1GB/TXXXXX—XXXX生成式人工智能技術應用社會影響服務提供者合規(guī)管理指南本文件圍繞生成式人工智能技術應用的社會影響，為服務提供者組織、建立、開發(fā)、實施、評價、維護和改進有效的合規(guī)管理體系提供了指南。本文件適用于生成式人工智能服務提供者，可為正向引導生成式人工智能技術應用的社會影響提供指導。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T35770—2022合規(guī)管理體系要求及使用指南GB/TXXXXXXX生成式人工智能技術應用社會影響評估指南3術語和定義GB/T35770—2022界定的以及下列術語和定義適用于本文件。3.1生成式人工智能generativeartificialintelligence，GenAI生成文本、圖片、音頻、視頻、產品設計、軟件代碼等內容的人工智能模型及相關產品服務。3.2社會影響socialimpact對個人、群體、組織及經濟社會系統可能產生或已產生的影響。注：本文件所指的社會影響，既包括生成式人工智能輸出內容帶有的3.3服務提供者serviceprovider以交互界面、可編程接口等形式提供生成式人工智能服務的組織或個人。4服務提供者環(huán)境4.1理解服務提供者及其環(huán)境服務提供者宜圍繞生成式人工智能技術應用的社會影響，確定影響其合規(guī)管理能力的內外部事項。包括但不限于：——相關生成式人工智能服務的業(yè)務模式、技術水平；——生成式人工智能服務提供相關的適用法律、行政法規(guī)、部門規(guī)章及其他規(guī)范性文件要求；——監(jiān)管機構對生成式人工智能服務的司法解釋或對其有影響的政策、指南和決定；GB/TXXXXX—XXXX2——與生成式人工智能服務相關的行業(yè)慣例、技術倫理、道德規(guī)范等；——服務提供者的組織架構、管理方針、業(yè)務流程和資源等；——服務提供者的合規(guī)文化。4.2理解相關方的需要和期望服務提供者宜確定與生成式人工智能服務有關的相關方，宜從以下三個方面考慮和評估生成式人工智能技術應用的社會影響（見GB/TXXXXXXX《生成式人工智能技術應用社會影響評估指南》第5章——對個體與群體的影響：與人的交互過程中對人身心健康、行為軌跡、價值觀念及社會關系的影——對組織與行業(yè)的影響：對組織與行業(yè)運行的價值變動、組織結構、運行模式及職能分工產生的影響；——對經濟社會系統產生的影響：可能產生或已產生及引致的政治效能、經濟效用、社會效應、文化效應和生態(tài)效果。4.3確定生成式人工智能技術應用社會影響合規(guī)管理體系的范圍服務提供者宜確定社會影響合規(guī)管理體系的邊界和適用性，以確定其范圍。注：生成式人工智能技術應用社會影響合規(guī)管理的范圍，是指合規(guī)管服務提供者宜根據以下內容確定合規(guī)管理體系的范圍:——4.1提及的各種外部和內部事項；——4.2提及的相關方需要和期望；——6.2提及的合規(guī)義務；——6.3提及的合規(guī)風險。服務提供者宜將社會影響合規(guī)管理的范圍文件化，以便明確服務提供者的合規(guī)管理基礎和邊界。4.4生成式人工智能技術應用社會影響合規(guī)管理及其過程服務提供者宜按本文件要求，建立、實施、保持和持續(xù)改進社會影響合規(guī)管理，包括所需過程和相互作用：——明確所有與社會影響合規(guī)相關的過程，并識別這些過程的輸入和預期輸出；——將社會影響合規(guī)的流程和程序進行文件化，確保所有相關人員都能查詢和理解；——確保社會影響合規(guī)過程在服務提供者內部得到有效實施，并與服務提供者的業(yè)務目標和戰(zhàn)略相一致；——為社會影響合規(guī)過程分配必要的資源，包括人力、技術和財務資源；——明確各過程的職責和權限，并確保相關部門和員工了解其在社會影響合規(guī)管理中的角色；——在過程中嵌入風險管理措施，確保能夠識別、評價和控制社會影響合規(guī)風險；——定期監(jiān)督和評審社會影響合規(guī)過程，確保其持續(xù)有效，并根據業(yè)務環(huán)境的變化進行調整；——基于績效評價和有效性評價的結果，不斷尋求改進機會，提升社會影響合規(guī)管理的成熟度和效合規(guī)管理體系要求及使用見GB/T35770—2022《合規(guī)管理體系要求及使用指南》。5領導作用GB/TXXXXX—XXXX35.1領導作用和承諾5.1.1治理機構和最高管理者治理機構和最高管理者宜證實其對合規(guī)管理的領導作用和承諾，實現社會影響合規(guī)管理的有效性。注1：治理機構是對服務提供者的活動、治理、方針負有最終職責和權限的一個人或一組人。最高管理者向其報告并對其負責。治理機構可能包括但不限于董事會注2：最高管理者是在最高層指揮和控制服務提供者的一個人或一組人。如果社會影響合規(guī)管理體系的范圍僅覆蓋服務提供者的某個組成部分，那么最高管理者是指揮或控制該部分5.1.2社會影響合規(guī)文化治理機構和最高管理者宜通過自身的行為和決策，推廣社會影響合規(guī)文化、樹立榜樣，提高服務提供者所有人員的社會影響合規(guī)意識。5.2社會影響合規(guī)方針治理機構和最高管理者宜制定、實施和保持社會影響合規(guī)方針，并確保方針：——與服務提供者的經營發(fā)展相適應，且能夠支持服務提供者的戰(zhàn)略方向；——清晰地表達對于遵守法律法規(guī)的承諾，以及對內部合規(guī)行為的期望；——提及并描述社會影響合規(guī)職能，包括合規(guī)管理機構的職責；——明確不遵守社會影響合規(guī)義務、方針、過程和程序可能帶來的后果；——鼓勵相關人員提出與合規(guī)相關的疑慮，確保對提出疑慮行為保密并且禁止任何形式的報復；——通過具體行動體現其重要性，并得到有效的實施和執(zhí)行；——作為文件化信息，易于所有人員理解其原則和意圖，視情況，可被相關方獲取。5.3崗位、職責和權限5.3.1治理機構和最高管理者治理機構和最高管理者宜明確相關崗位的職責和權限，以確保社會影響合規(guī)管理體系符合本文件。治理機構宜：——根據社會影響合規(guī)目標的實現情況對最高管理者進行考核；——對最高管理者運行社會影響合規(guī)管理的情況進行監(jiān)督。最高管理者宜：——為建立、制定、實施、評價、維護和改進社會影響合規(guī)管理配置足夠且適當的資源；——確保建立及時有效的合規(guī)管理方案，以及績效報告制度；——確保戰(zhàn)略和運行目標與社會影響合規(guī)義務相協同；——確保和維護問責機制，包括合規(guī)調查和不合規(guī)懲戒；——推動社會影響合規(guī)績效與人員績效考核掛鉤。5.3.2合規(guī)管理機構服務提供者已有合規(guī)管理機構的，宜在其職能范圍中增加專門負責社會影響合規(guī)管理的職能，并為其配置必要的資源。尚不具備條件設立專門的社會影響合規(guī)管理機構的服務提供者，可由相關部門（如法律事務部門、風險防控部門等）履行社會影響合規(guī)管理職責，同時明確合規(guī)管理負責人。確不具備條件的，也可將部分職責外包給外部專業(yè)人員或機構。相關職責進行外包的，不能免除服務提供者的法律責任和合規(guī)義務。GB/TXXXXX—XXXX4社會影響合規(guī)管理機構或者相關人員、部門宜能有效完成社會影響合規(guī)管理工作，并具備以下條件：——獲得必要的管理權限，包括但不限于接觸所有因社會影響合規(guī)管理需要接觸的人員、文件信息和數據的權限；——獲取足夠的資金、設施設備等資源；——配備具有適當能力和資質的人員，以執(zhí)行社會影響合規(guī)管理任務；——擁有理解社會影響合規(guī)問題和法律法規(guī)要求的專業(yè)知識和經驗；——在服務提供者內部具有客觀執(zhí)行社會影響合規(guī)管理活動的獨立性，能夠影響決策過程，并推動合規(guī)措施的實施。社會影響合規(guī)管理機構或者相關人員、部門履行的職責包括但不限于：——制定服務提供者內部社會影響合規(guī)制度，并推動其貫徹實施；——推進識別社會影響合規(guī)義務；——組織社會影響合規(guī)風險評估；——向相關人員提供社會影響合規(guī)管理以及社會影響合規(guī)培訓、建議和指導；——對合規(guī)舉報進行管理、調查及核實，確保適當處理；——定期或適時向最高管理者作社會影響合規(guī)管理運行情況的報告。5.4業(yè)務部門在數據處理、模型訓練、模型推理與部署、結果生成、服務提供等過程中，服務提供者相關業(yè)務部門負責部門范圍內的社會影響合規(guī)管理工作，主要包括：——制定部門相關業(yè)務社會影響合規(guī)管理方案，將社會影響合規(guī)管理的要求融入業(yè)務流程；——組織或配合合規(guī)管理機構進行合規(guī)風險識別和隱患排查，鼓勵并支持本部門人員對服務提供者內部可能違反生成式人工智能相關法律法規(guī)規(guī)定的事項進行內部舉報；——參與合規(guī)管理相關事件和問題的處理、解決和整改。5.5所有人員所有人員宜通過下列方式對其職責范圍內的社會影響合規(guī)管理工作負責：——遵守服務提供者的合規(guī)義務、方針、過程和程序；——充分了解自身崗位與合規(guī)的關系，以及如何在日常工作中履行合規(guī)義務；——報告合規(guī)管理疑慮、問題和漏洞；——按照要求參加合規(guī)管理培訓，充分了解合規(guī)管理的重要性和相關知識。6策劃6.1合規(guī)目標及其實現的策劃服務提供者宜確定可測量、可監(jiān)督、適時評價和更新的社會影響合規(guī)目標，并作為可獲取的文件化信息，以：——確保社會影響合規(guī)管理能夠實現其預期結果；——確保履行社會影響合規(guī)義務；——預防和減少不合規(guī)行為帶來的不利影響；——實現社會影響合規(guī)管理的持續(xù)改進和優(yōu)化；6.2合規(guī)義務識別GB/TXXXXX—XXXX5合規(guī)義務是服務提供者強制性遵守的涉及社會影響合規(guī)的要求，以及自愿選擇遵守的涉及社會影響合規(guī)的要求。強制性遵守的要求，通常來源于《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律、法規(guī)、規(guī)章及規(guī)范性文件等。自愿選擇遵守的要求，通常來源于服務提供者規(guī)章制度，相關標準、準則，簽訂的合同、協議，公開作出的承諾等。服務提供者宜系統識別來源于數據處理、模型訓練、模型推理與部署、結果生成、服務提供等活動過程中的社會影響合規(guī)義務，并評估其對運行所產生的影響。經營者宜建立過程以：——識別新增及變更的社會影響合規(guī)義務，包括對法律法規(guī)、政策文件以及國家標準的持續(xù)跟進、現有合規(guī)義務的定期審查，以及評估對業(yè)務變更影響；——根據已識別社會影響合規(guī)義務對經營者的影響程度進行分類和管理，制定社會影響合規(guī)義務清單，明確每項義務的具體要求和相關責任部門；——根據變更的社會影響合規(guī)義務，及時更新社會影響合規(guī)管理過程，并向相關人員傳達和培訓。社會影響合規(guī)義務主要包括技術與資質合規(guī)義務，服務提供者行為合規(guī)義務，生成內容合規(guī)義務三種類型，常見的社會影響合規(guī)義務清單見附錄A。6.3合規(guī)風險評估及應對服務提供者宜基于合規(guī)風險評估，識別、分析和評價其合規(guī)風險，社會影響合規(guī)風險評估宜：——與服務提供者社會影響合規(guī)目標保持一致；——根據GB/TXXXXXX《生成式人工智能技術應用社會影響評估指南》中所提出的社會影響識別框架，結合自身應用場景，對技術應用可能存在的對個體與群體的影響、對組織與行業(yè)的影響、對經濟社會系統產生的影響進行風險評估；——考慮外包過程和第三方關系的合規(guī)風險；——關注因合規(guī)義務履行不到位、方法不當或管理缺失所可能引發(fā)的法律責任、社會輿情、用戶信任下降等負面后果；——根據負面后果確定風險級別，優(yōu)先處理風險級別較高的風險；——保留有關風險評估和應對措施的文件化信息；——定期評估合規(guī)風險，并在內外部環(huán)境發(fā)生重大變化時進行重新評估。常見的合規(guī)風險清單見附錄B。7.1資源服務提供者宜明確并提供建立、實施、維護和持續(xù)改進社會影響合規(guī)管理所需的人力、物力和財力等資源。7.2能力服務提供者宜確定在其控制下從事生成式人工智能開發(fā)、部署、應用工作的人員：——具有必要的專業(yè)能力及合規(guī)意識；——根據崗位性質、風險等級以及不斷變化的內外部環(huán)境，定期、及時接受充分和適當的社會影響合規(guī)培訓；——在擁有適當教育、培訓或經驗的基礎上能夠恰當地履行社會影響合規(guī)義務；——在聘用、調動或者晉升時遵守社會影響合規(guī)義務、方針、過程和程序。GB/TXXXXX—XXXX67.3溝通協作服務提供者宜建立并暢通與社會影響合規(guī)管理工作相關的溝通渠道。制定合規(guī)義務、方針、過程和程序時，可成立跨部門制定小組以確保全面性和適用性。對于復雜或專業(yè)性強且存在重大合規(guī)風險的事項，可以向合規(guī)管理機構咨詢，必要時及時向最高管理者匯報。面對合規(guī)管理機構的合規(guī)檢查或調查，各業(yè)務部門宜積極溝通并予以配合。7.4文件化信息服務提供者宜通過信息化手段，保存、更新、完善社會影響合規(guī)管理體系相關的文件化信息，以實——記錄和保存相關信息，實現信息追溯、集成與共享；——優(yōu)化社會影響合規(guī)管理流程，包括對合規(guī)義務識別、風險評估、能力建設和管理運行等方面相關數據和信息的收集、分析；——對服務提供行為及內容的合規(guī)管理情況進行實時在線監(jiān)控和風險分析。服務提供者宜注重業(yè)務流程和信息化工具的保密性和安全性，制定詳細保密和安全方案。8管理運行8.1管理方案服務提供者宜建立社會影響合規(guī)管理方案，并依據法律法規(guī)變化和監(jiān)管動態(tài)，及時將外部有關社會影響合規(guī)要求轉化為內部文件。社會影響合規(guī)管理方案包括但不限于以下內容：——明確服務提供者社會影響合規(guī)方針、目標和總體要求的綱領性文件；——明確社會影響合規(guī)義務和為履行義務所建立機制的規(guī)章類文件；——指導具體合規(guī)管理活動的工作指南和操作程序等實施類文件。8.2合規(guī)審查服務提供者宜結合社會影響合規(guī)義務和合規(guī)風險類別和等級，在相關業(yè)務環(huán)節(jié)、崗位、流程中設置審查機制。社會影響合規(guī)審查機制包括但不限于以下措施：——建立合規(guī)審查機制，確保關鍵業(yè)務活動和決策經過合規(guī)審查；——基于風險評估的結果，確定審查的重點領域和流程，特別關注高風險業(yè)務環(huán)節(jié)；——在關鍵業(yè)務流程中嵌入審查點，確保合規(guī)審查成為常規(guī)操作的一部分；——制定清晰的審查標準和程序，為合規(guī)審查提供一致性和可預測性；——促進跨部門協作，確保審查過程中涉及的所有部門和團隊清楚角色和責任；——記錄審查結果和任何采取的應對措施，確保有明確的文檔記錄和追蹤機制；——根據業(yè)務性質和風險水平，確定審查的頻率，并保證審查的及時性。8.3合規(guī)咨詢服務提供者宜建立社會影響合規(guī)管理咨詢機制，明確業(yè)務部門向合規(guī)管理機構咨詢合規(guī)風險的方式和流程。合規(guī)管理機構可根據需要聘請外部專家或第三方專業(yè)機構協助開展合規(guī)咨詢。8.4合規(guī)舉報及調查服務提供者宜建立社會影響合規(guī)管理內外部舉報及調查機制。GB/TXXXXX—XXXX7服務提供者宜暢通舉報渠道，對舉報人的信息保密，明確支持匿名舉報并鼓勵實名舉報。宜明確對舉報行為的鼓勵與支持，對可能存在的打擊報復行為的懲處，以及設置相應方法對舉報人及舉報內容進行嚴格保護和保密。服務提供者宜明確社會影響合規(guī)管理調查處置機制的啟動條件、開展部門、調查流程和處置措施，明確不當行為的根源、合規(guī)管理漏洞和責任缺失的原因，包括最高管理者和治理機構之間的責任缺失。涉及專業(yè)技術和知識時，可連同法務、風控、財務、人力、業(yè)務等部門共同參與調查或提供支持，或聘請外部專業(yè)機構開展調查服務。調查過程由具備相應能力的人員獨立進行，不受其他因素干涉。9評價及改進9.1情況監(jiān)控服務提供者宜建立社會影響合規(guī)管理情況監(jiān)控機制，結合業(yè)務流程和社會影響合規(guī)管理要求設置合理監(jiān)控節(jié)點，記錄和反饋數據處理、模型訓練、模型推理與部署、結果生成、服務提供全過程不同階段的合規(guī)義務完成情況。9.2績效評價服務提供者宜建立社會影響合規(guī)管理考核問責機制，將社會影響合規(guī)管理相關要求納入考核體系，明確考核問責主體、考核周期、要求、考核問責程序、獎勵與處罰措施。9.3有效性評價服務提供者宜建立社會影響合規(guī)管理有效性評價機制，梳理和識別重大或反復出現的合規(guī)風險和違規(guī)問題，制定處置方案。9.4合規(guī)報告服務提供者宜建立社會影響合規(guī)管理報告機制，并定期向最高管理者匯報合規(guī)管理情況。合規(guī)報告可以包括向第三方機構溝通和通報的事項、合規(guī)義務變更的影響、合規(guī)考核情況、可能不合規(guī)的情況及應對措施等。當可能發(fā)生主觀故意或重大過失的生成式人工智能技術應用違規(guī)行為時，及時向最高管理者匯報，并作出相應處置。9.5改進服務提供者宜在合法合規(guī)的前提下，主動公開其生成式人工智能技術服務的關鍵用途、潛在社會影響、合規(guī)保障措施及用戶提示機制，提升公眾的知情權與信任度。典型的不符合或不合規(guī)的現象，可參見附錄B。服務提供者宜確定產生不符合或不合規(guī)現象的原因，以避免其再次發(fā)生，如必要變更合規(guī)管理體系。服務提供者宜建立持續(xù)改進機制，結合用戶反饋、輿情監(jiān)測與評估結果，優(yōu)化技術應用流程與合規(guī)策略，確保合規(guī)管理具備動態(tài)響應能力。GB/TXXXXX—XXXX8（資料性）生成式人工智能技術應用社會影響的服務提供者主要合規(guī)義務生成式人工智能技術的服務提供者通常在技術與資質、服務提供者行為和生成內容方面需要符合相關義務。這些義務的履行與否會直接或間接地對個體與群體、組織與行業(yè)、經濟社會系統產生一定的社會影響。服務提供者宜根據技術水平和業(yè)務模式等識別自身合規(guī)義務。常見的社會影響合規(guī)義務包括以下方面。A.1技術與資質合規(guī)義務A.1.1依照《中華人民共和國網絡安全法》《中華人民共和國數據安全法》等法律法規(guī)的要求開展評估。A.1.2取得ICP許可及特定領域經營資質。A.1.3按照《互聯網信息服務算法推薦管理規(guī)定》履行算法備案和變更、注銷備案手續(xù)。A.1.4遵從優(yōu)化算力資源降低能耗的綠色發(fā)展技術路線。A.2服務提供者行為合規(guī)義務A.2.1確保訓練數據來源合法性。A.2.2制定數據標注規(guī)則并實施質量評估。A.2.3依法取得個人信息處理授權。A.2.4實施個人信息脫敏措施。A.2.5建立人工智能生成內容標識機制。A.2.6建立非法有害內容實時過濾機制。A.2.7建立反歧視數據清洗機制。A.2.8建立防止信息繭房等科技倫理事件審查機制。A.2.9建立防沉迷等未成年用戶保護機制。A.2.10建立弱勢群體救濟渠道。A.2.11建立跨境數據傳輸合規(guī)機制。A.3生成內容合規(guī)義務A.3.1及時處置用戶投訴的違規(guī)內容。A.3.2提供人工干預渠道。A.3.3定期開展算法偏見檢測。A.3.4建立生成內容中個人信息的過濾機制。A.3.5建立知識產權侵權內容過濾機制。GB/TXXXXX—XXXX9（資料性）生成式人工智能技術應用社會影響不符合或不合規(guī)現象典型的生成式人工智能技術應用社會影響不符合或不合規(guī)現象包括以下方面。B.1個體與群體方面身心健康：非法收集、留存、共享用戶數據；侵害肖像權、名譽權、榮譽權、隱私權等個人權益；用戶偏好數據濫用加劇隱私泄露。誘導未成年人沉迷、非理性消費以及認知錯誤。惡意公開他人隱私信息，煽動網絡暴力。行為軌跡：通過用戶歷史數據和算法推薦機制定制內容，強化用戶認知偏見，導致信息窄化、認知固化。通過個性化內容生成設計成癮性機制，過度占用用戶時間與注意力，或誘導用戶過度消費。價值觀念：內容生成邏輯不可解釋，掩蓋歧視性規(guī)則或隱含性別偏好等數據偏見。技術濫用導致用戶心理隔閡、產生隱私保護信任危機。社會關系：平臺主體責任缺失，對違法和不良信息清理不力，算法推薦系統存在漏洞，助長網絡戾氣。B.2組織與行業(yè)方面價值變動：以“輿論監(jiān)督”為名對企業(yè)進行敲詐勒索。組織結構：炮制社會熱點，制造輿論恐慌；偽造公權力機關文件，誤導公眾認知；假冒權威身份，偽造社會信息；炒作民生話題，擾亂社會秩序。強化信息繭房，導致心理障礙、認知偏差。B.3經濟社會系統方面政治效能：幫助生成、傳播各類非法、有害內容，以及利用人工智能實施各類犯罪活動。意識形態(tài)引導