GBT 47863-2026《生成式人工智能技术应用社会影响 服务提供者合规管理指南》

1生成式人工智能技术应用社会影响服务提供者合规管理指南1范围本文件提供了生成式人工智能服务提供者组织、建立、开发、实施、评价、维护和改进有效的技术应用社会影响合规管理体系的指导。本文件适用于生成式人工智能服务提供者开展生成式人工智能技术应用社会影响合规管理活动。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T35770合规管理体系要求及使用指南GB/T46800生成式人工智能技术应用社会影响评估指南3术语和定义生成式人工智能generativeartificialintelligence;GenAI生成文本、图片、音频、视频、产品设计、软件代码等内容的人工智能模型及相关产品服务。社会影响socialimpact对个人、群体、组织及经济社会系统可能产生或已产生的影响。注：本文件所指的社会影响，既包括生成式人工智能输出内容带有的社会属性可能产生的潜在应用社会影响，也包括技术应用已经产生的或引致的社会影响。服务提供者serviceprovider以交互界面、可编程接口等形式提供生成式人工智能服务的组织或个人。4服务提供者环境4.1理解服务提供者及其环境服务提供者宜围绕生成式人工智能技术应用的社会影响，确定影响其合规管理能力的内外部事项。包括但不限于：2——监管机构对生成式人工智能服务的司法解释或对其有影响的政策、指南和决定；——与生成式人工智能服务相关的行业惯例、技术伦理、道德规范等；——服务提供者的组织架构、管理方针、业务流程和资源等；——服务提供者的合规文化。4.2理解相关方的需要和期望——对个体与群体的影响：与人的交互过程中对人身心健康、行为轨迹、价值观念及社会关系的影响；——对经济社会系统产生的影响：可能产生或已产生及引致的政治效能、经济效用、社会效应、文化效应和生态效果。4.3确定生成式人工智能技术应用社会影响合规管理体系的范围服务提供者宜确定社会影响合规管理体系的边界和适用性，以确定其范围。注：生成式人工智能技术应用社会影响合规管理的范围，是指合规管理所涵盖的服务提供者活动、过程、地点以及合规管理本身的界限。服务提供者宜根据以下内容确定合规管理体系的范围：——4.1提及的各种外部和内部事项；——4.2提及的相关方需要和期望；—6.2提及的合规义务；—6.3提及的合规风险。服务提供者宜将社会影响合规管理的范围文件化，以便明确服务提供者的合规管理基础和边界。4.4生成式人工智能技术应用社会影响合规管理及其过程服务提供者宜按本文件要求，建立、实施、保持和持续改进社会影响合规管理，包括所需过程和相互作用：——明确所有与社会影响合规相关的过程，并识别这些过程的输入和预期输出；——将社会影响合规的流程和程序进行文件化，并确保所有相关人员都能查询和理解；——确保社会影响合规过程在服务提供者内部得到有效实施，并与服务提供者的业务目标和战略相一致；——为社会影响合规过程分配必要的资源，包括人力、技术和财务资源；——明确各过程的职责和权限，并确保相关部门和员工了解其在社会影响合规管理中的角色；——在过程中嵌入风险管理措施，确保能识别、评价和控制社会影响合规风险；——定期监督和评审社会影响合规过程，确保其持续有效，并根据业务环境的变化进行调整；——基于绩效评价和有效性评价的结果，不断改进优化，提升社会影响合规管理的成熟度和效果。合规管理体系要求及使用宜参考GB/T35770。35领导作用5.1领导作用和承诺5.1.1治理机构和最高管理者治理机构和最高管理者宜证实其对合规管理的领导作用和承诺，实现社会影响合规管理的有效性。注1:治理机构是对服务提供者的活动、治理、方针负有最终职责和权限的一个人或一组人。最高管理者向其报告并对其负责。治理机构可能包括但不限于董事会、董事会委员会、监事会等。注2:最高管理者是在最高层指挥和控制服务提供者的一个人或一组人。如果社会影响合规管理体系的范围仅覆盖服务提供者的某个组成部分，那么最高管理者是指挥或控制该部分的一个人或一组人。5.1.2社会影响合规文化治理机构和最高管理者宜通过自身的行为和决策，推广社会影响合规文化、树立榜样，提高服务提供者所有人员的社会影响合规意识。5.2社会影响合规方针治理机构和最高管理者宜制定、实施和保持社会影响合规方针，并确保方针：--与服务提供者的经营发展相适应，且能支持服务提供者的战略方向；——清晰地表达对于遵守法律法规的承诺，以及对内部合规行为的期望；——提及并描述社会影响合规职能，包括合规管理机构的职责；——明确不遵守社会影响合规义务、方针、过程和程序可能带来的后果；—鼓励相关人员提出与合规相关的疑虑，确保对提出疑虑行为保密并且禁止任何形式的报复；—--通过具体行动体现其重要性，并得到有效的实施和执行；———作为文件化信息，易于所有人员理解其原则和意图，视情况，可被相关方获取。5.3岗位、职责和权限5.3.1治理机构和最高管理者治理机构和最高管理者宜明确相关岗位的职责和权限，以确保社会影响合规管理体系符合本文件。治理机构宜：——根据社会影响合规目标的实现情况对最高管理者进行考核；——对最高管理者运行社会影响合规管理的情况进行监督。最高管理者宜：——为建立、制定、实施、评价、维护和改进社会影响合规管理配置足够且适当的资源；—确保建立及时有效的合规管理方案，以及绩效报告制度；—确保战略和运行目标与社会影响合规义务相协同；——确保和维护问责机制，包括开展合规调查和对不合规行为进行惩戒；——推动社会影响合规绩效与人员绩效考核挂钩。5.3.2合规管理机构服务提供者已有合规管理机构的，宜在其职能范围中增加专门负责社会影响合规管理的职能，并为其配置必要的资源。尚不具备条件设立专门的社会影响合规管理机构的服务提供者，可由相关部门(如法律事务部门、风险防控部门等)履行社会影响合规管理职责，同时明确合规管理负责人。确不具备条4件的，也可将部分职责外包给外部专业人员或机构。相关职责进行外包的，不能免除服务提供者的法律责任和合规义务。社会影响合规管理机构或者相关人员、部门宜能有效完成社会影响合规管理工作，并具备以下——配备具有适当能力和资质的人员，以执行社会影响合规管理任务；—-拥有理解社会影响合规问题和法律法规要求的专业知识和经验；——在服务提供者内部具有客观执行社会影响合规管理活动的独立性，能影响决策过程，并推动合规措施的实施。——向相关人员提供社会影响合规管理以及社会影响合规培训、建议和指导；——对合规举报进行管理、调查及核实，确保适当处理；——定期或适时向最高管理者作社会影响合规管理运行情况的报告。在数据处理、模型训练、模型推理与部署、结果生成、服务提供等过程中，服务提供者相关业务部门负责部门范围内的社会影响合规管理工作，宜主要包括：——制定部门相关业务社会影响合规管理方案，将社会影响合规管理的要求融入业务流程；——组织或配合合规管理机构进行合规风险识别和隐患排查，鼓励并支持本部门人员对服务提供者内部可能违反生成式人工智能相关法律法规规定的事项进行内部举报；——参与合规管理相关事件和问题的处理、解决和整改。5.5所有人员所有人员宜通过下列方式对其职责范围内的社会影响合规管理工作负责：——遵守服务提供者的合规义务、方针、过程和程序；——充分了解自身岗位与合规的关系，以及如何在日常工作中履行合规义务；——报告合规管理疑虑、问题和漏洞；——按照要求参加合规管理培训，充分了解合规管理的重要性和相关知识。6.1合规目标及其实现的策划——确保社会影响合规管理能够实现其预期结果；—确保履行社会影响合规义务；——预防和减少不合规行为带来的不利影响；——实现社会影响合规管理的持续改进和优化。56.2合规义务识别合规义务是服务提供者强制性遵守的涉及社会影响合规的要求，以及自愿选择遵守的涉及社会影响合规的要求。强制性遵守的要求，通常来源于《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律、法规、规章及规范性文件等。自愿选择遵守的要求，通常来源于服务提供者规章制度，相关标准、准则，签订的合同、协议，公开作出的承诺等。服务提供者宜系统识别来源于数据处理、模型训练、模型推理与部署、结果生成、服务提供等活动过程中的社会影响合规义务，并评估其对运行所产生的影响。经营者宜建立过程以：——识别新增及变更的社会影响合规义务，包括对法律法规、政策文件以及国家标准的持续跟进、现有合规义务的定期审查，以及评估对业务变更影响；——根据变更的社会影响合规义务，及时更新社会影响合规管理过程，并向相关人员传达和培训。社会影响合规义务主要包括技术与资质合规义务，服务提供者行为合规义务，生成内容合规义务三种类型，常见生成式人工智能技术应用社会影响的服务提供者合规义务见附录A。6.3合规风险评估及应对服务提供者宜基于合规风险评估，识别、分析和评价其合规风险，社会影响合规风险评估宜：——-与服务提供者社会影响合规目标保持一致；——按照GB/T46800中社会影响识别框架，结合自身应用场景，对技术应用可能存在的对个体与群体的影响、对组织与行业的影响、对经济社会系统产生的影响进行风险评估；———考虑外包过程和第三方关系的合规风险；——关注因合规义务履行不到位、方法不当或管理缺失所可能引发的法律责任、社会舆情、用户信任下降等负面后果；——根据负面后果确定风险级别，优先处理风险级别较高的风险；—保留有关风险评估和应对措施的文件化信息；7支持服务提供者宜明确并提供建立、实施、维护和持续改进社会影响合规管理所需的人力、物力和财力等资源。7.2能力——具有必要的专业能力及合规意识；——根据岗位性质、风险等级以及不断变化的内外部环境，定期、及时接受充分和适当的社会影响合规培训；——在拥有适当教育、培训或经验的基础上能恰当地履行社会影响合规义务；6服务提供者宜建立并畅通与社会影响合规管理工作相关的沟通渠道。制定合规义务、方针、过程和程序时，可成立跨部门制定小组以确保全面性和适用性。对于复杂或专业性强且存在重大合规风险的事项，可向合规管理机构咨询，必要时及时向最高管理者汇报。面对合规管理机构的合规检查或调查，各业务部门宜积极沟通并予以配合。7.4文件化信息服务提供者宜通过信息化手段，保存、更新、完善社会影响合规管理体系相关的文件化信息，以实现：——优化社会影响合规管理流程，包括对合规义务识别、风险评估、能力建设和管理运行等方面相关数据和信息的收集、分析；———对服务提供行为及内容的合规管理情况进行实时在线监控和风险分析。服务提供者宜注重业务流程和信息化工具的保密性和安全性，制定详细保密和安全方案。8管理运行服务提供者宜建立社会影响合规管理方案，并依据法律法规变化和监管动态，及时将外部有关社会影响合规要求转化为内部文件。社会影响合规管理方案包括但不限于以下内容：——明确服务提供者社会影响合规方针、目标和总体要求的纲领性文件；——明确社会影响合规义务和为履行义务所建立机制的规章类文件；——指导具体合规管理活动的工作指南和操作程序等实施类文件。8.2合规审查——建立合规审查机制，确保关键业务活动和决策经过合规审查；——基于风险评估的结果，确定审查的重点领域和流程，特别关注高风险业务环节；——在关键业务流程中嵌入审查点，确保合规审查成为常规操作的一部分；——制定清晰的审查标准和程序，为合规审查提供一致性和可预测性；——促进跨部门协作，确保审查过程中涉及的所有部门和团队清楚角色和责任；——记录审查结果和任何采取的应对措施，确保有明确的文档记录和追踪机制；——根据业务性质和风险水平，确定审查的频率，并保证审查的及时性。服务提供者宜建立社会影响合规管理咨询机制，明确业务部门向合规管理机构咨询合规风险的方式和流程。合规管理机构可根据需要聘请外部专家或第三方专业机构协助开展合规咨询。8.4合规举报及调查服务提供者宜建立社会影响合规管理内外部举报及调查机制。服务提供者宜明确社会影响合规管理调查处置机制的启动条件、开展部门、调查流程和处置措施，明确不当行为的根源、合规管理漏洞和责任缺失的原因，包括最高管理者和治理机构之间的责任缺失。涉及专业技术和知识时，可连同法务、风控、财务、人力、业务等部门共同参与调查或提供支持，或聘请外部专业机构开展调查服务。调查过程由具备相应能力的人员独立进行，不受其他因素干涉。9评价及改进9.1情况监控服务提供者宜建立社会影响合规管理情况监控机制，结合业务流程和社会影响合规管理要求设置合理监控节点，记录和反馈数据处理、模型训练、模型推理与部署、结果生成、服务提供全过程不同阶段的合规义务完成情况。9.2绩效评价服务提供者宜建立社会影响合规管理考核问责机制，将社会影响合规管理相关要求纳入考核体系，明确考核问责主体、考核周期、要求、考核问责程序、奖励与处罚措施。9.3有效性评价服务提供者宜建立社会影响合规管理有效性评价机制，梳理和识别重大或反复出现的合规风险和违规问题，制定处置方案。9.4合规报告服务提供者宜建立社会影响合规管理报告机制，并定期向最高管理者汇报合规管理情况。合规报告可包括向第三方机构沟通和通报的事项、合规义务变更的影响、合规考核情况、可能不合规的情况及应对措施等。当可能发生主观故意或重大过失的生成式人工智能技术应用违规行为时，宜及时向最高管理者汇报，并作出相应处置。服务提供者宜在合法合规的前提下，主动公开其生成式人工智能技术服务的关键用途、潜在社会影响、合规保障措施及用户提示机制，提升公众的知情权与信任度。典型的不符合或不合规的现象，可见附录B。服务提供者宜确定产生不符合或不合规现象的原因，以避免其再次发生，如必要变更合规管理体系。服务提供者宜建立持续改进机制，结合用户反馈、舆情监测与评估结果，优化技术应用流程与合规策略，确保合规管理具备动态响应能力。8(资料性)常见生成式人工智能技术应用社会影响的服务提供者合规义务A.1技术与资质合规义务技术与资质合规义务通常包括：——取得网络内容服务商(ICP)许可及特定领域经营资质；——按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续；—遵从优化算力资源降低能耗的绿色发展技术路线。A.2服务提供者行为合规义务服务提供者行为合规义务通常包括：——确保训练数据来源合法性；—制定数据标注规则并实施质量评估；—依法取得个人信息处理授权；——实施个人信息脱敏措施；——建立人工智能生成内容标识机制；——建立非法有害内容实时过滤机制；——建立反歧视数据清洗机制；——建立针对信息茧房等科技伦理风险的预防与审查机制；——建立防沉迷等未成年用户保护机制；—建立弱势群体救济渠道；——建立跨境数据传输合规机制