引言
随着生成式人工智能技术加速迭代、产业纵深发展，网络数据在模型训练、研发应用、场景落地中呈现规模集聚、高效流动、深度应用的特征。在此背景下，强化生成式人工智能领域数据安全治理，既是保障产业规范健康发展的重要基础，也是推动技术创新与数据价值释放的关键支撑。本期文章主要分享徐汇区立足大模型企业高度集聚、创新生态活跃的区域特点，探索编制《生成式人工智能行业网络数据安全风险评估工作手册》（以下简称《工作手册》）的实践经验。
一、编制背景
为深入贯彻落实《网络安全法》《数据安全法》《个人信息保护法》《上海市数据条例》等法律法规，加强重点行业网络数据安全合规指导、风险评估和安全防护，在市委网信办的指导和支持下，徐汇区委网信办会同专业技术支撑机构及属地已完成大模型备案的重点企业，总结梳理了生成式人工智能行业网络数据安全评估准备、风险识别等全流程方法，助力企业落实主体责任，规范评估标准，并为监管部门提供技术参考，旨在为本市乃至全国生成式人工智能行业的健康有序发展提供可复制、可推广的区域经验。
二、适用范围
《工作手册》适用于从事生成式人工智能技术研发、应用服务、数据处理的各类单位，包括但不限于基础模型提供者、AI服务运营商及行业应用开发者，并可作为第三方评估机构和监管部门的参考依据。
三、主要内容
《工作手册》介绍了生成式人工智能行业各单位网络数据安全风险评估实施流程，细化和明确了具体实施的方式和路径等，主要包括五大部分：一是总体概述；二是分析行业特点与评估目标；三是详细介绍了“评估准备—信息调研—风险识别—综合分析—评估总结”全周期评估流程；四是编制了网络数据安全风险评估报告基本信息表单和系统评估工具。
四、特色亮点
（一）立足行业特性，打造专用评估体系
针对生成式人工智能行业数据依赖度高、模型与内容不易控、合规伦理挑战较突出的核心特点，在国家标准框架基础上创新构建“基础+专项”双层评估体系。《工作手册》既全面覆盖数据安全管理、安全技术、个人信息保护等基础合规要求，又针对性拆解出“预训练与优化训练数据”“生成内容”“用户交互数据”三大专项风险识别板块，形成与“数据输入→模型处理→内容输出→用户反馈”业务流程深度适配的评估框架，实现对行业特有风险的系统化识别。
（二）聚焦核心资产，贯穿全链路风险管控
以训练数据集、生成内容输出、用户交互数据三类核心资产为评估主线，覆盖数据采集、预处理、模型训练、内容生成、用户交互、数据销毁全生命周期。从源头管控数据来源合规性，到过程保障数据投毒检测、批次隔离标识、去标识化处理，再到终端防范生成内容有害信息过滤、深度伪造识别、用户会话日志保护，形成闭环式风险治理体系。
（三）对标法律规章，强化基线管理要求
严格对照《网络安全法》《数据安全法》《个人信息保护法》《生成式人工智能服务管理暂行办法》及国家相关行业标准，将法律法规要求转化为具体可执行的评估指标，明确数据分类分级、去标识化与隔离存储、传输加密、权限最小化管控、删除有效性验证等刚性技术措施。同时，纳入知识产权侵权风险识别、价值对齐与伦理风险筛查、模型幻觉风险防控等专项内容，系统应对生成式人工智能行业可能面临的版权争议、伦理挑战及虚假信息问题，确保评估的合规性与前瞻性。
（四）衔接相关国标，提供可复用的行业实践范本
紧密衔接《生成式人工智能服务安全基本要求》《生成式人工智能预训练和优化训练数据安全规范》等国家标准，将分散于多项标准中的原则性要求，整合转化为一套完整、系统、可复用的评估工具。从风险识别表的设计、评估方法的匹配，到综合分析维度的确定，为行业提供了“从标准到实践”的落地范本，有效解决了行业企业在贯标实施过程中“要求明确但不知如何着手”的操作难题。
