AI法治探究|人工智能治理的核心法规体系解析
本文为"AI法治"系列开篇之作。若欲探究人工智能领域之监管制度，首要任务在于厘清其规范体系之总体架构。我国人工智能治理之基本框架，乃由《网络安全法》《数据安全法》《个人信息保护法》三部基础性法律，连同《网络数据安全管理条例》一部行政法规共同搭建而成，此即业内所称之"三法一条例"框架。
——本平台将系统推出人工智能法律专题内容，诚挚欢迎诸位读者关注、提问、评议与传播。
实操层面，企业推进人工智能合规建设时，通常径直查阅《生成式人工智能服务管理暂行办法》《互联网信息服务深度合成管理规定》《人工智能生成合成内容标识办法》等专门性规章。此种思路方向正确，然在适用位序上尚需斟酌。
专项规章所调整之对象，乃人工智能业务之特定运行模式；而"三法一条例"所规制者，乃支撑人工智能业务运行之三大基础性要素——网络架构、数据资源与个人信息。任一人工智能应用，剖析其内部结构，无非构筑于网络与信息系统之上、凭借数据完成模型训练、在处理流程中触及个人信息。专项规章调整业务"楼层"，三法一条例则夯实"地基与梁柱"——基础要素若不合规，构筑其上之业务模式即便吻合专项规范，亦难以认定其合法性。
基于此，本系列采用如下分析路径：凡涉及人工智能合规议题，应先行置入"三法一条例"之规范框架内加以审视，继而考察专项规则之叠加适用问题。
人工智能模型之训练、部署及对外提供服务，均依托网络与信息系统作为物理承载。网络安全法所确立之内容，即该承载层面之安全保障义务，涵盖网络运行安全机制、关键信息基础设施保护机制、网络安全等级保护机制等具体制度。
尤须关注2025年10月28日全国人大常委会《关于修改〈中华人民共和国网络安全法〉的决定》之施行（自2026年1月1日起生效）：修订后新增之第二十条，系首次于法律层面对人工智能作出专门性规定，明确国家鼓励人工智能基础理论研究及关键技术攻关、推动训练数据资源与算力基础设施建设、强化风险监测评估与安全监管。本次修订同步重构法律责任体系，对导致关键信息基础设施丧失主要功能等特别严重后果之违法行为，罚款上限提升至一千万元。人工智能治理由此正式纳入基础性法律之规制轨道。
数据安全法之规制客体为数据处理活动，其核心机制为数据分类分级保护与重要数据保护。针对人工智能企业，该法所回应之核心命题为：训练语料是否构成重要数据、是否应当实施数据安全风险评估、是否受数据出境安全管理机制之约束。
人工智能属数据密集型应用——大模型训练涉及规模庞大之语料库，其中可能夹杂地理信息、行业运行数据等涉及国家安全之内容。数据处理规模愈大，数据安全法之适用强度愈高，此乃人工智能合规区别于一般互联网业务之显著特征。
个人信息保护法以个人信息处理活动为调整对象，以处理活动之合法性、正当性、必要性、诚信原则及"告知—同意"规则为制度基石。人工智能场景下，该法之适用频率居于首位：语料抓取是否触及个人信息之收集、利用用户对话数据从事二次训练是否获得授权、自动化决策场景下个人是否享有拒绝权与说明请求权、训练数据混入敏感个人信息应如何处置——上述种种，均属该法之规制范畴。
个人信息保护法系人工智能业务中触发频次最高、亦最易出现违法情形之法律，其根源在于：当代人工智能之输入端与输出端，两端连接之主体皆为自然人。
上述三部法律之规范定位为原则性与框架性条款，诸多制度仅设置接口而未充分展开。《网络数据安全管理条例》（2024年颁布，自2025年1月1日起实施）以行政法规之位阶，就三法共同规制之领域——网络数据处理活动——整合为一套具备操作性的实施细则。
该条例之制度功能定位于"协调衔接"：明确重要数据处理者年度风险评估义务之履行路径、网络数据跨境安全管理之操作流程、大型网络平台服务者之特定义务边界。该条例同时为三部法律提供配套实施规范，构成三法在网络数据维度之统一配套规定。
三法一条例之相互关系，可凝练为"纵向层级、横向协同"。
纵向体现为法律位阶关系：三法为法律，条例为行政法规，依《立法法》之规定，行政法规不得与法律相抵触，条例诸多条款亦明示其上位法依据。适用过程中若条文产生冲突，依上位法优于下位法之原则处理。
横向体现为规制协同关系：三法之间并非替代关系，而系对同一数据处理行为之不同规制维度。同一项人工智能训练数据集，可能同时引发三部法律之适用：含个人信息者，适用个人信息保护法；构成重要数据者，适用数据安全法；依托网络设施存储传输者，适用网络安全法。三部法律并行适用、各自独立评价，不因符合其一而当然免除其余。
另须厘清一常见误区：网络安全法与个人信息保护法均涉及个人信息，二者边界何在？可作如下理解——网络安全法从系统安全之维度，课以个人信息之安全保管义务（防泄露、防篡改、防损毁）；个人信息保护法从处理行为之维度，课以处理活动之正当性义务（获取同意、限定目的）。前者侧重"保管"，后者侧重"处分"。
落实到实操层面，凡遇人工智能合规问题，宜遵循下列审查顺序：
此顺序之内在逻辑为：先定性、再定级、后定载体、终定业务。实操中多数人工智能合规风险，症结并非第五步专项规则不明，而在于第一、二步尚未启动——训练数据之构成尚未厘清，遑论开展合规评判。
"三法一条例"构成人工智能监管之分析框架：网络安全法规制载体安全，数据安全法规制数据宏观安全，个人信息保护法规制个人信息权益，条例提供操作细则——四者纵向有位阶、横向有分工，系并行适用而非择一适用。
本系列后续将沿此分析框架逐层深入：训练数据之合规路径、人工智能生成内容之标识义务、算法备案实操、《人工智能拟人化互动服务管理暂行办法》等新规解读。规范基础既已确立，专项规则方有参照坐标。
编者简介：
唐陈潇 律师
风险提示： 1.本文系一般性法律信息梳理，不构成对具体事项之法律意见，亦不构成任何明示或默示的承诺。人工智能监管规范更新较快，个案合规方案请结合具体业务场景，经执业律师专业判断后确定。 2.本文如有错误或不足之处，我们欢迎您指正和提供建议。