全球人工智能安全合规治理概览与实务分享 | 精华整理

探寻合规之道，共筑数据保障之堡。专注为数据安全管理者、技术专家、隐私法务、律师等专业人士打造的知识共享与交流平台。

点击  "合规社"  > 点击右上角“···” > 设为星标⭐

嘉宾 | 竞天公诚律师事务所 朱垒律师

责编 | 合规社 Cherry

朱律师持有法学硕士学位、法学学士学位、经济学学士学位，同时持有律师执业资格证、CIPP/E、CIPM、FIP、AIGP、ISO/IEC 27701:2019 Implementation Expert认证。朱律师是IAPP会员及中国区核心志愿者，CSA隐私科技工作组专家成员。朱律师先后在多家头部互联网公司从事隐私保护与数据安全工作，是《网络音视频服务数据安全指南》主要起草人，参与多部行业相关立法研讨与国家标准制定，如《网络安全技术 生成式人工智能安全基本要求》等，团队编著有《生成式人工智能法律合规手册》。

朱律师在直播中详细讲解了人工智能全球和中国的监管动态、人工智能合规要点。此外，朱律师还分享了在实务过程中遇到的问题及解决方法。

以下为依据朱垒律师《全球人工智能安全合规治理概览与实务分享》直播整理的部分回顾。

2023年12月18日，国际标准化组织（ISO） 发布了标准ISO/IEC 42001：2023《信息技术-AI-管理体系》。该标准旨在为组织内部建立、实施、维护和持续改进AI管理系统提供要求和指导。该标准适用于任何提供或使用AI系统产品和服务的组织。

除此之外，各个相关的国际组织也发布了一些关于AI原则性的内容。比如，

2023年12月21日，联合国AI咨询机构公开征求公众对其发布的临时报告《为人类治理AI》的意见。该报告探讨了AI面临的各种风险，包括偏见深伪技术、缺乏透明度、监管工作分散以及效益利用不足等问题。

美国

2023年1月，经过两次征求意见，美国国家标准与技术研究院NIST正式发布《人工智能风险管理框架》(第一版)。该框架可由相关机构自愿选择使用旨在提供设计、开发、部署和使用人工智能系统的指南，增强人工智能可信度，降低人工智能技术应用的风险。

2023年10月30日，美国总统拜登签署了《关于安全、可靠和可信赖地开发和使用人工智能的行政命令》。该行政令为A的安全性和可靠性设立了新的标准，旨在保护个人隐私，促进平等和保障民权，维护消费者和工人的权益，促进创新和竞争，推动美国在全球的领导地位等。

2023年12月22日，美国众议员提出了《AI基础模型透明法案》。该法案的目的是为AI基础模型的部署者制定透明度标准，保护小型部署者，并提高可解释性，使消费者能够就模型使用和版权问题做出知情决策。

2023年3月16日，美国版权局发布了“包含AI生成元素的作品的《版权注册指南》，对含AI生成元素作品相关的版权登记问题提供指引。USCO重点强调了只有当作品包含人类创作因素时，该作品才能够受到版权保护。

2024年10月24日，美国总统拜登发布了首份关于人工智能的国家安全备忘录。该备忘录强调了AI在国家安全和外交政策中的重要性。

在州层面，目前美国有一些州已经正式颁布了跟AI相关的一些法律文件。比如说，

2024年5月17日，美国科罗拉多州参议院24-205号法案《与人工智能系统互动中的消费者保护法》。由州长签署并成为法律，成为美国第一部监管AI算法歧视的州法。

欧盟

2024年5月21号欧盟理事会正式批准了《人工智能法案》，7月份正式发布，8月1号正式生效。其中有部分条款有24个月的过渡期。

欧盟《人工智能法案》作为全球的第一部综合性的人工智能立法，有非常显著的特征。采取了风险分级与角色划分的治理路径，将人工智能分为四类七级，并针对不同角色提出对应的合规义务。除此之外，欧盟《人工智能法案》还特别提出了通用人工智能模型界定维度及合规要求。

为了推进《人工智能法案》实施，欧盟委员会相关机构也在不断的推出AI标准文件，如：

2024年10月24日，欧盟委员会联合研究中心(IRC)发布了关于EUAIA 协调性标准的政策简报。AI标准以支持EU AIA实施。覆盖10大方面：AI风险管理、数据治理和质量、记录留存透明度、人类监督、准确度、稳健性、网络安全、质量管理、符合性评估。

《人工智能法案》的适用范围，像GDPR一样适用范围非常广：

• 在欧盟境内将投人工智能系统投放市场或投入服务，或将通用人工智能模型投放市场的提供者，无论这些提供者是设立于还是位于欧盟境内或者第三国;
• 在欧盟境内设立经营场所或位于欧盟境内的人工智能系统部署者:
• 在第三国设立经营场所或位于第三国的人工智能系统提供者和部署者，但其人工智能系统产生的输出在欧盟使用;
• 人工智能系统的进口商和分销商；
• 以自己的名称或商标将人工智能系统与其产品一起投放市场或投入服务的产品制造商；
• 在欧盟境外设立的提供者的授权代表；

• 位于欧盟境内的受影响者。

法国

法国人工智能监管文件侧重于数据保护主题，更多基于 GDPR 的要求落实最小化的原则，透明度的原则，可解释性等要求。

2022年4月，为了平衡法国与欧盟的法律法规，法国数据监管机构CNIL发布了《人工智能如何遵守通用数据保护条例》指导文件，基于GDPR指导企业开展人工智能系统成熟度自我评估。文件指出，企业应当遵循数据最小化原则、透明度原则、可解释原则、保障用户权利、规定数据保存期限，并详细列举了企业为了遵循上述原则可以采取的措施及具体业务场景下的最佳实践。

新加坡

新加坡目前没有一个统一的人工智能法，只有相关行业机构些等发布的指南或者框架供企业参考。

2019年1月，新加坡个人数据保护委员会与新加坡信息通信媒体发展局正式提出亚洲首个人工智能模型治理框架，又于2020年1月更新了《人工智能模型治理框架(第二版)》，为人工智能技术管理提供建议涉及内部治理、决策模型、运营管理、客户关系管理等方面。框架的指导原则包括可解释性原则、透明度原则、对消费者公平原则以及以人为本原则。

2024年5月，新加坡AIVerifv基金会和IMDA共同制定了《生成式人工智能治理模型框架》。该框架从问责、数据、可信开发和部署、事件报告、测试和保证、安全性、内容来源、安全与协调研发、人工智能造福公众等九个方面针对培育可信的生成式人工智能生态系统提出建议。

香港

2021年8月，香港个人资料私隐专员公署（私隐专员公署）出版了《开发及使用人工智能道德标准指引》。指引建议开发及使用A系统时，机构应采纳3项数据管理价值和7项AI道德原则。

日本

日本无专门的AI法律，部门法中涉及一定的原则性规定，如日本《著作权法》，在自动驾驶、健康医疗领域颁布有对应的开发指引或文件。

2019年3月，日本制定了《以人为本的人工智能社会原则》，旨在确保在促进AI利用的过程中不被滥用。

2024年1月，日本人工智能战略委员会于2024年1月发布了《人工智能运营商指南（草案）》，按照不同主体(研发者、提供者、使用者)提出了对应的行为指南。

巴西

2024年12月，巴西人工智能临时委员会积极批准了第七版巴西人工智能法案，下一步会正式提交到众议院去审议。

韩国

韩国目前无专门的人工智能立法。

2022年，提出《促进人工智能产业和建立可信人工智能框架法案》，目前正在审议中。

2023年，韩国个人信息保护法PIPA修正案增加了人工智能公司导致个人信息泄露的责任。

2023年8月，韩国PIPC发布《人工智能时代个人信息安全使用指南》，旨在为企业提供人工智能领域个人信息保护的指引。

2024年5月，韩国PIPC以检查和纠正令的方式，要求多家人工智能企业（包括OpenAI、Googe、Meta）落实要求。

2024年7月，韩国PIPC正式发布《处理人工智能(AI)开发和服务中使用“公开数据”标准指南》，说明大模型预处理和AI产品处理公开个人数据的标准，为企业提供参考。

中国人工智能安全监管法律文件

生成式人工智能服务监管三大手续

算法备案：产品上线后10个工作日内办理，在架产品可能受影响、新产品上线可能受阻、被处罚风险。办理相关手续难度适中。

科技伦理登记：科技伦理审查评审完成后30日内，目前头部企业有开展这样的工作，主要是内部建立相应的科技伦理审查委员会，委员会相关的组成人员有相应的要求，科技伦理审查委员会需要在系统上做登记，难度适中

五种不同大模型研发应用模式

📖 推荐阅读：直播精华整理合集

👇👇👇

AIGP人工智能治理专家

认证单位

国际隐私专业人员协会（IAPP）是知名隐私保护领域非营利性组织，致力于推动全球隐私行业的健康发展，同时为信息隐私领域和专业人士提供相关教育和指导。IAPP运营着全球领先的培训和认证项目——CIPP注册隐私信息保护专家（CIPP/E欧盟、CIPP/CN中国、CIPP/US美国、CIPP/C加拿大、CIPP/A亚洲）、CIPM注册隐私信息管理经理、CIPT注册隐私信息技术专家、AIGP人工智能治理专家，已经成为全球最具影响力的隐私保护领域专业人员认证之一。

IAPP作为国际最大的隐私安全保护从业者组织，他们服务于隐私、数据保护、信息审计、信息安全、数据伦理、法律合规和风险管理需求他们的组织。目前成立已有20年，截至目前有来自世界各地的会员上万人。

在人工智能（AI）迅速发展的时代背景下，各行各业对于AI技术的应用日益广泛，从医疗健康到金融服务，从自动驾驶到智能家居，AI正逐渐渗透到社会的每一个角落。然而，随之而来的挑战也日益凸显，尤其是关于AI伦理、数据安全与隐私保护等方面的问题，引发了全球范围内的广泛关注和讨论。

面对这些挑战，国际隐私专业人员协会（IAPP）敏锐地捕捉到了市场的需求，于2024年第一季度推出了“人工智能治理专家”（AIGP）这一全新的专业资格认证。AIGP的设立旨在培养一批具备深厚专业知识和技能的专家，他们不仅能够理解AI系统的工作原理，还能深刻洞察AI应用的潜在影响，并有效识别和降低相关风险。

培训对象

• 持有IAPP认证的人士

• AIGP课程专为AI合规、风险管理、隐私安全、

• 法律人士、信息安全、大数据治理、

• AI 项目管理和模型运营团队方面的专业人士而设

课程收益

通过AIGP培训和认证，参与者将获得全面的知识体系，使他们在AI治理领域成为可信的领导者，促进AI技术的健康发展，构建更加公平、透明和可信赖的社会环境。这不仅是对个人职业发展的有力加持，也是对行业和社会责任的积极承担。

培训大纲

AIGP课程的设计综合考虑了理论与实践的结合，它不仅涵盖了AI的基本概念和技术，更重要的是深入探讨了AI治理的核心议题，包括但不限于：

——道德原则和标准，确保AI系统设计和运行过程中遵守伦理规范；

——法律法规框架，解析国际及地方性的法律政策，指导AI系统合规；

——数据隐私与安全，教授如何处理敏感信息，防止数据泄露或滥用；

——风险管理策略，提供工具和方法论来评估和缓解AI带来的潜在威胁；

——持续监控与改进，建立机制确保AI系统的长期稳定性和可靠性。

培训考试安排

• 学习方式：上海面授+线上同步（中英文授课）
• 培训时间：12月28-29日（周末）
• 考试情况：线下机考，英文考试，180分钟，可休息15分钟
• 考试题型：100道单选题，30%案例题，85题计分，15题不计分
• 考试结果：总分500分，300通过