2026 年 1 月 1 日，新修订的《中华人民共和国网络安全法》正式施行。这是该法自 2016 年颁布以来的首次修改，修改决定由十四届全国人大常委会第十八次会议于 2025 年 10 月 28 日通过。
修改的核心：人工智能入法
此次修改最受关注的，是新增的第二十条。该条对人工智能的安全与发展作出专门规定：国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。
条文同时明确，国家支持运用人工智能提升网络安全保护水平。这一「双向」表述——既用法律促进 AI 发展，也借助 AI 增强网络安全——延续了近年来「发展与安全并重」的治理取向。
除新增条款外，本次修改还调整了部分法律责任，加大了对违法行为的处罚力度，并对条文顺序作了相应调整后重新公布。
为什么这是一次「层级跃升」
在此之前，人工智能治理的主要规范载体是部门规章和规范性文件，例如《生成式人工智能服务管理暂行办法》《互联网信息服务深度合成管理规定》《人工智能生成合成内容标识办法》等。这些文件效力层级较低，且多为「服务侧」的具体管理规则。
将 AI 写入《网络安全法》这一基础性法律，意味着三点变化：其一，AI 治理有了上位法依据，后续配套立法的空间被打开；其二，网络安全与 AI 治理的制度接口被打通，数据、算力、算法不再是彼此孤立的合规议题；其三，企业的义务来源从「遵守部门规章」扩展到「遵守法律」。
对 AI 企业的三层含义
第一，合规清单需要重新对齐。 过去企业往往按「备案—标识—评估」三条线分别管理。上位法明确「训练数据资源、算力基础设施、伦理规范、风险监测评估」并重之后，这些事项需要在同一套治理框架内统筹。可参见我们对中国 AI 监管体系与算法备案全流程的梳理。
第二，安全投入从「成本项」变为「合规项」。 法律层面的「安全监管」表述，使风险监测评估不再是可选项。参见生成式人工智能服务安全基本要求实践指南。
第三，出海企业需要重新评估两地规则的叠加。 国内上位法收紧的同时，欧盟《人工智能法》的透明度义务也已生效，双轨合规的复杂度上升。可参见出海 AI 企业的双轨合规与欧盟 AI 法案合规指引。
企业可以立即着手的三件事
一是把「训练数据来源」与「算力采购」纳入同一份合规台账，明确数据授权链条与算力使用边界；二是对照第二十条的四个维度（技术研发、数据与算力、伦理规范、风险监测）逐项自查现有制度是否留白；三是关注后续配套立法，尤其是人工智能领域的专门法律进程。
法律层级的抬升并不必然意味着义务立即加码，但它改变了监管的「锚点」。对 AI 企业而言，越早把治理框架从「应对检查」转向「内生化」，越能降低后续调整的成本。
本文依据新修订的《中华人民共和国网络安全法》及全国人大常委会相关决定等公开信息编写，仅供参考，不构成法律意见。