估：全面梳理数据处理活动，识别个人信息处理场景和风险点，形成数据清单和风险台账。
2. 完善制度与技术双保障：制定数据处理服务规范、隐私政策和用户协议，部署数据脱敏、加密、访问控制等技术措施。
3. 健全用户权利响应机制：建立便捷的在线权利申请入口，明确处理时限和反馈流程，确保用户权利得到及时保障。
4. 强化供应链与合作伙伴管理：对数据服务商开展尽职调查，通过合同约定数据处理边界和保护义务，监督其合规履约。
5. 拥抱持续评估与改进：将专项评估要求融入日常合规管理，定期开展自查和培训，培育企业内部数据保护文化。

###

中国信通院启动的生成式AI产品和服务“个人信息和用户权益保护”专项评估，尤其是对数据处理服务的重点关注，为行业提供了可操作、可验证的合规指引。在生成式AI技术快速迭代的背景下，抓住数据处理服务这一关键环节，就是抓住了用户权益保护的“牛鼻子”。各类企业应以此为契机，主动完善数据处理服务治理体系，共同推动生成式AI在安全、可信的轨道上行稳致远。

随着评估工作的深入开展和标准体系的持续完善，生成式AI的数据处理服务有望实现从合规底线到价值创造之间的跃升，让技术创新与用户权益保护相得益彰。