上篇主要从全球主要国家地区（中国、美国、欧盟）的AIGC监管立法，还有从中国《AIGC安全要求》合规要点的解读，进行了相关的梳理和论述。我们将在下篇（本篇），重点梳理中国企业AIGC业务出海的合规风险，并就企业如何开展合规管理工作，给出相应的建议。
四、重点关注：AIGC业务出海合规风险
AIGC正在成为搅动经济和市场的一个关键因素。据世界经济论坛发布的《2023年未来就业报告》测算，未来5年全球企业预计创造约6900万个新的工作岗位。增长最快的工作类型绝大多数由人工智能和数字化驱动，由此会产生大量新兴产业和创新型AI公司。
而中国作为全球AIGC市场的主要组成，同样具有强大的技术支撑和广阔的应用市场，据预测，2030年中国AIGC市场规模将实现万亿量级。面对如此强势的产业发展形势，企业更加需要关注未来业务出海的合规风险。我们从AIGC目前出海的主要合规风险角度，梳理如下：
（一）警惕“借花献佛”风险：境外GP接口
AIGC的应用很多时候都需要借助境外端口才能平稳运行，显示出更高的性能。有的企业调用了国外GP接口，或只是简单将国外端口简单包装后便直接对内提供服务，而该行为会涉及数据跨境，以及国内监管政策的问题，因此就可能面临被网信办下架产品或服务的风险。
更严重的例如：被传输跨境的数据里包括企业内部高管和商业秘密，而通过境外接口使得这些信息被境外人员或者组织获取，可能会危及企业内部高管的人身安全，或公司被以专利侵权的名义被告，甚至关系到企业的生死存亡。或是数据本身较为敏感，例如大规模的生物医疗或人类基因数据，甚至是高铁调度信息或一般类型的国家情报，这样的数据会有上升为国家安全的风险。
（二）知识产权合规风险：关注开源算法/模型使用
在知识产权方面，首先AIGC的工作原理便是利用其独特的语言模型进行计算机意义上的交互。以ChatGPT-4为例，实现其强大沟通能力的是不同硬件上运行着的大量副本，副本之间在学习内容方面相互独立，它们同时学习不同内容的东西，然后通过相互沟通来实现内容的产出。
因此，在最初的数据学习阶段，AIGC会利用可能涉及他人著作权的内容，而这一行为需要获得著作权人的许可。但由于AIGC本身没有识别侵权内容的能力，且涉及的内容范围过于广泛和复杂，在面对某些非法复制、改编、传播了其他著作权保护范围的内容时，很可能被卷入知识产权侵权的困境中。因此需要特别注意并遵守知识产权相关法律法规，确保生成的语音内容不侵犯他人的知识产权，如版权、专利、商标等。确保语音合成服务的合法性和合规性。
另外，当前使用较多的是开源算法或模型，企业需要建立对开源软件和协议的合规审查机制，识别和排查使用开源算法或模型的知识产权条款风险。根据Linux Foundation提出的开源协议“端到端”合规审查措施，需要具体包括以下步骤：
*来源：Linux Foundation
（三）数据跨境传输风险
目前企业经营的任何流程和环节，都伴随着大量的数据传输。我国《网络安全法》《数据安全法》《个人信息保护法》等法律法规中对数据跨境的问题作出了规定。在最新的《促进和规范数据跨境流动规定》中，为减轻企业的合规负担并在某些程度下实现数据的自由流动，仅在特殊情况下要求数据处理者进行报批。
但其余企业仍需进行安全评估，并就有关外商投资企业所属的产业部门、是否涉及重要数据、跨境数据的规模和敏感度，以及涉及多少个人信息等要素进行衡量。而企业从自身合规的角度出发，也应当就上述事项提前进行自我评估，以确保数据跨境的合规性。
（四）出口管制风险：芯片、算力、AI技术
在关键技术领域如芯片制造，美国作为技术领域的领军者，其政策调整往往对全球供应链格局产生深远影响，而这对相关行业企业的策略决策具有重要指引意义。
自2021年以来，美国政府密切关注在军事领域中应用人工智能的行为。在2021年11月，美国国防部发布了一份年度报告，其中提到了在网络领域使用人工智能技术的相关情况，并表示将持续跟进这些技术在网络监控、预警和防御方面的应用。
2022年9月，美国政府告知英伟达、AMD公司，并限制其向中国销售先进制程芯片。根据美国政府的要求，英伟达公司对中国（包括中国香港）销售A100和H100两款GPU芯片均须获得出口许可，且未来研发的所有峰值性能和芯片间I／O性能均大于或等于A100阈值的先进计算芯片、包含上述芯片的任何系统均落入限制范围。
针对上述情况，涉及AI、云计算、物联网、自动驾驶技术、数据处理和游戏的ICT企业必须加强对供应链的监控，评估所需高性能芯片是否受到半导体新规的影响。如果新规定对这些企业购买GPU芯片产生实际冲击，应评估可能受影响的项目范围、数量和盈利能力，并尽快考虑采用国产替代方案。对于供应链中涉及具有AI功能的消费级半导体的企业，建议深入评估是否可以适用“通知式先进计算”（NAC）的许可例外。此外，即使企业供应链中尚不涉及被归类为受严格出口管制的3A090物项，也应该密切关注是否可能被分类为半导体新规中新增的其他ECCNs，并了解相应的出口许可要求。
五、未雨绸缪：AIGC合规工作落地建议
（一）开展风险排查和自评估
AIGC合规工作体系建设应先从企业AIGC风险排查和评估开始，整体掌握公司的业务需求和发展规划，同时梳理风险项和评估风险等级，形成风险评估报告。
该报告作为合规工作的开始，应尽量覆盖所有AIGC相关要素：
1. 从流程上，应从产品业务运行和启动到隐私政策的设置、权限申请，再到评估处理结果的全部环节；
2. 从内容上，应注意个人信息保护条款、第三方数据处理条款和平台的具体内容；
3. 从职能上，应注意委托处理和共同处理的责任划分、网络安全保障的专业部门或人员等。针对敏感问题直击要点，识别风险。
（二）研究开发阶段的合规
而在合规管理的标准层面，由于各公司内外部体系庞杂且差异较大，AI系统或数据的全生命周期的合规管理的工作也颇具挑战性。
在研究开发阶段，应重点关注训练数据的来源合法性和质量的保证：
1. 合规义务清单：针对来源合法，企业应完善合规义务清单，关注知识产权与个人信息的合规要求。设置合规审核要点，将合规要求嵌入到生成式AI系统开发流程中；
2. 数据标注：针对质量的保证，应制定实施清晰、具体、可操作的数据标注规则；
3. 数据质量：开展数据标注质量评估工作，并抽样核验标注内容的准确性；
4. 合规培训：并对数据标注人员开展合规培训，提升相关人员的合规意识与能力；
5. 过程记录：做好义务履行记录管理，针对义务已遵守的符合性内容进行记录，并确保记录内容完整、真实、准确；
6. 使用者权益保障：需要制定并与使用者签订服务协议，明确双方权利义务。如若遇到产品使用会涉及处理用户个人信息的，还应在此阶段结合产品的定位，明确受众群体、范围，评估拟处理个人信息的最小必要性，并为使用者建立个人信息权利行权路径与机制。
（三）部署应用阶段的合规
1. 内容标识：在部署应用阶段，应按照《互联网信息服务深度合成管理规定》对图片、视频等生成内容进行标识，对使用深度合成服务所生成或者编辑的信息内容，应当采取技术措施，添加不影响用户使用的标识。对于提供深度合成服务，并可能导致公众混淆或者误认的，应当在生成或者编辑信息内容的合理位置、区域进行显著标识，向公众提示深度合成的情况；
2. 算法评估与备案：对于属于提供具有舆论属性或者社会动员能力的AIGC产品与业务，应当配合其按照国家有关规定开展安全评估，并履行备案和变更、注销备案手续，并在提供服务之日起十个工作日内通过互联网信息服务算法备案系统填报服务提供者的名称、服务形式、应用领域、算法类型、算法自评估报告、拟公示内容等信息，履行备案手续。
*图示：网信办互联网信息服务算法备案系统平台（https://beian.cac.gov.cn/#/index）
（四）事后保障和监督
1. 使用活动监控：企业需要建立合规风险监测机制，对于使用者行为的管控；
2. 违法内容处置：对于所发现的违法内容，应当及时采取停止生成、停止传输、消除等处置措施，采取模型优化训练等措施进行整改，并向有关主管部门报告。而对于使用者利用生成式人工智能服务从事违法活动的，应当依法依约采取警示、限制功能、暂停或者终止向其提供服务等处置措施，保存有关记录，并向有关主管部门报告；
3. 建立投诉举报机制：企业需要建立相应机制，建立健全投诉、举报机制，设置便捷的投诉、举报入口，公布处理流程和反馈时限，及时受理、处理公众投诉举报并反馈处理结果。
六、结语
风起云涌天宇宽，面势更改番番新。再踏层峰辟新天，更扬云帆立潮头。AIGC作为未来一大产业发展突破口，承载着一家企业、一个行业，甚至是一个国家的发展方向和命运。我们希望全球共荣，携手共创AIGC时代的兴荣，但是地缘政治的影响下，目前对于企业“走出去”特别是新兴技术和先进算法/芯片的风险把控，仍然是企业需要重点关注的“阴影”。在国家大力发展“新质生产力”的浪潮下，企业更加应当以合规助力发展，以合规创造价值，建立有效的合规风险识别机制和管控机制。我们也愿意与有志者同行，探讨更多与AIGC、企业合规治理有益的话题。
来源：通商律师事务所
作者：郭小明，合伙人，深圳办公室；业务领域：合规与政府监管、知识产权、商事诉讼、商事仲裁；邮箱：guoxiaoming@tongshang.com
特别声明：本文和其内容仅代表作者本人观点，不视为通商律师事务所或其律师的法律意见或建议。