2026年金融服务客户隐私保护标准知识考察试题及答案

2026年金融服务客户隐私保护标准知识考察试题及答案本次考试时长90分钟，满分100分，合格分数线为80分，考试内容覆盖2026年正式实施的《个人金融信息保护技术规范（JR/T0171-2025）》《金融领域数据安全管理办法（2025修订）》《金融场景生成式人工智能应用隐私保护指南》等全部现行有效金融客户隐私保护强制性标准。一、单项选择题（共20题，每题1分，总计20分。每题只有1个正确答案，错选、不选均不得分）1.2026年正式实施的金融服务客户隐私保护系列强制性标准的适用主体不包括（）A.境内依法设立的商业银行、政策性银行、证券公司、保险公司B.境内开展支付业务的非银行支付机构、征信机构C.为金融机构提供客户引流、技术支持服务并接触客户金融信息的互联网合作平台D.未在境内设立经营机构、仅为境外非居民提供跨境金融服务的境外金融机构2.2026年金融行业个人金融信息保护核心技术规范《个人金融信息保护技术规范》的2025年修订版标准编号为（）A.JR/T0171-2025B.JR/T0171-2020C.GB/T35273-2020D.JR/T0223-20213.按照个人金融信息分级保护要求，下列信息中属于C3级（最高敏感等级）个人金融信息的是（）A.客户公开披露的职业信息、兴趣偏好B.客户用于支付身份核验的指纹、虹膜生物识别原始模板C.客户单笔100元以下的日常消费交易记录D.客户在银行预留的常住地址信息4.金融机构办理个人Ⅰ类银行结算账户开立业务时，下列信息收集行为违反“最小必要”原则的是（）A.核验客户居民身份证所载姓名、证件号、有效期等身份信息B.收集客户本人实名认证、可正常接收验证码的手机号码C.强制要求客户授权读取手机通讯录、社交平台账号信息用于“还款能力排查”D.登记客户常住地址所在区县信息5.按照存储安全强制性要求，C3级个人金融信息的加密存储及密钥管理应当符合的标准是（）A.可明文存储在核心业务系统，仅需设置基础访问权限B.采用国密SM2、SM4等经国家密码管理部门认证的加密算法，密钥长度不低于256位，密钥与信息本体实行物理或逻辑强隔离存储C.采用MD5等通用哈希算法加密，密钥与信息存储在同一数据库以提升业务调取效率D.可直接存储在第三方公有云服务器的互联网区域，无需对云服务商开展安全评估6.金融机构收集客户C3级个人金融信息时，授权流程应当符合的要求是（）A.纳入通用隐私政策的一揽子授权范围，设置默认勾选即可B.单独设置授权弹窗，以不小于四号加粗字体明确提示信息用途、存储期限、使用范围、泄露风险，保障客户不少于10秒的强制阅读时间，由客户主动点击确认，全流程留存授权日志可供溯源C.取得经办员工见证下的客户口头授权即可，无需留存纸质或电子授权记录D.与其他非敏感信息授权合并设置弹窗，要求客户在3秒内完成点击确认7.金融机构应用生成式人工智能大模型开展智能客服、智能投顾服务时，用于模型训练的客户个人金融信息处理符合标准要求的是（）A.直接将历史客户对话记录、交易流水原始数据导入模型训练，只要训练环境在内网即可B.对训练数据进行不可逆匿名化处理，确保无法通过技术手段复原至特定自然人，剔除C3级敏感信息，确需使用可识别自然人信息的需取得客户单独明示同意C.经机构科技部门负责人审批后即可使用原始数据训练，无需告知客户D.对数据进行简单掩码处理（如隐藏手机号中间四位）后即可用于训练8.个人客户办理跨境留学学费缴纳业务时，下列信息中严禁被传输至境外收款机构的是（）A.客户姓名、身份证件号码B.客户的银行卡交易密码、人脸验证生物模板C.交易金额、汇款用途D.收款院校的名称、官方账户信息9.金融机构与互联网平台合作开展消费信贷引流、联合放贷业务时，涉及客户个人金融信息处理的首要责任主体是（）A.前端收集客户信息的互联网引流平台B.提供信贷产品服务、持有金融业务牌照的金融机构C.为合作提供系统支持的金融科技公司D.平台与金融机构按照合作协议约定划分责任，无约定时双方均不承担首要责任10.客户向金融机构申请查阅、复制本人个人金融信息，或申请将本人金融信息以结构化可机读格式转移至其指定的其他合规金融机构（即行使信息可携带权）时，金融机构的最长响应时限为（）A.15个工作日B.7个工作日C.30个工作日D.3个工作日11.客户完成全部账户销户手续后，金融机构对客户C3级个人金融信息的处理符合标准要求的是（）A.永久留存用于后续新产品营销推送B.除法律法规另有明确规定需留存的信息外，在15个工作日内彻底删除相关信息及所有备份C.去标识化处理后留存10年用于风控模型训练D.转存至离线存储介质，无需设置访问控制措施12.金融机构为客户办理单笔5万元以上的个人大额转账业务时，下列身份验证方式不符合标准要求的是（）A.交易密码+预留手机号短信验证码双因素验证B.人脸验证+U盾数字签名双因素验证C.仅采用人脸识别作为唯一验证方式D.指纹验证+交易密码双因素验证13.向60周岁以上老年客户开展隐私政策告知、信息收集授权时，下列做法符合标准要求的是（）A.强制要求老年客户通过智能柜员机自主完成全部操作，不提供人工讲解通道B.隐私政策采用密集的专业术语、小字号文本，不设置语音播报、大字版提示功能C.设置专门的人工服务通道，以通俗易懂的语言讲解授权内容、风险后果，不强制要求老年客户通过线上智能渠道办理授权D.以“领取专属福利”为诱导，引导老年客户一次性勾选全部授权选项14.针对14周岁以下未成年客户的个人金融信息处理，下列说法符合标准要求的是（）A.无需取得监护人同意即可收集信息办理儿童储蓄账户B.可基于客户画像向未成年客户推送高风险股票型基金、信贷类产品营销信息C.收集信息必须取得监护人的明确单独同意，不得针对未成年客户开展任何形式的商业营销推送D.可将未成年客户的信息共享给合作教育机构用于课程推销15.金融机构对个人金融信息的全流程访问操作日志（包括查询、导出、修改、删除等操作）的最短留存期限为（）A.3年B.5年C.10年D.15年16.金融机构对外公示的个人金融信息隐私政策，下列做法不符合标准要求的是（）A.以清晰易懂的平实语言列示信息收集的类别、用途、范围、存储期限B.针对不同业务场景的授权设置独立选择入口，不设置强制一揽子授权C.将涉及C3级信息授权、跨境传输、第三方信息共享的敏感条款隐藏在数万字文本的末尾，设置“同意全部”默认勾选选项D.公开客户隐私投诉的受理渠道、响应时限、处置流程17.金融机构与其他机构开展跨机构联合风控、反欺诈数据合作时，标准明确鼓励并要求优先采用的技术路径是（）A.直接将客户原始敏感信息批量传输给合作方B.采用联邦学习、多方安全计算等隐私计算技术，实现“数据可用不可见”，不传输原始客户敏感信息C.对客户信息进行简单去标识化（如隐藏姓名）后批量传输给合作方D.通过加密邮件将客户原始信息发送给合作方指定联系人，无需留存传输记录18.金融机构员工办理离职手续时，其个人金融信息系统访问权限的回收时限要求为（）A.离职手续办结后3个工作日内B.离职手续办结后24小时内C.离职当月月底前D.离职后首个季度权限复核时统一回收19.金融机构发生个人金融信息泄露事件，可能影响客户资金安全或信息权益时，应当在事件发生后（）内向属地金融监管部门、网信部门报送事件初报，不得迟报、瞒报、漏报A.24小时B.72小时C.事件处置完成后D.10个工作日20.按照年度工作报送要求，金融机构应当于每年（）前向属地金融监管部门报送上一年度客户隐私保护工作专项年报，内容包括制度建设、技术防护、事件处置、培训开展等情况A.1月31日B.3月31日C.6月30日D.12月31日二、多项选择题（共15题，每题2分，总计30分。每题有2-5个正确答案，多选、少选、错选均不得分）1.按照个人金融信息分级保护标准，下列属于C3级高敏感个人金融信息的有（）A.银行卡磁道数据、芯片等效信息、卡片背面验证码（CVV）B.个人网银、手机银行登录密码、交易密码、动态支付口令C.用于身份核验的人脸、虹膜、指纹、掌纹等生物识别原始模板D.客户近3个月的日常餐饮、购物消费交易流水E.客户基于浏览行为生成的非精准营销标签2.金融机构处理个人金融信息时，下列场景中必须取得客户单独明示同意，不得通过隐私政策一揽子授权获取权限的有（）A.向合作第三方机构提供客户C2级及以上敏感个人金融信息B.将客户个人金融信息用于生成式人工智能大模型训练C.向境外机构传输客户个人金融信息（法律法规另有规定的除外）D.为完成支付交易必要，将交易清算信息传输给银行卡清算机构E.将客户个人金融信息用于本机构以外商业主体的营销活动3.金融机构在个人金融信息存储环节应当落实的强制性保护要求包括（）A.C3级信息必须采用国密认证算法加密存储，密钥与信息本体实行强隔离管理B.建立信息存储多副本冗余备份机制，备份数据执行与生产数据同等的安全保护等级C.存储介质报废时应当进行彻底消磁、物理粉碎，不得随意丢弃或转售D.C2、C3级信息不得存储在无强安全防护的公有云服务器互联网开放区域E.客户信息存储期限不得超出业务办理的必要期限，到期自动删除或进行不可逆匿名化处理4.金融机构与第三方合作机构开展涉及个人金融信息的业务时，应当落实的管理要求包括（）A.事前对合作机构的隐私保护能力、安全技术资质开展尽职调查，评估结果不达标的不得开展合作B.签订专门的数据安全保护协议，明确双方信息保护责任、信息使用范围、存储期限、销毁要求C.对合作机构的信息访问行为进行全程技术监测，建立超范围访问、批量下载等异常行为预警机制，发现违规行为立即终止合作D.合作到期或终止后，监督合作机构彻底删除所有获取的客户金融信息及备份，留存删除记录可供审计E.允许合作机构将获取的客户信息向其关联子公司共享，无需另行取得客户同意5.按照标准要求，金融机构应当保障客户享有的个人金融信息合法权益包括（）A.对信息处理规则、范围、用途的知情权，以及对信息是否被收集、使用的自主决定权B.查阅、复制本人个人金融信息的权利C.要求更正错误信息、删除违规收集信息的权利D.信息可携带权，即要求将本人金融信息以结构化、可机读格式转移至其指定合规金融机构的权利E.对信息处理规则的解释说明请求权，以及隐私侵权行为的投诉、索赔权利6.下列个人金融信息处理行为中，违反强制性保护标准的有（）A.办理个人住房贷款时，强制收集客户社交账号、通讯录信息用于“还款能力评估”B.以“提升服务体验”为名，默认客户同意收集其位置信息、APP浏览记录用于精准营销C.客户销户后，继续保留客户的人脸生物识别信息用于后续信贷产品营销推送D.严格按照公检法机关出具的正式法律文书要求，提供指定范围、指定时段的客户交易流水用于案件调查E.针对14周岁以下未成年客户推送高风险股票型基金、网络消费信贷产品营销广告7.金融机构应用生成式人工智能开展客户服务、产品推荐等业务时，应当落实的隐私保护要求包括（）A.建立训练数据合法性审核机制，严禁将客户交易密码、生物识别原始模板等C3级信息纳入训练数据集B.用于模型训练的客户信息必须经过不可逆匿名化处理，确保无法复原至特定自然人，确需使用可识别个人信息的必须取得客户单独明示同意C.建立AI输出内容安全审核机制，设置敏感信息过滤规则，防止AI在交互过程中违规泄露其他客户的敏感金融信息D.对客户与AI系统的交互记录按照对应敏感等级的个人金融信息进行保护，不得随意泄露或擅自用于其他用途E.将客户与AI客服的对话记录直接共享给合作保险公司用于保险产品精准推销8.个人金融信息跨境传输应当符合的强制性要求包括（）A.按照数据出境管理要求，通过国家网信部门组织的数据出境安全评估，或签订标准备案的跨境数据传输协议B.C3级信息中的交易密码、生物识别原始模板原则上不得向境外传输，法律法规另有明确规定的除外C.跨境传输的信息范围严格限定在业务办理的最小必要范围，不得超范围传输无关信息D.明确告知客户跨境传输的信息类别、接收方主体、信息用途、存储期限，并取得客户单独明示同意E.只要客户签署同意书，即可直接传输所有类别个人金融信息，无需开展安全评估9.金融机构应当建立的个人金融信息访问权限管控机制包括（）A.按照“最小权限、按需分配”原则为员工设置信息访问权限，不得超范围开放客户敏感信息查询权限B.对C3级信息的访问实行双人审批、操作全程留痕机制，严禁无审批批量查询、导出客户C3级信息C.建立权限定期复核机制，每季度对员工信息访问权限开展一次全面核查，及时调整超范围、冗余权限D.员工离职24小时内回收所有信息系统的访问权限，关闭账号登录通道E.允许员工因业务繁忙将个人系统账号、查询权限转借同事使用，无需履行审批手续10.金融机构针对老年、未成年等特殊客户群体的隐私保护措施，符合标准要求的有（）A.针对60周岁以上老年客户提供隐私政策人工讲解服务，不得以智能设备服务强制替代人工服务B.针对老年客户设置专门的授权确认环节，明确告知授权风险，不设置“一键授权”等诱导性按钮C.针对14周岁以下未成年客户建立专门的信息保护机制，收集信息必须取得监护人的明确同意D.不得向老年客户销售与其风险承受能力不匹配的金融产品，不得通过误导性话术诱导老年客户授权非必要信息收集E.可以向未成年客户推送与其年龄适配的储蓄类产品信息，不得推送高风险投资、信贷类产品营销信息11.金融机构个人金融信息保护内部审计机制应当符合的要求包括（）A.每年至少开展一次全面的个人金融信息保护专项审计，审计结果向董事会、高级管理层汇报B.每半年至少开展一次针对C3级信息保护情况的专项渗透测试、漏洞排查C.对审计发现的问题建立整改台账，明确整改时限、责任部门，跟踪推动问题整改到位D.可委托具备资质的第三方专业机构开展外部合规审计，审计报告按要求报送属地金融监管部门E.审计工作由科技部门自行开展，无需独立于业务、科技条线12.下列关于个人金融信息收集的说法，符合标准要求的有（）A.不得通过欺诈、诱导、胁迫等不正当方式收集客户个人金融信息B.不得收集与所办理金融业务无关的个人信息C.不得因客户不同意收集非必要个人信息，而拒绝为客户办理账户查询、转账、存取款等核心金融服务D.收集信息时应当明确告知客户信息收集的主体、目的、方式、范围、存储期限E.可通过弹窗强制跳转、无法关闭等方式，要求客户一次性授权所有信息收集权限13.金融机构发生个人金融信息泄露事件后，应当采取的处置措施包括（）A.立即启动应急预案，采取技术措施阻断泄露渠道，防止事件影响范围扩大B.24小时内向属地网信、金融监管部门初报事件情况，不得迟报、瞒报、漏报C.及时通过短信、电话、APP定向推送等方式告知受影响客户，说明泄露的信息类别、可能造成的风险、客户可采取的防范措施D.配合监管部门开展事件调查，及时报送事件处置进展、问题整改方案E.若泄露涉及客户数量较少、影响范围较小，可自行处置，无需告知客户和监管部门14.金融机构在营业网点、线上渠道收集客户生物识别信息时，符合标准要求的有（）A.明确告知客户生物识别信息的收集目的、存储方式、存储期限，取得客户单独明示同意B.不得将人脸识别、指纹识别作为办理支付、转账等核心业务的唯一身份验证方式C.客户生物识别原始模板存储在机构本地核心系统的加密区域，不得存储在互联网端、第三方云服务器无安全防护区域D.客户销户后及时删除客户生物识别信息及所有备份，法律法规另有规定的从其规定E.可在客户不知情的情况下，通过网点高清摄像头、APP后台静默采集客户人脸信息用于日常风控15.金融机构隐私政策的公示和告知方式，符合标准要求的有（）A.采用清晰易懂的平实语言，避免使用晦涩难懂的专业术语，对涉及敏感信息的条款进行加粗、标红提示B.针对不同业务场景的信息收集设置独立的授权选项，不设置“同意全部”默认勾选按钮C.涉及C3级信息授权的弹窗，保障客户足够的阅读时间，不设置快速跳过机制强制客户授权D.在营业网点醒目位置、官方网站、APP首页持续公示隐私政策，方便客户随时查阅E.隐私政策条款修改时，通过醒目方式告知客户修改内容，涉及敏感信息处理的条款变更需重新取得客户授权三、判断题（共20题，每题1分，总计20分。请判断题目表述是否正确，正确填“√”，错误填“×”）1.金融机构只要取得客户对通用隐私政策的一揽子授权，即可将客户的所有个人金融信息提供给合作机构用于商业营销活动。（）2.C3级个人金融信息经过简单去标识化处理（如隐藏身份证号中间几位）后，无需客户同意即可用于机构内部的大模型训练。（）3.金融机构可以将人脸识别作为办理单笔10万元以上大额转账业务的唯一身份验证方式，提升客户办理效率。（）4.客户办理账户销户后，除法律法规另有规定需留存的信息外，金融机构应当在15个工作日内彻底删除客户的C3级个人金融信息及所有备份。（）5.为金融机构提供客户引流服务的第三方平台，可以将收集的客户金融信息自行留存用于自身其他业务开展，无需取得金融机构和客户的同意。（）6.金融机构向境外传输客户个人金融信息时，只要取得客户单独同意即可，无需通过数据出境安全评估或签订标准传输协议。（）7.针对60周岁以上老年客户，金融机构应当提供隐私政策人工讲解服务，不得强制要求老年客户通过智能设备完成全部授权流程。（）8.金融机构对个人金融信息的全流程访问操作日志留存期限不得短于3年。（）9.开展跨机构数据合作时，金融机构应当优先采用隐私计算技术，实现数据“可用不可见”，尽可能减少原始敏感信息的传输。（）10.收集14周岁以下未成年客户的个人金融信息，必须取得监护人的明确单独同意，且不得针对未成年客户开展商业营销活动。（）11.金融机构员工离职后，可在1周内逐步回收其信息系统访问权限，无需立即关停账号。（）12.金融机构发生个人金融信息泄露事件，若涉及客户数量不足100人、未造成直接资金损失，可以不告知客户和监管部门，自行处置即可。（）13.C3级个人金融信息存储时，应当采用国密认证的加密算法，加密密钥与信息本体应当隔离存储，防止密钥泄露导致信息批量解密。（）14.金融机构可以在客户首次登录APP时，设置默认勾选位置信息收集权限，用于向客户推荐附近的营业网点。（）15.客户申请查阅本人个人金融信息的，金融机构可以按照信息查询工作量收取不超过100元/次的服务费用。（）16.生成式人工智能大模型训练时，可以将客户的交易密码、人脸模板纳入训练数据集，提升模型的身份识别准确率。（）17.金融机构应当每年至少开展一次个人金融信息保护专项审计，审计报告按要求报送属地金融监管部门。（）18.经客户口头同意后，金融机构可以将客户的银行卡磁道等效信息提供给合作的第三方支付机构用于快捷支付签约。（）19.金融机构对隐私政策条款进行修改后，可以直接上线实施，无需另行告知客户。（）20.金融机构不得因客户不同意收集非必要个人信息，而拒绝为客户办理账户查询、转账、存取款等核心金融服务。（）四、简答题（共3题，每题5分，总计15分）1.请简述2026年实施的金融服务客户隐私保护标准中，个人金融信息分类分级的核心内容及对应保护要求。2.请简述金融机构与第三方合作机构开展涉及客户个人金融信息的业务时，应当落实的核心隐私保护责任。3.请简述金融场景下应用生成式人工智能技术时，针对客户隐私保护的强制性要求。五、案例分析题（共1题，总计15分）2026年3月，某城市商业银行为提升线上服务能力，上线新一代手机银行系统，业务上线过程中开展了以下操作：（1）客户首次登录新系统时，弹出总长度达3.2万字的隐私政策文本，设置“同意全部”默认勾选按钮，其中包含“客户同意银行将其人脸信息、历史交易记录提供给合作消费金融公司用于信贷产品精准营销”“银行有权根据业务需要将客户信息传输至境外合作财富管理机构用于境外理财产品推介”等条款，客户若未点击“同意全部”则无法登录手机银行查询本人账户余额；（2）与某人工智能科技公司合作开发智能投顾大模型，将该行近5年积累的所有客户原始交易记录、风险测评结果、客服对话录音及文本记录直接拷贝给科技公司用于模型训练，双方未签订专门的数据安全保护协议，科技公司的3名算法研发人员可以直接访问银行存储客户原始信息的生产数据库，无访问审批和操作留痕机制；（3）系统设置单笔50万元以上大额转账仅采用人脸识别作为唯一身份验证方式，客户的人脸生物识别原始模板存储在科技公司提供的公有云服务器互联网开放区域，采用通用MD5哈希算法加密，未与其他信息做逻辑隔离；（4）客户通过线上渠道提交账户销户申请时，系统自动弹出提示“根据银行风险管理要求，客户所有信息将永久留存用于风险防控，不予删除”，未提供其他申诉渠道。请结合2026年金融服务客户隐私保护相关标准，逐一指出该银行上述操作中存在的违规问题，并说明对应的整改要求。参考答案一、单项选择题1.D2.A3.B4.C5.B6.B7.B8.B9.B10.B11.B12.C13.C14.C15.B16.C17.B18.B19.A20.A二、多项选择题1.ABC2.ABCE3.ABCDE4.ABCD5.ABCDE6.ABCE7.ABCD8.ABCD9.ABCD10.ABCDE11.ABCD12.ABCD13.ABCD14.ABCD15.ABCDE三、判断题1.×2.×3.×4.√5.×6.×7.√8.×9.√10.√11.×12.×13.√14.×15.×16.×17.√18.×19.×20.√四、简答题1.参考答案：2026年实施的金融客户隐私保护标准按照信息敏感程度、泄露后对客户权益的影响程度，将个人金融信息从低到高划分为C1、C2、C3三个等级，对应差异化保护要求：（1）C1级为低敏感信息，主要指客户公开披露的信息、机构从公开渠道获取的不涉及客户敏感属性的信息，如客户自行公开的职业信息、公开政务信息等。该类信息收集需履行一般告知义务，访问控制采用普通岗位权限管理，存储可采用常规加密措施，对外提供可纳入通用授权范围。（2）C2级为中敏感信息，主要指客户身份基本信息、交易记录、财产信息、信贷信息、风险测评结果等，泄露后可能对客户合法权益造成一定不良影响。该类信息收集需明确告知具体用途，访问需履行岗位审批流程，存储需采用符合金融行业标准的加密算法，对外提供、跨场景使用需取得客户单独明示同意。（3）C3级为高敏感信息，主要指银行卡磁道/芯片等效信息、各类支付密码、生物识别原始模板等，泄露后可能直接造成客户资金损失、名誉损害等严重后果。该类信息收集必须单独取得客户明示同意，告知泄露风险，访问需执行双人审批、全程操作留痕，存储需采用国密级认证加密算法、密钥与信息本体强隔离，原则上不得对外提供、跨境传输，客户销户后需及时彻底删除。2.参考答案：金融机构作为客户信息处理的首要责任主体，与第三方合作时需落实全流程隐私保护责任：（1）事前准入管理：将隐私保护能力作为第三方合作准入的核心评估指标，事前对合作机构的安全资质、技术能力、合规记录开展尽职调查，评估不达标的机构不得开展合作。（2）协议约束：签订专门的数据安全保护协议，明确约定双方的信息保护责任，限定信息使用的范围、用途、存储期限、销毁要求，明确合作机构不得超范围使用信息、不得擅自向第三方转提供客户信息，约定违规泄露信息的违约责任。（3）过程监测：对合作机构的信息访问、传输、使用行为进行全程技术监测，设置批量查询、异常导出等风险预警规则，发现超范围收集、使用、泄露客户信息的，立即终止合作并追究违约责任。（4）合作终止管理：合作到期或提前终止时，监督合作机构彻底删除所有获取的客户金融信息及备份，留存删除验证记录，确保合作机构不留存任何客户信息副本。（5）责任承担：金融机构对合作机构的信息处理行为承担连带责任，发生客户信息泄露、侵权事件时，应当先行向客户承担赔偿责任，再根据合作协议向违约方追偿。3.参考答案：金融场景应用生成式人工智能需落实以下强制性隐私保护要求：（1）训练数据管理：建立训练数据合规审核机制，严禁将客户交易密码、生物识别原始模板等C3级信息纳入训练数据集；用于模型训练的客户信息必须经过不可逆匿名化处理，确保无法通过技术手段复原至特定自然人；确需使用可识别特定自然人的信息开展训练的，必须取得客户单独明示同意。（2）交互数据保护：客户与AI系统的对话记录、上传的资料等交互信息，按照对应敏感等级的个人金融信息进行同等保护，不得随意泄露、擅自用于模型训练以外的其他用途。（3）输出内容管控：建立AI生成内容的安全审核机制，设置敏感信息过滤规则，防止AI在交互过程中通过内容生成泄露其他客户的敏感金融信息、机构商业秘密。（4）模型安全防护：针对大模型部署抗提示词注入、抗数据窃取攻击的安全防护机制，防止攻击者通过构造诱导性提问非法提取训练数据中的客户敏感信息。（5）告知义务：在客户使用AI服务前，明确告知服务提供主体为人工智能，说明服务过程中收集的信息类别、用途、保护措施，取得客户相应授权。五、案例分析题参考答案