2025 年 12 月 6 日，国家互联网信息办公室就《网络数据安全风险评估办法（征求意见稿）》公开征求意见，意见反馈截止时间为 2026 年 1 月 5 日。
办法要解决什么问题
《数据安全法》与《网络数据安全管理条例》已经确立了数据安全风险评估的制度要求，但"评估什么、多久评一次、评完怎么用"长期缺乏统一的操作规则。这份征求意见稿的作用，是把上位法的原则性要求转化为可执行的评估制度。
从公开内容看，征求意见稿把网络数据安全风险评估定义为"对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动"——这一定义把评估对象从"数据"扩展到"处理活动"，意味着评估不只关注数据本身，也关注处理数据的过程。
两类主体的义务强度不同
重要数据处理者：年度评估是硬义务。 处理"重要数据"的网络数据处理者，应当每年度对其网络数据处理活动开展风险评估。这是强制性要求。
一般数据处理者：鼓励开展。 对处理一般数据的处理者，征求意见稿采取鼓励态度，未设定强制频次。
这一分层设计与《个人信息保护法》下"个人信息保护影响评估"、“重要数据处理者"等既有制度形成体系衔接。参见 重要数据处理者的义务。
对 AI 企业的现实意义
AI 企业与"重要数据"的关系，往往比企业自己意识到的更紧密。
第一，训练语料可能构成重要数据。 当训练语料涉及行业运行数据、地理信息、群体行为数据等类别时，可能被认定为重要数据。一旦落入范围，企业即成为重要数据处理者，需要承担年度评估义务。参见 AI 数据合规风险清单。
第二，模型训练与推理活动本身是被评估的"处理活动”。 征求意见稿把"处理活动"纳入评估对象，意味着数据采集、标注、训练、推理、存储与删除的全流程，都可能成为评估内容。
第三，评估报告可能成为监管核验的抓手。 征求意见稿设置了评估报告的报送与核验机制，并对第三方评估机构提出独立性要求。这意味着评估不是"内部自查了事"，而是可能被外部核验的正式文件。
企业可以提前做的准备
第一，先做数据分类分级。 判断自身是否处理重要数据，是所有后续义务的前提。没有分类分级，就无法确定义务强度。
第二，把评估周期纳入年度合规日历。 对可能被认定为重要数据处理者的企业，应提前建立年度评估的时间表、责任人与留档机制。参见 数据合规服务。
第三，区分数据安全风险评估与其他评估。 数据出境安全评估、个人信息保护影响评估与网络数据安全风险评估，是三项不同的制度，触发条件与内容各不相同，不能相互替代。参见 数据出境合规指引。
与最终办法的衔接
征求意见期结束后，该办法经修改完善后正式公布施行，确立了重要数据处理者的年度评估义务、评估报告的报送与核验机制，以及对第三方评估机构的独立性要求。参见 《网络数据安全风险评估办法》施行。
从征求意见到正式施行，制度的方向是清晰的：数据安全风险评估正在从"原则要求"变成"定期动作"。对处理重要数据的 AI 企业而言，越早建立评估能力，越能避免在监管核验时被动。
本文依据国家互联网信息办公室《网络数据安全风险评估办法（征求意见稿）》及公开信息编写，仅供参考，不构成法律意见。