2024 年 9 月 24 日，《网络数据安全管理条例》公布，自 2025 年 1 月 1 日起施行。条例围绕网络数据处理者义务、个人信息保护、重要数据、数据跨境与平台责任作出规定，并设置生成式人工智能专条，加强训练数据安全。公布到施行之间留出的时间不长，真正需要做的是把条例条款转换成一张可执行的任务清单。
义务主体先要定准
条例的义务落在网络数据处理者身上。判断谁是处理者，不看服务器位置，也不只看合同里的名义，而看谁决定处理目的与方式。AI 企业常见的情形是：模型开发者、云服务商、应用运营方、数据标注外包方各自处理一部分数据。同一批数据在不同环节可能对应不同的处理者角色，需要逐段确认，而不是给整个项目贴一个标签。
重要数据与个人信息是两条独立线索
重要数据关注国家安全与公共利益，个人信息关注自然人权益。二者可能重叠，但判断标准与义务内容不同。企业应分别建立识别依据：重要数据结合行业目录与业务规模判断，个人信息按敏感程度与处理量分级。两条线索混在一起，容易出现“做了个人信息保护，却遗漏重要数据备案”的缺口。
跨境路径要在施行前选定
条例对数据跨境作出规定，与现行安全评估、标准合同、认证等路径并存。企业需要根据数据类型、数量与接收方情况选择路径，并把选择结果写入合同与内部流程。常见问题是路径选择与实际数据流不一致：合同写明不出境，运维却允许境外访问。这类不一致在检查中很难解释。
平台责任与生成式人工智能专条
条例对平台责任作出规定，涉及对平台上第三方活动的管理。对提供模型服务或 API 的平台，这意味着需要建立接入审核、违规处置与记录留存机制。下架是最后手段，日常的资质核验、内容与数据流向监控才是主要工作。平台还应保留处置记录，以便在争议中说明已尽合理管理义务。
专条要求加强训练数据安全。它不创设一套独立许可，而是把训练数据纳入网络数据安全的通用框架，再叠加针对性要求。企业需要说明训练数据的来源、处理过程与安全措施，并保留可核查的记录。对使用合成数据或第三方数据集的模型，记录链条往往更复杂，应优先梳理。
一张可执行的任务清单
按数据处理环节列出责任人、法律依据、现有措施与缺口；标注重要数据与个人信息的识别结论及备案状态；确认跨境路径与合同条款一致；核对平台侧接入管理与处置记录；整理训练数据的来源与处理记录。清单不必追求一次完备，但应明确完成时间与复核人。
条例施行前的准备，可参见数据合规服务与网络安全合规服务；跨境路径选择另见 GDPR 跨境服务。
本文依据 2024 年 9 月 24 日公布的《网络数据安全管理条例》及公开信息编写，仅供参考，不构成法律意见。