本文为实践整理，仅供参考，不构成法律意见。具体要求以监管部门最新规定和属地网信部门的解释为准。
第一步：判断是否"面向公众提供服务"
《生成式人工智能服务管理暂行办法》（2023 年 8 月 15 日起施行）适用于向境内公众提供生成式人工智能服务。办法同时规定，企业等机构研发、应用生成式人工智能技术，未向境内公众提供服务的，不适用本办法。
| 情况 | 一般判断 |
|---|---|
| 只给本企业员工用的内部知识库、写作助手 | 通常不属于向公众提供服务 |
| 酒店官网、小程序上给客人用的 AI 客服 | 属于向公众提供服务，需重点评估 |
| 由员工审核后再发出的点评回复初稿 | 生成内容经人工审核后发布，但仍建议做好内容审核与留痕 |
第二步：面向公众时的备案与登记
- 具有舆论属性或社会动员能力的生成式 AI 服务，需按规定开展安全评估，并履行算法备案等手续；
- 自研或部署模型直接对公众提供服务的，通常需要办理生成式人工智能服务备案；
- 通过接口调用已备案大模型提供服务的应用，部分地区实行登记管理。
办理前建议先咨询属地网信部门，确认适用哪种程序。
第三步：生成内容标识
《人工智能生成合成内容标识办法》自 2025 年 9 月 1 日起施行。面向公众提供的 AI 生成文本、图片、音频、视频等内容，需要按要求添加显式或隐式标识。例如 AI 客服的回复，应让用户能够知道内容由 AI 生成。
第四步：数据安全与个人信息保护
- 《数据安全法》：建立数据分类分级与安全管理制度，重要数据重点保护；
- 《个人信息保护法》：处理客人姓名、证件、联系方式、消费记录等个人信息，要有合法依据，遵循最小必要原则，做好告知；
- 网络安全等级保护：承载业务的系统按定级要求落实保护措施。
私有化部署在这一步有天然优势：数据不需要发送给外部平台，便于证明数据流向可控。
上线前检查清单
- 明确服务对象：仅内部员工，还是面向公众
- 面向公众的，确认是否需要备案或登记，并向属地网信部门咨询
- AI 生成内容按规定添加标识
- 输入、输出内容安全过滤，敏感问题有拒答或转人工机制
- 训练与知识库数据来源合法，不含未经授权的个人信息
- 个人信息处理有告知与授权，按最小必要原则采集
- 对话日志按规定期限留存，访问权限受控
- 指定内部负责人，建立投诉与纠错渠道
参考
- 生成式人工智能服务管理暂行办法（国家网信办等七部门，2023）
- 人工智能生成合成内容标识办法发布（新华网，2025）