2026 年 8 月 7 日，国家互联网信息办公室就《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见，意见反馈截止时间为 2026 年 9 月 7 日。这份征求意见稿并非凭空出现——网信部门把此前已公开征求意见的《大型网络平台设立个人信息保护监督委员会规定》与《大型网络平台个人信息保护规定》作了整合完善，形成现在这一版。名称从“大型网络平台”改为“大型个人信息处理者”，规制对象也从“平台”扩展到以数据规模与影响为标准的经营者。对处理个人信息达到一定量级的 AI 企业来说，这套义务清单需要提前对照。

从“大型网络平台”到“大型个人信息处理者”

此前的两份征求意见稿都以“大型网络平台”为对象，落点在平台生态。整合后的这一版换了抓手：不再以“是否平台”作为门槛，而是以个人信息处理的规模与影响为标准。

这个变化有实际意义。大量 AI 应用不是传统意义上的平台——它们是模型服务、工具软件、垂直应用，但同样在处理海量个人信息。以数据规模而非平台属性划线，把这类经营者一并纳入，规则覆盖面更完整，也更贴合 AI 产业的形态。

谁能被认定为“大型个人信息处理者”

征求意见稿第二条给出了认定标准，需要综合考虑三个条件：

（一）处理 1000 万人以上自然人个人信息；

（二）提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；

（三）个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。

三个条件并列列举，由认定机关综合判断。1000 万这个量级，对多数面向公众的 AI 应用而言并非高不可攀——一款有稳定用户的消费级应用、一个覆盖全国的行业 SaaS，都可能在处理规模上触及这条线。

认定不是自动生效：申报、查验与清单公告

被纳入的路径是“申报—查验—清单公告”，而不是达到门槛即自动适用。第三条建立了完整机制：

处理 1000 万人以上个人信息、以及自评估认为符合第二项、第三项条件的经营者，应当通过所在地省级网信部门向国家网信部门申报认定。省级网信部门自收到申报材料之日起 15 个工作日内完成完备性查验，材料齐全的报送国家网信部门；不齐全的一次性告知需补充的材料。

对于符合条件但未主动申报的，省级以上网信部门、电信主管部门、公安机关等可以督促其申报。最终由国家网信部门会同国务院电信主管部门、公安部门等研究确定清单，并向社会公告。被认定的经营者若认为已连续 6 个月不再符合条件，可以申请变更认定。

这段程序设计有一个现实含义：是否被纳入，取决于申报与认定，而非经营者单方判断。企业需要先完成自我评估，再决定是否申报——这也意味着内部要先能算清自己到底处理了多少人的信息、涉及哪些重要服务。

处理规则上的加码：从告知到单独同意

第二章针对处理规则作了细化，其中几项显著高于《个人信息保护法》的一般要求：

公开规则要“逐项列明”。第十条要求以结构化清单形式列明每项功能服务收集使用个人信息的目的、方式、种类、调用权限名称与频度，嵌入的 SDK 要列明包名、版本、运营者及处理规则访问途径，对外提供要列明接收方信息。

单独同意的情形被明确列举。第十一条规定，向其他处理者提供、向境外提供、公开、处理敏感个人信息等情形，应当取得单独同意；处理不满十四周岁未成年人信息，须取得监护人同意并提供便捷的同意与撤回渠道。

自动化决策要给出“关闭选项”。第十七条要求设置易于理解、便于访问和操作的个性化推荐关闭选项，用户关闭后须停止将相关信息用于个性化推荐，并提供删除用户标签的功能。

此外，第十三条、第十四条要求境内运营中收集和产生的个人信息存储在境内，并对数据中心的设立地与实际控制人国籍提出条件；第十九条要求对符合条件的个人信息转移请求在 30 个工作日内以通用或机器可读格式完成；第二十一条要求对外提供个人信息时留存相关日志不少于六个月。数据出境方面，第二十条要求依规申报安全评估、订立标准合同或通过保护认证，并评估境外接收方，无法履约的应暂停提供。

义务章：负责人、社会责任报告与影响评估备案

第三章集中规定组织与制度义务，是这份规定区别于一般数据合规要求的部分：

第二十五条要求指定一名管理层成员担任个人信息保护负责人，并公开其联系方式。第二十六条赋予负责人相当具体的职责，其中一项值得注意——当经营者对合规意见无正当理由不予处理，或处理结果违反法律法规时，负责人可以直接向所在地省级网信部门报告。这是一条内部的“向上通道”，意味着负责人不是虚设角色。

第三十条要求每年编制并于上半年发布上一年度个人信息保护社会责任报告，内容包括组织架构、能力建设、保护措施与成效、未成年人保护、权利申请受理、监督委员会履职、重大安全事件处理等九项。

第三十一条要求上线涉及自动化决策、敏感个人信息处理等可能对个人权益有重大影响的产品、服务或功能前，开展个人信息保护影响评估，并在评估完成后 15 个工作日内通过省级网信部门将评估报告报国家网信部门备案。

制度层面，第二十四条列明了七类必备内部管理制度，包括分类管理、安全存储与行为审计、监测应急、影响评估与合规审计、未成年人保护、投诉举报、宣传教育培训；第二十八条要求操作记录、权限审批记录至少保存六个月，影响评估报告与处理情况记录至少保存三年。

对 AI 企业的实际影响

对处理个人信息达到千万量级的 AI 企业，这份规定提示三件事。

一是先做规模盘点和自我评估。是否触发认定条件，取决于处理人数、服务类型与影响程度三个维度的综合判断，而这三项都需要内部数据支撑。盘不清规模，就无法判断自己是否需要申报。

二是把“负责人”和“影响评估”当作长期机制而非一次动作。负责人的独立报告权、影响评估报告的备案要求，都指向持续运转的内部治理，而不是应付检查的一次性材料。与影响评估相邻的另一条线，是重要数据处理者的网络数据安全风险评估义务；相关的存量讨论，可参见AI 数据合规风险与跨境数据合规指南。

三是数据出境与对外提供环节需要提前安排。境内存储、日志留存、出境评估这几项要求叠加，会直接影响产品架构与技术选型，越晚处理，改造成本越高。如需就个人信息处理规模评估、内部制度建设与出境安排获得支持，可参见数据合规服务与多法域合规服务。

该规定目前仍为征求意见稿，最终适用范围与义务细节可能调整。但以数据规模划分责任层级的思路已经明确，处理量级较大的企业，宜按现有方向提前对齐。

本文依据国家互联网信息办公室 2026 年 8 月 7 日发布的《大型个人信息处理者个人信息保护规定（征求意见稿）》编写，仅供参考，不构成法律意见。具体合规判断请以正式生效文本与适用法律为准。