AI 伦理与合规：产品经理的底线思维

合规不是法务的事，是产品需求的一部分

AI 产品的合规问题几乎都长在产品形态上：要不要备案、内容标不标识、用户输入能不能用于训练、生成内容的版权算谁的——这些答案会直接改写 PRD。等上线前才找法务，代价是返工。产品经理不需要背法条，但需要一张“雷区地图”。

中国监管框架速览

监管线	核心要求	对产品的直接影响
生成式 AI 服务	面向境内公众提供生成式 AI 服务，需在《生成式人工智能服务管理暂行办法》框架下完成安全评估与备案（俗称大模型备案/登记）	自研或深度定制模型走完整备案流程；基于已备案模型的应用通常为更轻量的登记，立项前与法务确认路径
内容标识	《人工智能生成合成内容标识办法》自 2025 年 9 月起施行，要求对生成合成内容添加显式标识与隐式标识	文案、图片、音视频的 AI 标识要进入设计规范与生成、下载、导出全链路
算法备案	具有舆论属性或社会动员能力的算法（推荐、生成合成类）需备案	内容分发、个性化推荐等功能上线前预留备案排期
数据合规	个人信息保护法、数据安全法	隐私政策更新、最小必要收集、数据分类分级、跨境传输评估

产品决策提示：立项期就问三个问题——底层模型是否已备案？产品是否有舆论属性？生成内容如何标识？答案直接决定排期，不要等开发完再补。

内容标识的两个层次

• 显式标识：用户可感知的提示，如“本内容由 AI 生成”的文案、水印、对话界面固定标示。
• 隐式标识：嵌入文件元数据等机器可读的标识，供内容传播后溯源。

产品上要把两层分别落到具体界面与文件导出链路，缺一层都是合规缺口。

国际对比：EU AI Act 的风险分级

欧盟《人工智能法案》（EU AI Act）按风险分级监管：不可接受风险（如特定场景的社会评分）直接禁止；高风险（如招聘、信贷评估场景的系统）承担全流程合规义务；有限风险（如聊天机器人）以透明度告知为主；最小风险基本不受约束。

对比中国框架，共同点是“场景风险决定义务强度”。做出海产品时，先把每个功能映射到风险等级，再评估合规成本，而不是直接套用国内做法。

隐私与版权要点

隐私

• 用户与 AI 的对话常包含个人信息甚至敏感信息，处理需充分告知；涉及敏感个人信息的，依法需单独同意。
• “用户输入是否用于模型训练”必须在隐私政策与产品界面中显式说明，并提供退出选项。
• to B 场景重点关注数据是否隔离、是否出境——这是企业采购评审的高频问题。

版权

• 训练数据版权争议持续发酵，国内外已有多起新闻出版商、图库对 AI 公司的诉讼，规则仍在演进中，产品表述上避免承诺“生成内容绝对无版权风险”。
• 生成物权属在不同法域结论不一，涉及商用素材（LOGO、配图、营销文案）时，建议加入人工审核环节与授权条款。

产品决策提示：对高风险输出（商用图片、对外文案、代码）建立“AI 生成 + 人工确认”的流程卡点，比事后下架便宜得多。

上线前合规 checklist

1. 确认底层模型的备案状态，留存证明文件。
2. 评估产品是否触发算法备案与安全评估。
3. 生成内容的显式/隐式标识已覆盖 UI 与导出文件。
4. 隐私政策覆盖训练用途、第三方共享、跨境条款。
5. 建立用户投诉与有害内容处置通道。
6. 高风险场景配置人工审核与留痕审计。
7. 营销话术避免绝对化承诺（“100% 准确”“无版权风险”）。

本节要点

• 中国框架四条线：生成式 AI 备案、内容标识（2025 年 9 月起施行）、算法备案、数据合规，立项期逐条对号入座。
• EU AI Act 按风险分级（不可接受/高/有限/最小），出海产品先做功能到风险等级的映射，再估合规成本。
• 隐私上显式说明“输入是否用于训练”；版权上训练数据与生成物权属均未定论，商用输出加人工确认卡点。
• 合规是产品需求：把 checklist 写进 PRD 模板，让每次评审自动过一遍底线。