模型的质量，取决于训练它所依赖的数据是否可信——而一部自2025年1月1日起施行的条例，把这份信任变成了一个合规问题，而非单纯的工程问题。《网络数据安全管理条例》以国务院令第790号发布，是首部专门将日常网络数据处理与更早的网络安全法、数据安全法、个人信息保护法衔接起来的国务院层面规则。
条例由李强总理于2024年9月24日签署，于2024年8月30日国务院第40次常务会议通过，全文共九章六十四条。其覆盖面很广，但其中一条与AI行业直接相关。
关键要点
- 条例自2025年1月1日起作为国务院行政法规施行，法律位阶高于部门办法。
- 第十九条明确要求生成式人工智能服务提供者加强对训练数据及训练数据处理活动的安全管理。
- 处理超过1000万人个人信息的处理者，须承担"重要数据"相关义务，包括年度风险评估。
- 文本搭建了通过安全评估、认证或标准合同实现个人信息跨境传输的法律桥梁。
是条例，不是指南
理解这部文件，首先要看它的法律分量。不同于部门通知，国务院条例直接位于其实施的法律之下，对各省、各部、各级法院均有约束力。这种升格对AI企业意义重大：此前存在于较软指导中的义务，如今带有行政法规的效力。
条例做了三件结构性的事。它设定了通用的网络数据安全义务——分类分级保护、安全事件上报、禁止非法收集或交易数据。它细化了个人信息保护，包括更清晰的同意规则、敏感信息处理，以及把数据携往另一提供者的权利。它还搭建了有海外业务的企业所依赖的跨境传输路径。
AI在哪里登场
第十九条是AI实验室应当收藏的条款。它规定，提供生成式人工智能服务的网络数据处理者，应当加强对训练数据及训练数据处理活动的安全管理，并采取有效措施防范和处理网络数据安全风险。措辞简短却刻意：它把训练语料——抓取、授权、清洗、增强——纳入受监管边界，而非把模型当作一层不受约束的独立存在。
这填补了一处空白。早先的规则管的是已部署的聊天机器人如何作答；对背后的数据管道几乎无语。条例把这条管道重新框定为网络数据处理，须承担与其他处理者相同的注意义务。
1000万人的分界线
另一项条款重塑了合规规划。依条例，处理超过1000万人个人信息的处理者，还须满足文本对重要数据处理者施加的义务——指定网络数据安全负责人与专门管理机构，开展年度风险评估，并向省级主管部门报告。
对大模型开发者与消费级应用而言，这条门槛并不遥远。一款受欢迎的AI助手可迅速突破1000万用户，这意味着训练数据治理、留存与传输控制，从"等我们做大时"变成"现在就做"。年度评估要求还创造了一种周期性审计节奏，而非一次性通过。
跨境不再靠猜
条例把个人信息如何离境写入了法条。处理者若通过国家数据出境安全评估、取得专业机构个人信息保护认证，或使用网信办制定的标准合同机制，即可向境外提供个人信息。文本还保留了合同履约、跨境人力资源管理、法定义务，以及保护生命、健康或财产的紧急情况等例外。
其实际效果是确定性。一家在华运营AI产品的跨国企业，可以对照已公布的路径清单规划数据流，而不必临时谈判——前提是它按条例要求记录目的、范围与接收方。
坦诚的局限
条例是框架，不是手册。第十九条"加强安全管理"是一项无清单的指令；真正的操作细节由各部门随后出台的实施规则与标准补足。"重要数据"本身由各行业、各地区编制目录来界定，因此某数据集的地位在监管者标注前可能一直模糊。尽管文本授权依既有法律处罚，却未另立罚则，因此执法强度因地域而异，也取决于个案在多大程度上触及安全或规模。
普通人现在能做什么
1. 如果你运营生成式AI服务，在年度评估周期来临前，把训练数据生命周期——来源、授权、清洗、留存——对照安全义务要求梳理清楚。
2. 如果你的产品持有超过1000万人的个人信息，依条例组建安全负责人与管理机构架构，并安排首次年度风险报告。
3. 如果你跨境传输个人数据，选择一条有记录的路径——安全评估、认证或标准合同——并保存文本所要求的目的与接收方记录。