在本係列第一篇《生成式人工智能數據合規研究係列（一）——法律與監管概述篇》 、第二篇《生成式人工智能數據合規研究係列（二）——網絡安全篇》以及第三篇《生成式人工智能數據合規研究係列（三）——數據安全篇》中，我們主要進行了關於國內外生成式人工智能（“生成式AI”）數據合規法律和監管環境的梳理，並分析了生成式AI服務提供者在網絡安全和數據安全方麵可能麵臨的風險和防範。承接前三篇內容，我們繼續推出本係列研究的第四篇“個人信息保護篇”。本篇是係列研究的最後一篇，在本篇中，我們將為您梳理和分析企業在開發和運營生成式AI的過程中在個人信息保護方麵可能遇到的法律風險，並提出具有操作性的風險防範建議，供相關企業參考。
根據《中華人民共和國個人信息保護法》（“《個人信息保護法》”），個人信息是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理後的信息[1]，個人信息的處理包括個人信息的收集、存儲、使用、加工、傳輸、提供、公開、刪除等[2]。在生成式AI的開發階段，通常涉及到從公共互聯網爬取數據作為其訓練語料；而在生成式AI的運營階段，通常在生成式AI與用戶進行文本、圖片的交互場景下都有可能涉及個人信息的處理。以下我們分別從輸入AI的數據、AI生成的內容、個人信息泄露三個方麵論述風險及防範建議。
一、輸入AI的數據涉及的個人信息保護風險及防範
1. 風險概述
輸入AI的數據，包括直接用於訓練的數據（包括基於合作方的數據集、基於爬蟲的外采數據集、人工標注數據集）以及用戶在使用生成式AI的過程中主動輸入的數據（人機交互數據集）。
目前主流的生成式AI，例如以智能對話為主要功能的ChatGPT，都是從最初的模型開始，通過不斷輸入海量數據訓練、迭代而成，訓練階段主要為生成式AI正式投入運營前的預訓練，在投入運營後，視情況也會涉及一定的優化訓練。如本研究第三篇“數據安全篇”所介紹，用於生成式AI訓練的數據主要來源於基於網絡爬蟲的外采的數據，因涉及海量網頁數據，難免可能對爬取到個人信息，例如在網頁上的自然人的姓名、性別、家庭住址等個人信息，其中也不乏身份證號碼等敏感個人信息[3]。
此外，用戶在使用生成式AI時，為進行內容生成，需要主動輸入人機交互數據，例如輸入聊天AI的提問內容或輸入繪畫AI的提示詞（prompt），可能被用於AI的訓練，這些數據中可能包含用戶自身或其他自然人的個人信息。
在目前世界各國強調個人信息保護並積極建立相應個人信息保護製度的大背景下，如生成式AI直接對互聯網上的個人信息進行爬取，或未經授權收集、使shi用yong用yong戶hu輸shu入ru的de個ge人ren信xin息xi，則ze有you可ke能neng構gou成cheng對dui個ge人ren隱yin私si權quan或huo個ge人ren信xin息xi權quan益yi的de侵qin害hai。特te別bie地di，在zai我wo國guo，爬pa取qu未wei公gong開kai個ge人ren信xin息xi涉she嫌xian直zhi接jie侵qin犯fan公gong民min的de隱yin私si權quan或huo個ge人ren信xin息xi權quan益yi[4]，而即使爬取已公開的個人信息在特定情況下仍可能侵犯個人信息權益[5]。
2. 防範建議
為最大程度控製合規風險，我們建議盡量選擇不包含個人信息的數據集作為生成式AI的訓練數據，同時盡量不收集用戶輸入數據或不將其作為訓練數據使用，為此，生成式AI服fu務wu提ti供gong者zhe可ke提ti高gao在zai網wang絡luo爬pa取qu和he用yong戶hu輸shu入ru兩liang個ge環huan節jie個ge人ren信xin息xi識shi別bie的de準zhun確que性xing，並bing對dui識shi別bie的de個ge人ren信xin息xi進jin行xing剔ti除chu或huo進jin行xing匿ni名ming化hua處chu理li。如ru果guo缺que乏fa上shang述shu條tiao件jian或huo確que有you必bi要yao收shou集ji和he使shi用yong包bao含han個ge人ren信xin息xi的de網wang絡luo爬pa取qu數shu據ju集ji或huo用yong戶hu輸shu入ru的de個ge人ren信xin息xi，生sheng成cheng式shiAI服務提供者應確保處理個人信息具備合法基礎並履行相關個人信息保護義務。
①提高個人信息識別的準確性
無論是網絡爬取數據的情境，還是收集和使用用戶輸入信息的情境，為盡量避免侵犯相關權益（包括隱私和個人信息權益），目前主流方式采用了機器過濾機製，具體而言：
在過濾網絡爬取數據方麵，企業會使用如自然語言處理（NLP）算法、moshishibiedengjishushouduan，tongguoshujuqingxigongjuzidongshibieheshanchukenengbaohangerenxinxideshuju。dankaolvdaomuqiangerenxinxidewaiyanjuyoubuquedingxing，tongshigexingyejianguanyaoqiuduiyugerenxinxiderendingbiaozhunyouyidingqubie，tongguoshujuqingxijizhiduigerenxinxijinxingtichunanmianhuicunzaiyidingloudong。
在(zai)過(guo)濾(lv)用(yong)戶(hu)輸(shu)入(ru)信(xin)息(xi)方(fang)麵(mian)，企(qi)業(ye)會(hui)設(she)置(zhi)敏(min)感(gan)詞(ci)庫(ku)過(guo)濾(lv)機(ji)製(zhi)屏(ping)蔽(bi)，但(dan)通(tong)常(chang)隻(zhi)能(neng)屏(ping)蔽(bi)人(ren)工(gong)預(yu)設(she)的(de)特(te)定(ding)詞(ci)語(yu)或(huo)字(zi)段(duan)，無(wu)法(fa)主(zhu)動(dong)識(shi)別(bie)某(mou)一(yi)特(te)定(ding)內(nei)容(rong)是(shi)否(fou)屬(shu)於(yu)個(ge)人(ren)信(xin)息(xi)，不(bu)具(ju)備(bei)識(shi)別(bie)個(ge)人(ren)信(xin)息(xi)的(de)功(gong)能(neng)。
考慮到上述機器過濾機製在個人信息識別方麵的局限性，我們建議在使用機器過濾機製的同時，增設人工審核機製，通過製定、完善細化個人信息識別規則、加(jia)強(qiang)個(ge)人(ren)信(xin)息(xi)保(bao)護(hu)方(fang)麵(mian)的(de)培(pei)訓(xun)等(deng)方(fang)式(shi)，加(jia)強(qiang)審(shen)核(he)人(ren)員(yuan)對(dui)個(ge)人(ren)信(xin)息(xi)篩(shai)選(xuan)的(de)把(ba)握(wo)程(cheng)度(du)，提(ti)升(sheng)識(shi)別(bie)個(ge)人(ren)信(xin)息(xi)的(de)準(zhun)確(que)程(cheng)度(du)。如(ru)仍(reng)難(nan)以(yi)判(pan)斷(duan)某(mou)一(yi)類(lei)信(xin)息(xi)是(shi)否(fou)屬(shu)於(yu)個(ge)人(ren)信(xin)息(xi)，在(zai)必(bi)要(yao)時(shi)可(ke)谘(zi)詢(xun)外(wai)部(bu)律(lv)師(shi)等(deng)的(de)專(zhuan)業(ye)意(yi)見(jian)。
②對輸入數據進行匿名化處理
《個人信息保護法》將技術上的脫敏處理區分為法律上的“去標識化”[6]和“匿名化”[7]，其qi中zhong去qu標biao識shi化hua處chu理li後hou的de個ge人ren信xin息xi仍reng屬shu於yu個ge人ren信xin息xi，而er匿ni名ming化hua處chu理li後hou的de個ge人ren信xin息xi不bu再zai屬shu於yu個ge人ren信xin息xi。因yin此ci，對dui訓xun練lian數shu據ju以yi及ji用yong戶hu輸shu入ru數shu據ju中zhong的de個ge人ren信xin息xi，如ru企qi業ye不bu希xi望wang將jiang其qi剔ti除chu或huo難nan以yi剔ti除chu，可ke考kao慮lv進jin行xing匿ni名ming化hua處chu理li後hou再zai導dao入ru，以yi有you效xiao避bi免mian個ge人ren信xin息xi合he規gui風feng險xian。考kao慮lv到dao現xian階jie段duan法fa律lv法fa規gui並bing未wei規gui定ding匿ni名ming化hua的de技ji術shu要yao求qiu，我wo們men認ren為wei目mu前qian在zai大da部bu分fen情qing況kuang下xia，對dui個ge人ren信xin息xi進jin行xing脫tuo敏min處chu理li可ke能neng仍reng僅jin能neng達da到dao去qu標biao識shi化hua的de效xiao果guo，而er無wu法fa達da到dao匿ni名ming化hua的de效xiao果guo，因yin此ci，建jian議yi企qi業ye根gen據ju特te定ding情qing況kuang具ju體ti分fen析xi，評ping估gu相xiang應ying脫tuo敏min處chu理li是shi否fou已yi達da到dao法fa律lv上shang的de匿ni名ming化hua效xiao果guo。
③在必須收集個人信息時，確保處理個人信息具備合法基礎
如企業在技術上識別個人信息、對(dui)其(qi)進(jin)行(xing)匿(ni)名(ming)化(hua)處(chu)理(li)存(cun)在(zai)困(kun)難(nan)，業(ye)務(wu)流(liu)程(cheng)上(shang)無(wu)法(fa)排(pai)除(chu)對(dui)個(ge)人(ren)信(xin)息(xi)的(de)收(shou)集(ji)和(he)使(shi)用(yong)，或(huo)確(que)有(you)必(bi)要(yao)收(shou)集(ji)和(he)使(shi)用(yong)個(ge)人(ren)信(xin)息(xi)，則(ze)企(qi)業(ye)應(ying)根(gen)據(ju)相(xiang)關(guan)法(fa)律(lv)要(yao)求(qiu)，確(que)保(bao)處(chu)理(li)個(ge)人(ren)信(xin)息(xi)的(de)合(he)法(fa)基(ji)礎(chu)，即(ji)向(xiang)相(xiang)關(guan)個(ge)人(ren)告(gao)知(zhi)生(sheng)成(cheng)式(shi)AI使用過程中個人信息的處理情況，並取得其同意；涉及處理敏感個人信息的，還應取得單獨同意。
二、AI生成內容涉及的個人信息保護風險及防範
1. 風險概述
①未經授權向用戶提供/公開個人信息的風險
生成式AI服務提供者應確保生成式AI輸出的內容（例如，智能問答AI生成的回答結果，繪畫AI生成的圖片等）不包含個人信息和隱私信息（包括但不限於自然人的身份證號碼等），否則將會導致未經授權提供/公開個人信息風險。
通常而言，生成式AI輸出帶有個人信息內容的前提是已將個人信息作為訓練數據輸入生成式AI。對於麵向公眾開放的生成式AI，這類情況可能構成公開相關個人信息；如果僅限於向特定用戶提供個人信息，也可能構成個人信息的對外提供。
根據《個人信息保護法》，公開個人信息[8]、對外提供個人信息[9]、處理敏感個人信息[10]均應向用戶告知並取得單獨同意，除非有其他處理個人信息的合法基礎[11]。如生成式AI服務提供者未履行上述義務，或在用戶輸入自己以外的其他自然人個人信息的情況下未取得相關個人信息主體的授權，則生成式AI服務提供者在大多數情況下將不具備處理個人信息的合法基礎，產生法律風險。由於生成式AI的算法黑箱，還可能構成以自動化決策[12]的方式處理個人信息，如未滿足針對自動化決策的合規要求，也會產生法律風險。
此外，如果個人信息涉及隱私的，未經授權提供/公開他人隱私還會涉及對隱私權的侵犯[13]。
②可能影響兒童個人信息、隱私權益的風險
對於部分聊天對話類的生成式AI，根據域外的監管實踐，考慮到輸出內容可能對兒童的心智造成不良影響，部分國家還會要求這類生成式AI履行年齡驗證義務等，以保護兒童相關權益[14]；在我國，《個人信息保護法》明確規定不滿十四周歲未成年人的個人信息屬於敏感個人信息[15]，並要求“個人信息處理者處理不滿十四周歲未成年人個人信息的，應當製定專門的個人信息處理規則”[16]，生成式AI處理者如不履行上述保護兒童個人信息、隱私權益義務將導致法律風險。
2. 防範建議
根據生成式AI的技術原理，如能有效控製輸入AI數據中的個人信息，則可以在較大程度上控製AI生成內容中的個人信息。對於已輸入AI用(yong)於(yu)訓(xun)練(lian)的(de)個(ge)人(ren)信(xin)息(xi)，考(kao)慮(lv)到(dao)可(ke)能(neng)作(zuo)為(wei)輸(shu)出(chu)內(nei)容(rong)呈(cheng)現(xian)給(gei)其(qi)他(ta)用(yong)戶(hu)，我(wo)們(men)同(tong)樣(yang)建(jian)議(yi)企(qi)業(ye)采(cai)用(yong)機(ji)器(qi)過(guo)濾(lv)機(ji)製(zhi)加(jia)人(ren)工(gong)審(shen)核(he)機(ji)製(zhi)。如(ru)上(shang)述(shu)機(ji)器(qi)過(guo)濾(lv)以(yi)及(ji)人(ren)工(gong)機(ji)製(zhi)仍(reng)無(wu)法(fa)避(bi)免(mian)AI的(de)生(sheng)成(cheng)內(nei)容(rong)中(zhong)包(bao)含(han)個(ge)人(ren)信(xin)息(xi)，企(qi)業(ye)仍(reng)應(ying)按(an)照(zhao)前(qian)述(shu)建(jian)議(yi)確(que)保(bao)處(chu)理(li)個(ge)人(ren)信(xin)息(xi)具(ju)備(bei)合(he)法(fa)基(ji)礎(chu)，例(li)如(ru)，可(ke)通(tong)過(guo)隱(yin)私(si)政(zheng)策(ce)等(deng)方(fang)式(shi)，向(xiang)用(yong)戶(hu)告(gao)知(zhi)其(qi)輸(shu)入(ru)的(de)內(nei)容(rong)可(ke)能(neng)用(yong)於(yu)訓(xun)練(lian)並(bing)出(chu)現(xian)在(zai)AI生成的內容中而構成“對外提供個人信息”的情形，並取得用戶的單獨同意。
通過算法向用戶輸出個人信息可能構成通過自動化決策的方式處理個人信息，生成式AI服務提供者還應遵守《個人信息保護法》及其配套製度中針對自動化決策的相關義務，向自動化決策涉及提供個人信息的員工提供便捷的拒絕方式[17]等，以及《互聯網信息服務算法推薦管理規定》和《互聯網信息服務深度合成管理規定》中關於設置便捷有效的用戶申訴和公眾投訴、舉報入口，明確處理流程和反饋時限，及時受理、處理並反饋處理結果的相關義務[18]。
在輸出內容涉及的兒童個人信息保護方麵，我們建議在生成式AI產品的隱私政策/授權函中明確該產品僅麵向成年人提供，並設置專門條款就兒童個人信息保護規則予以必要說明。
三、個人信息泄露導致的風險及防範
1. 風險概述
《中華人民共和國網絡安全法》（“《網絡安全法》”）、《中華人民共和國數據安全法》（“《數據安全法》”）、《個人信息保護法》明確規定了網絡運營者、數據處理者、個人信息處理者的數據安全、個人信息安全保護義務，其中關於網絡運營者、數據處理者的安全保護義務已在本研究第二篇“網絡安全篇”以及第三篇“數據安全篇”中進行了分析。根據《個人信息保護法》，生成式AI服務提供者作為個人信息處理者應當在個人信息處理的全生命周期內保護個人信息安全可控，防止個人信息泄露的風險[19]。此外，我國最新的立法趨勢也專門提及了生成式AI服務提供者處理個人信息時應履行個人信息保護義務[20]。
因此，一旦生成式AI涉及的相關網絡/信息係統發生數據泄露導致個人信息、隱私或其他合法權益受損，監管部門和個人均有權依據相關法律規定向訓練、運行並提供生成式AI服務的主體（包括個人或組織）追責。除上述立法外，我國在行政執法和司法實踐中都支持了該觀點：
①在行政執法方麵，自2018年起，針對網絡亂象，我國公安機關開始實行“一案雙查”製度，即在對網絡違法犯罪案件開展偵查調查工作時，同步啟動對涉案網絡服務提供者法定網絡安全義務履行情況的監督檢查。生成式AI服務提供者作為個人信息處理者如未盡到網絡安全義務，對個人信息泄露有過錯的，會被追究行政責任甚至刑事責任。去年生效的《中華人民共和國反電信網絡詐騙法》已通過立法方式，將上述“一案雙查”製度確立為法定程序[21]。
② 在司法方麵，如造成個人信息泄露導致個人權益受損，個人信息主體起訴要求賠償的，基於特殊的過錯推定原則，生成式AI服務提供者如不能證明自身沒有過錯，還可能承擔民事責任[22]。
2. 防範建議
防止個人信息泄露等安全事件的發生作為數據合規的重要部分，涉及網絡安全、數據安全、個人信息保護多方麵的合規義務和風控方案，為最大程度防止個人信息泄露造成的法律風險，除我們在本研究第二篇“網絡安全篇”以及第三篇“數據安全篇”提供的建議外，我們還建議企業按照相關法律法規的要求，全方位、多角度，從個人信息全生命周期進行個人信息保護體係化建設，例如，
在公司管理層麵，建立完善個人信息保護內部製度並任命相關負責人；
在個人信息安全事件的對應方麵，建立個人信息保護應急預案並落實；
在個人信息安全保障技術措施方麵，建立分級分類保護等技術措施；
在(zai)第(di)三(san)方(fang)安(an)全(quan)管(guan)理(li)方(fang)麵(mian)，明(ming)確(que)個(ge)人(ren)信(xin)息(xi)處(chu)理(li)全(quan)流(liu)程(cheng)中(zhong)的(de)數(shu)據(ju)處(chu)理(li)關(guan)係(xi)，確(que)保(bao)合(he)作(zuo)方(fang)具(ju)有(you)相(xiang)關(guan)資(zi)質(zhi)以(yi)及(ji)數(shu)據(ju)安(an)全(quan)保(bao)護(hu)能(neng)力(li)，並(bing)通(tong)過(guo)協(xie)議(yi)等(deng)方(fang)式(shi)約(yue)定(ding)雙(shuang)方(fang)的(de)權(quan)利(li)和(he)義(yi)務(wu)；
在法律要求的情形下，事前進行個人信息保護影響評估[23]等。
結語
去年年末，OpenAI研發的生成式AI——ChatGPT橫空出世，標誌著AI技術正式進入大模型時代。生成式AI代表了AI技術發展的最前沿，一方麵，我們認識到並感慨於AI技術所蘊含的無限潛能；但另一方麵，我們也意識到並擔憂於產生深刻變革的AI技術無論是對企業還是個人，都勢必將帶來與以往截然不同的法律風險。
zuoweifalvgongzuozhe，womenshenqiediganshoudaoxinxingjishudefazhanzhengbuduanchongjizhexianyoufalvtixi，zaifalvdelijieheshiyongshangtichulexindetiaozhan，yeyishidaojishudebuduanfazhanhediedaikenenghuizaimouyigeshijiandianshenkediyingxiangweilaidelifa、監管及合規體係；而對企業而言，在各類新興技術層出不窮的今天持續摸索適合自身發展的合規策略，無疑是保持市場競爭力的關鍵之所在。
在本係列研究中，我們深入探討了在2023年賺足眼球的新興技術生成式AI在數據合規的方方麵麵——從國內外法律和監管環境，到運營生成式AI的企業在網絡安全、數據安全、個ge人ren信xin息xi保bao護hu方fang麵mian可ke能neng麵mian臨lin的de各ge類lei風feng險xian，再zai到dao相xiang應ying的de風feng險xian防fang範fan建jian議yi，我wo們men希xi望wang通tong過guo本ben係xi列lie研yan究jiu拋pao磚zhuan引yin玉yu，引yin發fa更geng多duo新xin興xing技ji術shu背bei景jing下xia的de企qi業ye合he規gui探tan討tao，同tong時shi對dui企qi業ye在zai新xin技ji術shu浪lang潮chao下xia的de合he規gui策ce略lve提ti供gong一yi定ding的de參can考kao意yi見jian。
以上是我們生成式人工智能數據合規研究係列的全部內容，感謝閱讀！
注釋;
[1] 《個人信息保護法》第4條第1款。
[2] 《個人信息保護法》第4條第2款。
[3] 《個人信息保護法》第28條：敏感個人信息是一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。
[4] 《民法典》第111條：自然人的個人信息受法律保護。任何組織或者個人需要獲取他人個人信息的，應當依法取得並確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。
[5] 《個人信息保護法》第27條：“個人信息處理者可以在合理的範圍內處理個人自行公開或者其他已經合法公開的個人信息；個人明確拒絕的除外。個人信息處理者處理已公開的個人信息，對個人權益有重大影響的，應當依照本法規定取得個人同意。
genjushangshuguiding，ruzaigerenmingquejujuedeqingkuangxiapaqugongkaixinxi，huopaquduigerenquanyiyouzhongdayingxiangdegongkaixinxiweiqudegerentongyide，jianggouchengduigerenxinxiquanyideqinfan。
[6] 《個人信息保護法》第73條第（3）項：去標識化，是指個人信息經過處理，使其在不借助額外信息的情況下無法識別特定自然人的過程。
[7] 《個人信息保護法》第73條第（4）項：匿名化，是指個人信息經過處理無法識別特定自然人且不能複原的過程。
[8] 《個人信息保護法》第25條：個人信息處理者不得公開其處理的個人信息，取得個人單獨同意的除外。
[9] 《個人信息保護法》第23條：個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯係方式、處理目的、處理方式和個人信息的種類，並取得個人的單獨同意。
[10] 《個人信息保護法》第29條：處理敏感個人信息應當取得個人的單獨同意；法律、行政法規規定處理敏感個人信息應當取得書麵同意的，從其規定。
[11] 《個人信息保護法》第13條規定了個人信息處理的合法基礎：符合下列情形之一的，個人信息處理者方可處理個人信息：
（一）取得個人的同意；
（二）為訂立、履行個人作為一方當事人的合同所必需，或者按照依法製定的勞動規章製度和依法簽訂的集體合同實施人力資源管理所必需；
（三）為履行法定職責或者法定義務所必需；
（四）為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需；
（五）為公共利益實施新聞報道、輿論監督等行為，在合理的範圍內處理個人信息；
（六）依照本法規定在合理的範圍內處理個人自行公開或者其他已經合法公開的個人信息；
（七）法律、xingzhengfaguiguidingdeqitaqingxing。yizhaobenfaqitayouguanguiding，chuligerenxinxiyingdangqudegerentongyi，danshiyouqiankuandierxiangzhidiqixiangguidingqingxingde，buxuqudegerentongyi。
但需要注意的是，在生成式AI的商業場景下，處理用戶輸入和網上爬取的個人信息，難以適用同意以外的其他合法基礎。
[12] 《個人信息保護法》第73條第（2）項：自動化決策，是指通過計算機程序自動分析、評估個人的行為習慣、興趣愛好或者經濟、健康、信用狀況等，並進行決策的活動。
[13] 《民法典》第1032條：自然人享有隱私權。任何組織或者個人不得以刺探、侵擾、泄露、公開等方式侵害他人的隱私權。隱私是自然人的私人生活安寧和不願為他人知曉的私密空間、私密活動、私密信息。
[14] 例如，今年3月31日，意大利個人數據保護局宣布暫時禁止用戶使用聊天機器人ChatGPT，理由是ChatGPT缺乏年齡核實係統來驗證用戶年齡。
[15] 《個人信息保護法》第28條。
[16] 《個人信息保護法》第31條第2款。
[17] 《個人信息保護法》第24條第2款：通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。
[18] 《互聯網信息服務算法推薦管理規定》第22條、《互聯網信息服務深度合成管理規定》第12條。
[19] 《個人信息保護法》第51條：個人信息處理者應當根據個人信息的處理目的、處理方式、個人信息的種類以及對個人權益的影響、可能存在的安全風險等，采取下列措施確保個人信息處理活動符合法律、行政法規的規定，並防止未經授權的訪問以及個人信息泄露、篡改、丟失：
（一）製定內部管理製度和操作規程；
（二）對個人信息實行分類管理；
（三）采取相應的加密、去標識化等安全技術措施；
（四）合理確定個人信息處理的操作權限，並定期對從業人員進行安全教育和培訓；
（五）製定並組織實施個人信息安全事件應急預案；
（六）法律、行政法規規定的其他措施。
[20] 《生成式人工智能服務管理暫行辦法》第9條：tigongzheyingdangyifachengdanwangluoxinxineirongshengchanzhezeren，lvxingwangluoxinxianquanyiwu。shejigerenxinxide，yifachengdangerenxinxichulizhezeren，lvxinggerenxinxibaohuyiwu。
提供者應當與注冊其服務的生成式人工智能服務使用者（以下稱使用者）簽訂服務協議，明確雙方權利義務。
[21] 《反電信網絡詐騙法》第29條第2款：公安機關辦理電信網絡詐騙案件，應當同時查證犯罪所利用的個人信息來源，依法追究相關人員和單位責任。
[22] 《個人信息保護法》第69條第1款：處理個人信息侵害個人信息權益造成損害，個人信息處理者不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任。
[23] 《個人信息保護法》第55條。
