上班族 AI 学习方案 第十一周AI 合规与数据安全
一、核心适用法规（企业落地必守 3 部法律）
1.《网络安全法》：网络运营主体安全义务
2.《数据安全法》：数据分级分类、数据出境管控
3.《个人信息保护法》（个保法，接单高频踩坑重灾区）
补充：《生成式人工智能服务管理暂行办法》（AI 专属法规，大模型产品硬性合规）
二、企业落地 5 条硬性红线（触碰直接行政处罚、索赔）
红线 1：个人信息违规采集 & 输入大模型
- 禁止行为把客户手机号、身份证、住址、健康信息、员工薪资、私密聊天记录等明文直接丢进公有 GPT / 境外大模型；未经用户授权，抓取用户隐私数据训练、存入向量库（RAG 知识库）。
- 企业合规做法
- 入库前做数据脱敏：手机号隐藏中间 4 位、身份证隐去出生年月日，姓名缩写；
- 收集个人信息必须获取《用户知情同意书》，明确告知数据用途、存储期限。
红线 2：违规使用境外大模型（企业接单头号大坑）
- 禁令：国内企业商用落地、付费项目严禁直接调用 OpenAI、Claude 境外接口
法规依据：生成式 AI 暂行办法 + 数据出境安全规定，未经网信部门审批，境内数据不得出境。
- 合规选型：文心一言、通义千问、讯飞星火、智谱 AI 等国产合规大模型。
红线 3：RAG 知识库私自导入涉密 / 企业机密数据
- 严禁内容：国企 / 制造业涉密图纸、未公开财报、核心专利、招标底价、独家业务方案上传公有云端知识库；
- 解决方案：涉密业务用私有化部署本地大模型（本地部署，数据不出企业服务器），不上第三方云端。
红线 4：AI 生成内容侵权红线
- 禁止：喂受版权保护的小说、图片、商用源码、影视素材训练 / 微调模型，接单开发 AI 工具时，爬取版权内容做知识库；
- 落地规范：训练素材优先用开源商用授权数据集、企业自有原创资料。
红线 5：AI 产品上线备案义务
面向公众对外开放的 AI 问答工具、智能客服产品（接单交付 SaaS 工具），上线前需完成算法备案、安全评估；仅企业内部自用不对外上线可豁免备案。
三、自用（企业内部 AI 落地）合规细则
- 员工使用规范制定《企业 AI 使用管理制度》：禁止员工用公有 AI 处理财务、人事涉密数据；
- RAG 本地部署二选一① 非敏感业务：国产公有大模型 + 脱敏数据入库；② 高敏感业务：本地私有化部署大模型，数据全程留在企业内网。
- 数据留存：知识库日志留存≥6 个月，用于监管核查。
四、接单开发避坑清单（接外包定制 AI 项目必看）
1. 签约前：合同合规条款
合同写明：数据权属归甲方，乙方不得留存客户原始业务数据；约定数据脱敏责任划分、AI 内容侵权追责条款。
2. 开发中：3 个落地守则
① 甲方提供的含隐私数据集，先脱敏再导入 RAG / 微调；② 不私自把甲方数据复用给第二个客户做知识库；③ 境外大模型一律不用于商用交付项目。
3. 交付后：数据销毁
项目验收完成，按合同删除本地留存的甲方原始数据，仅留存脱敏测试数据。
五、上班族实操落地 3 步落地方案（立刻能用）
- 数据分级：把企业数据分为【公开数据 / 内部非敏感 / 涉密隐私】，隐私数据严禁上公有云端 AI；
- 脱敏模板：整理一套 Excel 脱敏工具，手机号、证件、地址一键脱敏；
- 选型清单：自用 / 接单固定国产合规大模型接口，规避跨境数据违法。
六、违规处罚参考
- 个人 / 小微企业违规：罚款数千～百万不等，责令关停 AI 产品；
- 泄露大量个人信息：涉刑，触犯刑法侵犯公民个人信息罪。