合规期 CN

AI 产品上线合规文档包

上线前真正卡住产品的，往往不是功能，而是五份文档互相对不上：隐私政策写的处理目的，PIA 里没有；备案材料描述的功能，线上版本已经改了。我们把用户协议、隐私政策、PIA、备案材料与标识方案作为一套交付，顺序、口径与版本一次对齐。

难点不在写，而在对得上

上线合规通常被拆成五件事分头推进：法务写用户协议与隐私政策，外部机构做备案材料，安全团队写 PIA，产品做标识方案。五份文件交上来，看起来齐了。但监管检查问的往往不是"有没有"，而是"对不对得上"——同一项处理活动，在五份文件里出现四种说法，比缺一份文件更难解释。

文档包的做法是把五份文件当成一套系统：先定事实，再写文本，最后交叉核对。

交付的五份文档

文档	作用	交付物
PIA 报告	证明高风险处理事前已评估	八部分评估报告、整改清单、复核触发条件
隐私政策	对外告知处理活动、取得同意	政策全文、单独同意实现方案、权利行使入口
用户协议	约定服务规则与责任分配	正文、可接受使用政策、SLA、变更记录
备案材料	证明服务与算法符合准入要求	备案表、算法说明、安全自评估、承诺文件
标识方案	落实生成合成内容标识义务	界面标识规范、接口标识方案、用户条款对应

适用对象

准备首次上线的生成式 AI 产品，尤其是面向公众提供服务的；
已上线但文档版本混乱、面对监管问询答不上来的产品；
融资或并购尽调前，需要一次性补齐合规底稿的企业；
教育、医疗、金融等涉及敏感个人信息或未成年人的场景。

流程与周期

数据流与功能盘点（约 1 周）：确认处理活动、模型调用链、第三方共享与留存。
PIA 与整改（约 2 周）：评级、结论、高风险项整改验收。
文本起草（约 2 周）：隐私政策与用户协议，按 PIA 结论逐项对应。
备案材料与标识方案（约 2 周）：与文本口径一致，标识落到界面与接口。
交叉核对与交付（约 1 周）：四份文本一致性核对，形成版本包。

整体通常 6 至 8 周。备案审查周期不计入其中，需按实际受理进度另算。

交付物

五份文档定稿及版本包（含生效日期与审批记录）；
变更记录与举证清单，供监管检查、融资尽调直接引用；
上线前核对表，覆盖十项关键检查点；
可下载的合规文档清单，五份文档、三十二项核对点，供内部评审与打印使用。

常见问题

只做用户协议和隐私政策可以吗？

可以，但两份文件的事实基础来自 PIA。没有 PIA，隐私政策里的处理目的、信息种类与第三方共享缺少依据，遇到监管问询时难以自证。备案材料同理。

PIA 是必须做的吗？

涉及敏感个人信息、自动化决策、委托处理或对外提供、跨境提供四类情形之一，即属法定应当评估的情形。AI 产品很少能完全避开这四类。

文档做好后产品改版怎么办？

按变更触发规则处理：新增处理目的、更换模型供应商、新增功能模块、调整标识方式，分别对应不同的文档更新与是否重新取得同意。交付时会给出一张触发对照表。

和算法备案是什么关系？

备案是准入程序，文档包是备案的事实基础。备案材料中的服务描述、算法说明与安全评估，应与 PIA 和隐私政策保持一致；不一致时通常会被要求补充说明。