全书以公司法务白晓萌萌律师伴随公司AI业务发展的个人专业成长为视角，针对企业开展AI研发和应用的业务，按照AI业务生命周期和业务环节，从实践场景出发，提供全方位的法律合规实操指引。 入门篇 跟随法务白晓萌萌律师的成长视角，发挥法律人的“学霸”精神，自学了AI的若干基本概念、我国当前关于AI治理的整体法律框架，作为一名支持AI业务的律师完成了扫盲必修课。 研发篇 伴随公司的AI业务启动，白晓萌萌律师躬身入局，她搭建了出色的虚拟法务小白AI，通过与业务同学的问答对，梳理出了AI业务在研发环节涉及的合规特点，并逐章分析了训练数据合规、网络安全风险、伦理风险、开源AI、基础模型等研发活动中的高难问题。 运营篇 公司的AI业务发展来到了上线运营的“大考”环节，业务需求越来越复杂，问题也越来越多，例如上线前需要办理哪些备案资质，在线协议有哪些，应该包括哪些条款，标识要求有哪些，自动化决策需要注意什么，用户个人信息如何使用，模型输入输出管理如何做……且听虚拟法务小白AI和业务人员好好聊聊天。 专题篇 白晓萌萌律师通过为公司AI业务提供全周期法律支持，已大幅提升了专业技能，不仅整理了“AI与著作权”等丰富的“网红”专题问答对，还完善了企业内部使用AI的风险要点和内部治理体系、AI业务出海必知的域外法等进阶专题。 附录：特别整理出处理AI业务合规工作中常用的工具表单，例如我国人工智能合规义务框架图、常用法律法规及规范标准索引、欧盟《人工智能法案》图解等，作为一个AI业务合规“工具箱”，以飨读者。

（1）AI业务合规的全流程说明书。入门、研发、运营、专题四大篇章，覆盖AI业务全生命周期法律问题，一本书讲透AI合规法律风险与应对策略！ （2）“创新体系+实战经验”双buff叠加。独创AI业务合规完整体系架构，结构化建立AI业务合规版图，杜绝打地鼠式管理AI业务风险。结合作者一线工作经验，穿插案例解析、产品实例，直击业务痛点，提供建议方案。 （3）跟着主人公快速成长。全书以法务新人白晓萌萌的律师视角，带你亲历AI业务合规完整路径，导引秘籍——从入门到专家，一本书就够了！ （4）小白AI智能解答，即学即用！书中专门打造了法律咨询AI智能助理角色小白AI，模拟业务需求真实业务场景，一问一答解决最头疼的AI合规难题！

前言这些年我们作为公司法务人员和律师，一直和业务人员并肩战斗，见证和感受着人工智能技术特别是生成式人工智能技术的快速发展，也因此需要经常思考和回应人工智能技术对一线法律工作提出的问题，例如：如果开展人工智能这种高风险的前沿业务需要一套合规指引，这套合规指引应该包含哪些问题？应该是什么样的架构和体系？AI开发和运营的业务活动中哪些法律合规问题是核心风险？我们法律人怎么做才能既支持这一业务的发展又能管理其中的风险？传统互联网业务中的数据合规、用户账号与用户行为管理、内容安全、著作权等议题是正在被解构，还是只是“旧瓶装新酒”？例如，将用户数据用于人工智能开发时，如何遵守现有的个人信息保护法律？使用版权作品进行AI训练开发是否需要获得授权？如果需要，需要获得哪种授权？版权人应当如何维权？这些问题都能在当前著作权法框架下解决吗？AI生成物的权利人和责任人到底是谁？获得AI生成物所有权的主体在私法上的权利与责任、在公法上的责任分别是什么？以互联网信息安全为核心要旨、以压实应用层平台责任为治理抓手的互联网监管架构在AIGC时代是否依然适配、无须调整？对于AI产业的治理，我们是需要一个完整、综合的人工智能法典，还是应该小步迭代，就一个专门问题研究成熟并出台一个专门规范？全球关于AI治理的法律是在趋同还是在分裂？中、美、欧作为全球AI立法的三大“高地”，在立法体系、治理手段、监管思路上有哪些异同？……我们在本书中创设的主角“白晓萌萌”是一位法务人员，全书正是通过她的视角来完整体验人工智能业务从研发到运营过程中的各种法律问题，引导读者一起切身感受一线法律人面临的种种“终极拷问”。我们同时还为白晓萌萌这个虚拟法务人员打造了一款法律咨询AI智能助理小白AI，让它模拟智能问答机器人的角色，来回答公司业务部门经常向法务提出的各种人工智能业务合规问题。本书共15章，分四篇。在“入门篇”（第1和2章）中，白晓萌萌果断发挥“学霸”精神，自学了AI和生成式AI的基本概念及相关技术、我国人工智能法律治理框架，作为一名支持AI业务的律师，完成了扫盲必修课。在“研发篇”（第3~8章）中，白晓萌萌开始躬身入局，伴随业务启动起来。她通过业务人员与小白AI的问答对方式，梳理出了在AI业务研发环节必须考虑的合规问题，总结了AI研发活动中所涉风险与合规要点大全。在“运营篇”（第9~12章）中，公司的AI业务来到了上线运营的“大考”环节。业务需求越来越复杂，问题也越来越多，例如业务上线前需要办理哪些备案资质，需要哪些在线协议，个人信息保护如何落实，管理模型的输入与输出，等等。所有这些问题，且听小白AI娓娓道来。而到了“专题篇”（第13~15章），白晓萌萌通过为AI业务提供全周期的法律支持，已大幅提升了专业技能，不仅为“AI与著作权”这样的“网红”专题整理出了丰富的问答对，还整理了企业使用AI应用的风险控制及内部治理、AI业务出海必知的国外AI合规治理框架等进阶专题。此外，在“附录”中，白晓萌萌分享了自己处理AI业务合规时常用的工具，包括我国人工智能合规义务框架图、常用法律法规及规范标准索引、欧盟《人工智能法案》图解等，作为一个小小的工具箱，希望能够为大家提供便利。我们在繁忙的工作之余还“自虐式”地写作这本书，总结AI业务的合规手册，是因为且仅因为“问题”就在那里，而我们作为亲身参与AI产业的律师，希望尽可能弄清楚这些问题。因此，正视人工智能产业发展对我们法律人提出的挑战和我们的困惑，能够看见“真”问题，就是我们写作本书的底层动力。我们一直提醒自己，在本书中提出的“问题”一定要是真实的，来自我们实际工作中的所思所想。此外，我们还希望找到一些分析问题的路径和方法，形成某种程度的体系框架。事实上，无论是人工智能技术还是产业发展，抑或伴随人工智能产业发展所产生的法律问题及其答案，都是日新月异的，一切都是“不确定”的，缺少前例，我们在不断试错。对于书中的问题，我们并没有给出“确切答案”的“妄念”，相反，我们作为律师给出意见，作为作者敲字成文，一直在体会一次次被否定，又一次次被鼓舞……书中的内容也随时准备被推翻、修正、批判。但我们相信，这个探索—否定—成熟的螺旋上升过程，是人工智能技术、产业和身处其中的我们所必经的成长之路，痛并乐在其中。在数年前写作《数据合规：入门、实战与进阶》一书时，我们曾特别提到一种紧迫感：“在AI还不能自主生成法律规则之前，我们还可以抓紧时间探索和制定愈加成熟的、符合人类共同价值的、推动技术向善发展的规则体系。如果说在以前这是重要而不迫切的事情，那么随着个人信息收集使用、大数据算法和人工智能越来越广泛运用，这件事已经变得重要且迫切了。”本书可以视为我们努力对上面提到的紧迫感做出的一点回应。

薛颖 现任某AIGC创新公司总法律顾问，中国人民大学法学院法律硕士实务导师。在世界五百强、信息服务业外企、互联网平台公司等从事了十多年一线法务合规工作。合著有《数据合规：入门、实战与进阶》，曾组织或参与翻译二十多部域外个人信息保护法律，发表多篇数据合规文章，参编多部国家标准。主要研究领域包括知识产权、数据隐私和人工智能治理。朱玲凤 现任某互联网公司数据合规负责人，中国信通院“数据安全推进计划智库专家”，中国《人工智能法示范法（专家建议稿）》起草者之一。曾任字节跳动海外隐私办公室隐私策略负责人、小米集团安全与隐私委员会隐私副主席，熟悉移动应用和操作系统、智能硬件、物联网、网联汽车等多领域的法律问题。合著有《数据合规：入门、实战与进阶》，曾在国内外法学权威期刊上发表多篇数据合规和AI合规文章，参编多部国家标准、行业标准。微信公众号“那一片数据星辰”主理人，日更最新数据合规和AI合规的专业内容。主要研究领域包括数据隐私和人工智能治理。孟洁 现任环球律师事务所合伙人，北京比较法研究会理事、中国法学会网络与信息法研究会理事、中南财经政法大学和对外经济贸易大学校外硕士生导师、北京市朝阳区律协科技创新与数字经济业务研究会副主任、中国信通院“数据安全共同体计划专家”等。曾任某国际知名人工智能独角兽公司的总法律顾问和数据保护官。连年被钱伯斯等国际权威评级机构评为“TMT：数据隐私保护”“监管合规”等领域的领先律师。合著有《数据合规：入门、实战与进阶》，曾参编数十部国家/行业/团体标准及行业报告，持续在各大媒体平台发表专业文章。主要研究领域包括数字经济与网络数据安全、人工智能监管与治理合规。

目录前言入门篇第1章　法律人的人工智能必修课1.1　AI的基本概念和核心技术21.1.1　AI的基本概念21.1.2　AI的核心技术51.2　生成式AI的基本概念和技术原理81.2.1　生成式AI的基本概念81.2.2　生成式AI的技术原理101.3　AI产业生态12第2章　我国人工智能法律治理框架2.1　我国人工智能监管的基本逻辑162.2　我国人工智能立法体系的发展192.3　我国人工智能的立法框架192.4　我国人工智能治理的整体框架212.5　我国人工智能治理的监管框架222.6　人工智能服务的安全要求与评估232.7　人工智能伦理的合规管理25研发篇第3章　AI研发阶段对合规工作的影响3.1　AI的全生命周期333.2　AI研发阶段的主要活动353.3　生成式AI与其他AI在研发阶段的异同383.4　AI研发阶段的主要活动对合规的影响413.5　AI研发阶段需要考虑的合规维度42第4章　训练数据的合规与保护4.1　使用个人信息训练模型的合规要求454.1.1　使用个人信息训练模型时应满足的要求454.1.2　确定训练数据的合法性基础474.1.3　确保遵守目的限制原则494.1.4　确保遵守数据最小化原则524.1.5　确保遵守透明度和数据主体权利的要求544.2　使用爬取的数据训练模型的合规要求584.3　采购商用数据训练模型的合规要求644.3.1　使用商用数据训练模型的优势644.3.2　采购商用数据训练模型的关键要求654.3.3　商用数据采购协议的核心条款66第5章　AI系统的网络安全风险防控5.1　AI系统面临的网络安全风险685.1.1　AI系统的网络安全风险类型685.1.2　AI系统的网络安全风险案例735.1.3　大型语言模型特有的网络安全风险775.2　AI系统设计阶段的网络安全风险防控865.2.1　AI系统设计阶段的网络安全风险865.2.2　AI系统设计阶段的威胁建模895.2.3　AI系统的网络安全与信息透明度之间的平衡955.2.4　AI系统的网络安全与其他合规要求之间的平衡975.3　AI系统开发阶段的网络安全风险防控1005.3.1　AI系统开发阶段的网络安全风险1005.3.2　AI系统开发阶段的供应链安全防控1055.3.3　AI系统的安全测试1105.3.4　AI系统训练数据面临的主要攻击1155.4　AI系统部署阶段的网络安全风险防控1205.4.1　AI系统部署阶段的网络安全风险1205.4.2　AI系统持续学习和进化引入的安全风险1275.4.3　AI系统的网络安全事件响应130第6章　AI系统的透明、公平以及其他伦理风险6.1　AI系统的透明性、可解释性和可追溯性1386.1.1　法律对AI系统的透明性、可解释性和可追溯性　　　的规定1386.1.2　透明性、可解释性和可追溯性之间的关系1456.1.3　AI相关法律和个人信息保护法对透明性的要求　　　有何不同1466.2　透明性、可解释性和可追溯性的落实1506.2.1　在AI系统开发过程中落实透明性、可解释性和　　　可追溯性义务1506.2.2　落实透明性、可解释性和可追溯性的最佳实践1526.3　法律中AI系统的公平性和非歧视性1566.3.1　主要司法管辖区关于AI公平性和非歧视性的　　　法律法规1566.3.2　AI伦理与法律要求中公平性的差异1606.3.3　欧盟《人工智能法案》与GDPR中公平性的比较1626.3.4　落实公平性的措施1646.3.5　落实公平性以及处置偏见和歧视的最佳实践1666.4　其他科技伦理风险1696.4.1　国内的AI伦理法律要求和指引1696.4.2　国外的AI伦理审查方法与标准173第7章　开源AI7.1　开源AI与传统开源软件的区别1777.2　开源AI与闭源AI的区别1797.3　使用开源大模型开发AI系统或应用的合规要求1817.3.1　使用开源大模型开发AI系统或应用的流程1817.3.2　开源大模型的合规评估框架1837.3.3　使用开源AI模型开发AI系统的合规评估　　　框架的场景推演1867.4　正确评估开源AI的许可协议1897.5　使用开源大模型进行微调的风险1947.6　以开源形式安全合规地发布大模型1977.6.1　以开源形式发布的大模型的下游法律责任1977.6.2　开放程度对开源大模型提供者的责任的影响1987.6.3　以开源形式合规发布大模型的最佳实践205第8章　基础模型的灾难性风险8.1　基础模型的灾难性风险定义2098.2　基础模型的灾难性风险治理的国际共识2108.3　基础模型的灾难性风险治理的法律义务2128.4　基础模型的灾难性风险治理的企业实践216运营篇第9章　AIGC业务上线运营所需的准入牌照9.1　企业开展AIGC业务所需的准入资质2229.1.1　准入资质清单2229.1.2　特殊要求2259.2　如何开展算法备案2279.2.1　哪些类型的算法需要备案2279.2.2　算法备案的流程和填报要求2299.3　大模型上线备案与登记2359.3.1　大模型上线备案与登记的区别2359.3.2　大模型上线备案与登记的流程和材料237第10章　AI服务中的合规要求10.1　AIGC服务提供者的运营合规要求24110.1.1　AIGC服务提供者的身份24110.1.2　AIGC服务上线所需的在线协议文件24210.1.3　关于AIGC服务中的标识问题25010.1.4　AIGC服务产品端的其他常见合规机制26210.2　利用AI进行自动化决策26910.2.1　自动化决策和用户画像的定义26910.2.2　提供自动化决策相关服务需关注的合规义务27210.3　运营环节用户个人信息的使用与保护28210.3.1　在提供AI服务过程中如何落实个人信息保护　　　合规要求28210.3.2　运营环节落实个人信息保护义务的最佳实践28410.3.3　运营环节中的个人信息主体权利响应28810.4　用户输入数据用于模型再训练的合规要求29010.4.1　将用户输入数据用于模型再训练的数据　　　处理要求29010.4.2　用户数据用于模型再训练的合规设计案例291第11章　模型输入与输出管理11.1　用户输入信息管理29711.1.1　如何对用户输入信息进行审核29711.1.2　如何针对用户输入信息建立审核流程29911.2　大模型输出信息管理30011.2.1　大模型生成内容审核30211.2.2　企业搭建内容审核流程的最佳实践305第12章　运营AI基础设施与平台的合规指南12.1　AI模型平台经营者的合规义务30812.1.1　AI模型平台经营者的算法合规义务30812.1.2　AI模型平台经营者的特殊合规义务31012.1.3　AI模型平台经营者如何使用避风港原则　　　缓解风险31212.2　AI开源社区运营者的合规义务31412.2.1　开源社区运营者是算法服务提供者吗31412.2.2　开源社区运营者如何落实账号管理认证义务31612.2.3　开源模型上架前需要审核吗31812.2.4　如何建立并落实信息内容审核管理机制31812.2.5　如何建立并落实投诉举报辟谣机制32012.2.6　开源社区运营者需要针对接入的模型履行备案　　　　与安全评估义务吗320专题篇第13章　AI生成物的著作权和侵权问题13.1　AI生成物可能涉及的重要著作权问题32413.2　AI生成物的可版权性32613.3　AI生成物的权利归属33513.4　AI生成物的侵权风险33913.5　AI训练中对版权作品的使用35213.6　权利人视角下针对AI生成物的权利保护问题367第14章　企业使用AI应用的风险控制及内部治理14.1　企业内部是否可以使用AI工具37014.2　企业员工使用AI工具可能带来的风险37214.3　使用生成式AI的风险防范措施37714.4　AI治理组织机构37814.4.1　开展AI业务需要搭建怎样的合规组织架构37814.4.2　需要设立算法安全专职机构吗38114.4.3　如何在组织架构中设计算法相关的职责与　　　汇报线38414.5　AI合规体系与相关制度38614.5.1　如何搭建AI合规体系38614.5.2　如何制定算法安全相关制度388第15章　AI出海企业必知的国外AI合规治理框架15.1　欧盟人工智能治理框架39215.1.1　欧盟人工智能治理概况39215.1.2　欧盟《人工智能法案》概况39715.1.3　欧盟《人工智能法案》中对于人类监督的　　　要求39815.1.4　欧盟《人工智能法案》中对于技术文档的　　　要求39915.2　美国人工智能治理体系40015.3　英国人工智能治理体系406附录我国人工智能合规义务框架图412我国人工智能业务常用法律法规及规范标准索引416图解欧盟《人工智能法案》417欧盟《人工智能法案》基于风险的治理路径417欧盟《人工智能法案》下不同运营主体的合规义务速查表418欧盟《人工智能法案》的监管体系419后记423