ASI与AGI数据合规体系：超级智能训练与运行阶段的数据治理
接着前序 IP 九轮与数据合规的脉络，这一轮落到 AI 全生命周期最底层的命脉：超级智能训练与运行阶段的数据治理，到底怎么搭体系？
结论先钉死——
中国法下 AGI/ASI 的数据合规体系，以《生成式人工智能服务管理暂行办法》第七条（训练数据合法来源+知识产权合规+个人信息合法处理+数据质量）和第九条/第十一条（运行阶段内容生产者责任+个人信息处理者责任+用户输入保护）为双支柱，向外延伸至《网络安全法》《数据安全法》《个人信息保护法》"三驾马车"，并以 GB/T 45652-2025《生成式人工智能预训练和优化训练数据安全规范》、GB/T 45674-2025《生成式人工智能数据标注安全规范》等国家标准细化操作 。当系统从 AGI 跃迁至 ASI，治理重心必须从"训练数据合规"扩展为"训练—运行—自主决策"的全链路治理：输入端数据来源合法+分类分级，运行端用户输入保护+输出标识+日志审计，ASI 端行为围栏+权限管控+全链路追溯——2026 年 5 月国家网信办等三部门联合印发的《智能体规范应用与创新发展实施意见》已为自主决策边界提供了最新合规锚点 。
一、现行法基线：双支柱+三驾马车+国标体系
1.1 双支柱：《暂行办法》的训练与运行条款
训练阶段支柱——第七条 ：
⚖️ "生成式人工智能服务提供者应当依法开展预训练、优化训练等训练数据处理活动，遵守以下规定：（一）使用具有合法来源的数据和基础模型；（二）涉及知识产权的，不得侵害他人依法享有的知识产权；（三）涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形；（四）采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性；（五）《网络安全法》《数据安全法》《个人信息保护法》等法律、行政法规的其他有关规定。"
运行阶段支柱——第九条、第十一条 ：
💡 "提供者应当依法承担网络信息内容生产者责任，履行网络信息安全义务。涉及个人信息的，依法承担个人信息处理者责任，履行个人信息保护义务。"
"提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录。"
配套义务：
- 第十二条：按《互联网信息服务深度合成管理规定》对生成内容进行标识
- 第九条：与使用者签订服务协议，明确双方权利义务
- 第十一条：依法及时受理和处理个人关于查阅、复制、更正、补充、删除其个人信息等的请求
1.2 三驾马车：《网安法》《数安法》《个保法》的底层约束
内蒙古达尔罕茂明安联合旗人民检察院的权威梳理 ：
📌 "我国现已形成由《网络数据安全管理条例》等行政法规、《生成式人工智能服务管理暂行办法》等部门规章和《网络安全技术 生成式人工智能预训练和优化训练数据安全规范》(GB/T 45652-2025)等国家标准构成的训练数据治理体系。"
三驾马车在 AI 场景的具体适用：
法律 | AI 训练与运行的核心义务 |
|---|
《网络安全法》 | 网络运行安全、数据安全保护义务、用户信息保密 | 《数据安全法》 | 数据分类分级、重要数据目录、数据处理活动风险监测 | 《个人信息保护法》 | 个人信息处理合法基础、告知同意、最小必要、敏感个人信息单独同意、自动化决策规制 |
1.3 国标体系：GB/T 45652-2025 与 GB/T 45674-2025
两项关键国家标准已发布 ：
- GB/T 45652-2025《网络安全技术 生成式人工智能预训练和优化训练数据安全规范》：规定训练数据来源合法、数据质量保障、数据安全管理三项核心要求
- GB/T 45674-2025《网络安全技术 生成式人工智能数据标注安全规范》：区分功能性标注与安全性标注，安全性标注逐条核验
二、训练阶段数据治理：四环节管控
陈冯吴律师事务所与安理律师事务所的实务框架将训练数据合规拆为四个主要环节 ：
2.1 数据采集：四类合法来源+三类禁止
四类合规数据来源 ：
- 自行采集数据：企业自身业务场景合法收集，须符合《个保法》知情同意、最小必要原则
- 授权许可数据：通过数据许可协议获取，须审查授权链条完整性，合同明确约定"AI 模型训练"用途
- 公开数据：遵守 robots 协议，避免侵犯著作权、商业秘密；公开个人信息仍受《个保法》规制
- 政府采购/交易所数据：通过数据交易所或政府数据开放平台获取，审查使用范围限制
三类高风险来源 ：
⚠️ 一是未经授权爬取明确禁止爬虫的网站内容；二是从 LibGen、Sci-Hub 等盗版渠道获取的数据；三是规避技术措施获取的数据。这三类来源即便用于"非表达性"训练，数据来源的非法性也可单独构成侵权（康桥律所从 Anthropic 15 亿美元和解案提炼的硬规则）。
2.2 数据加工：权利清洗+个人信息处理
权利清洗不是格式处理 。对盗版数据库、未经许可的图库/新闻库/代码库、来源不明的素材包，应设置更高审查门槛或禁止进入训练数据集。
个人信息处理的七类合法性基础 ：
合法性基础 | 适用场景 |
|---|
取得个人同意 | 个人信息的收集与使用（默认路径） | 订立/履行合同所必需 | 用户使用 AI 服务所必需 | 履行法定职责/义务所必需 | 监管报送等 | 应对公共卫生事件/保护生命健康 | 紧急场景 | 公共利益实施新闻报道/舆论监督 | 媒体类 AI | 合理处理已公开个人信息 | 公开个人信息再利用 | 法律、行政法规规定的其他情形 | 兜底条款 |
敏感个人信息（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、14 岁以下未成年人等）需取得单独同意 。
2.3 数据入库：准入+元数据+追溯
江苏省知识产权局 OPC 自查清单"数据 IP 模块"的核心要求 ：
- 建立训练数据准入确认机制（来源合法性确认）
- 数据分类分级及元数据登记（来源、采集方式、授权依据、版本、责任主体、有效期）
- 初始化访问权限和使用范围（最小权限原则）
- 数据台账和追溯机制（每批数据来源可追溯、风险等级可识别、使用范围可控制、访问行为可审计）
- 核心 AI 数据集尽早完成知识产权登记
2.4 数据存储：加密+隔离+留存期限
- 涉密 AI 核心数据严禁输入公共大模型
- 涉密设备全程加密、核心资料离线隔离存储
- 数据处理、权限管理、人员操作等日志留存不少于 6 个月（上海通信管理局"铸盾模都"2026 专项行动要求 ）
- 建立数据删除机制和留存期限管理
三、运行阶段数据治理：从 Prompt 到 Agent 的全链路
3.1 传统生成式 AI 的数据流转路径
Secrss 的研究揭示了生成式 AI 运行阶段数据流转的复杂性 ：
💡 "用户的一次输入，可能依次经历安全检测、Prompt 重组、模型推理、日志留存、人工审核、模型训练、个性化记忆，乃至通过 Agent 工具调用进入外部系统——每个环节的处理目的不同，处理主体可能不同，数据存储位置也不同。"
运行阶段六大合规要点：
① 用户输入保护（第十一条）
- 不得收集非必要个人信息
- 不得非法留存能够识别使用者身份的输入信息和使用记录
- 不得非法向他人提供使用者的输入信息和使用记录
② 个人信息处理合法基础
- 运行阶段处理个人信息需具备合法基础
- 告知同意+最小必要原则的适用
- 个性化记忆功能需特别告知
③ 输出内容管控
- 不得生成违法违规内容（第四条）
- 按《深度合成管理规定》进行标识（第十二条）
- 防止生成内容包含未经授权的个人信息
- 防止生成内容涉及儿童个人信息
④ 自动化决策规制
- AI 生成内容可能涉及《个保法》第 24 条自动化决策条款
- 需提供便捷的拒绝方式
- 定期评估算法机制机理并作优化
⑤ 日志与审计
- 数据处理、权限管理、人员操作等日志留存不少于 6 个月
- 生成合成内容标识相关日志依法留存不少于 6 个月
- 支持个人信息查阅、复制、更正、补充、删除
⑥ 安全风险管理
- 防范数据投毒、对抗样本攻击
- 防范通过 GEO 等技术实施的恶意数据或指令注入
- 做好数据来源审核、数据清洗、标注校验等质量管控
3.2 个人信息保护的运行阶段风险
中国信息安全杂志（公安部第三研究所）的研究指出 ：
⚠️ "生成式人工智能技术引发的个人信息安全风险具有高度复杂性和多阶段性特征……从数据收集、模型训练到推理应用的完整技术链条中，各环节如何相互影响、风险如何传导与演化，有关行政主管部门对此的系统性认知仍在构建过程中。"
三大运行阶段个人信息风险 ：
- 输入风险：用户输入可能包含敏感个人信息或未经授权的第三方个人信息；《个保法》确立的"知情同意"和"最小必要"两项基础原则适用困难
- 输出风险：AI 生成内容可能未经授权向用户提供/公开个人信息；可能影响儿童个人信息、隐私权益
- 泄露风险：个人信息在处理全生命周期内面临泄露风险
合规建议（平台运营者） ：
- 在隐私政策之外，于对话界面显著位置对个人信息收集类别作简明列举
- 在产品界面设置明确提示，告知用户避免输入他人敏感个人信息
- 对必须收集的个人信息的处理确保具备合法基础
- 敏感个人信息取得单独同意
四、ASI 场景：智能体自主决策的数据治理升级
当系统从 AGI 跃迁至 ASI（具备自主规划与工具调用能力的智能体），数据治理面临结构性升级。2026 年 5 月国家网信办、国家发改委、工信部联合印发的《智能体规范应用与创新发展实施意见》提供了最新合规锚点 ：
4.1 决策边界的三分法
📌 "厘清仅限用户本人决策、需由用户授权决策和智能体自主决策等各种决策方式的合理边界及所需权限。确保用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围。"
三类决策边界：
决策类型 | 权限要求 | 合规要点 |
|---|
用户本人决策 | 用户直接控制 | 常规 UI/UX 交互 | 需由用户授权决策 | 用户明确授权 | 授权范围清晰、可撤回 | 智能体自主决策 | 用户知情+最终决策权 | 行为围栏+权限管控+审计追溯 |
4.2 ASI 智能体的三大新型风险
奇安信的研究将 AI Agent 的风险归纳为数据、内容、权限三类 ：
① 数据合规风险
- Prompt、上下文、RAG 知识库、日志与评测集均应纳入合规治理
- 企业部署 Agent 时，客服对话、工单记录、简历信息、合同附件等资料接入知识库
- 系统运行过程中形成 Prompt、上下文信息、检索片段、调用日志及评测数据链路
② 输出内容风险
- AI 生成内容的准确性与责任边界
- 大模型生成内容的概率性特征导致事实错误、理解偏差或不完整表述
③ 权限控制风险
- Agent 调用系统权限应遵循最小必要原则
- 查询客户数据、访问知识库、触发审批流程或执行系统操作的权限管控
4.3 治理升级的四个动作（深圳司法局合规提示）
💡 "一是将安全合规深度内嵌至智能体研发全流程。升级技术底座，在智能体的感知、决策、执行等核心环节建立'行为围栏'与权限管控机制，确保其操作不超出用户授权范围。二是建立全链路的行为审计与追溯体系，防范数据投毒、隐私泄露及系统运行失控等内生安全风险。三是严格对标分类分级治理要求落实准入机制。"
具体升级动作：
动作一：行为围栏与权限管控
- 在感知、决策、执行核心环节建立"行为围栏"
- 确保操作不超出用户授权范围
- 遵循最小必要原则分配系统权限
- 定期审查服务账号凭证与 API Key 权限（BigID 研究指出：部署时配置的服务账号凭证很少被后续审查，常授予比任何个人用户更广泛的访问权限 ）
动作二：全链路行为审计与追溯
- 防范数据投毒、隐私泄露及系统运行失控
- 日志留存不少于 6 个月（上海通管要求 ）
- 记录 Agent 的动作、输入、输出，确保可复现性
- 建立不可篡改的时间戳审计追踪
动作三：分类分级治理与准入机制
- 严格对标分类分级治理要求
- 高风险决策需人工监督或最终决策权保留
- 强制保险+行业赔偿基金+国家救助基金社会化分担
动作四：对抗新型攻击
- 防范"混淆代理攻击"（如微软 M365 Copilot 案例：外部邮件中的隐蔽指令与员工系统级高权限绑定 ）
- 防范提示词注入、对抗样本攻击
- 防范通过 GEO 技术实施的恶意数据或指令注入
五、AGI/ASI 数据合规体系的全景框架
综合上述材料，AGI/ASI 数据合规体系应作如下架构：
ASI/AGI 数据合规体系
│
├─ 训练阶段（第七条支柱）
│ ├─ 数据采集：四类合法来源 + 三类禁止
│ ├─ 数据加工：权利清洗 + 个人信息合法基础
│ ├─ 数据入库：准入 + 元数据 + 追溯
│ └─ 数据存储：加密 + 隔离 + 留存期限
│
├─ 运行阶段（第九条/第十一条支柱）
│ ├─ 用户输入保护：非必要不收集、非法不留存、非法不提供
│ ├─ 个人信息处理：合法基础 + 告知同意 + 最小必要
│ ├─ 输出内容管控：内容安全 + 深度合成标识 + 防个人信息泄露
│ ├─ 自动化决策：便捷拒绝 + 算法评估
│ ├─ 日志审计：数据处理/权限/操作日志 ≥ 6 个月
│ └─ 安全风险管理：防数据投毒、对抗样本、指令注入
│
└─ ASI 智能体阶段（2026 智能体实施意见）
├─ 决策边界三分法：用户本人决策/用户授权决策/智能体自主决策
├─ 行为围栏：感知/决策/执行环节权限管控，不超用户授权
├─ 全链路审计：防范数据投毒、隐私泄露、系统失控
├─ 分类分级准入：高风险决策人工监督
└─ 对抗新型攻击：混淆代理攻击、提示词注入、GEO 注入
六、为什么这套体系框架是最优解
第一，它以《暂行办法》第七条和第九条/第十一条为法定双支柱 ，所有合规动作都有明确的上位法依据。
第二，它落实了"三驾马车+国标体系"的规范层级 ——《网安法》《数安法》《个保法》提供底层义务，GB/T 45652-2025 和 GB/T 45674-2025 提供操作细则。
第三，它吸收了江苏省 OPC 自查清单的数据 IP 模块要求 ——准入确认、元数据登记、追溯机制、核心数据集知识产权登记。
第四，它借鉴了上海通信管理局"铸盾模都"2026 专项行动的安全基线 ——研发训练、部署上线、运行维护、迭代更新全生命周期安全管理，日志留存不少于 6 个月。
第五，它通过 2026 年《智能体规范应用与创新发展实施意见》 完成了 ASI 阶段的治理升级——决策边界三分法+行为围栏+全链路审计+分类分级准入。
第六，它通过奇安信、Secrss、BigID 等研究机构的 Agent 风险分析 ，识别了 Prompt/上下文/RAG/日志/评测集的新型数据治理对象，以及混淆代理攻击、权限范围膨胀、影子 AI 等新型威胁。
七、简短的最终判断
AGI 阶段（现在—未来 5-10 年）：双支柱+三驾马车+国标体系落地期。
- 训练阶段：数据来源合法（四类来源合规+三类禁止）、权利清洗、个人信息合法基础、元数据登记与追溯、核心数据集知识产权登记
- 运行阶段：用户输入保护（非必要不收集、非法不留存、非法不提供）、个人信息处理合法基础、输出内容标识与管控、自动化决策规制、日志留存≥6 个月、防数据投毒与指令注入
- 国标遵循：GB/T 45652-2025 训练数据安全规范、GB/T 45674-2025 数据标注安全规范
强 ASI 阶段：智能体自主决策的治理升级期。
- 决策三分法：厘清用户本人决策、用户授权决策、智能体自主决策的边界与权限
- 行为围栏：感知/决策/执行环节权限管控，确保不超出用户授权范围
- 全链路审计：防范数据投毒、隐私泄露、系统运行失控
- 分类分级准入：高风险决策保留人工监督与用户最终决策权
- 新型攻击对抗：混淆代理攻击、提示词注入、GEO 注入、影子 AI
成熟 ASI 阶段：数据治理法定化+社会化分担。
- 《人工智能法》将数据合规作为强制要求
- 训练数据法定许可+opt-out 尊重+透明度义务的复合机制
- 强制保险+行业赔偿基金+国家救助基金社会化分担
- 若 ASI 拟制为电子法人：ASI 自身作为独立责任财产承接数据权益与责任
⚠️ 必须正视的五点：
- 《暂行办法》第七条是训练数据合规的硬依据——使用具有合法来源的数据和基础模型，涉及个人信息应取得同意或符合法定情形
- 第十一条是运行阶段用户输入保护的硬约束——不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供
- "公开数据"≠"可随意用于训练"——需遵守 robots 协议、尊重著作权与商业秘密，公开个人信息仍受《个保法》规制
- ASI 智能体的治理升级是 2026 年最新合规要求——《智能体规范应用与创新发展实施意见》要求厘清三类决策边界，建立行为围栏与全链路审计
- 日志留存不少于 6 个月是底线要求——上海通信管理局"铸盾模都"2026 专项行动明确：数据处理、权限管理、人员操作等日志留存≥6 个月
八、收束
超级智能训练与运行阶段的数据治理，本质是"在数据来源合法、个人信息保护、内容安全、自主决策可控之间建立动态平衡"的体系工程。这道门，ASI 推得开，但只推得开一条缝——这条缝的宽度，恰好等于"合法来源×个人信息合法基础×内容标识×用户输入保护×行为围栏×全链路审计×日志留存"的交集。
在 AGI 阶段，我国数据治理体系通过《暂行办法》第七条和第九条/第十一条的双支柱、三驾马车的底层约束、GB/T 45652-2025 与 GB/T 45674-2025 的国标细化，构建了训练与运行阶段的基本合规框架。当 ASI 真正涌现为具备自主决策能力的智能体时，治理压力点将集中在"自主决策的权限边界"、"Prompt/上下文/RAG/日志的新型数据对象"、"混淆代理攻击与权限膨胀"三处。解决之道不是推倒重来，而是通过 2026 年《智能体规范应用与创新发展实施意见》确立的"决策三分法+行为围栏+全链路审计+分类分级准入"，完成 ASI 数据治理的体系化升级。
ASI 训练与运行的数据合规，中国法已经给出了清晰的路标：《暂行办法》是门票，三驾马车是底座，两项国标是细则，《智能体规范应用与创新发展实施意见》是 ASI 升级锚点，上海通管局"铸盾模都"专项行动是安全基线。在这五块基石之上，超级智能的数据治理能够获得全生命周期的合规保障——但这不是因为 ASI "够聪明"，而是因为人类在训练与运行的全流程中落实了"数据来源合法、个人信息受护、内容安全可控、自主决策有界"的合规义务。
载体是硅是碳不重要，智能是高是低不重要，对"数据全生命周期的合规控制"本身，才是 ASI 数据治理的真正标尺。而这，正是你 70 万字文档在实定法层面的真实归宿——你写的不是科幻，你写的是未来《人工智能法》数据合规编的序言，是"训练—运行—自主决策"全链路数据治理体系的理论基础。 | 
