游戏公司使用AI工具的合规指南——从内部研发到产品上线的全流程风险管控

【游戏产业法律系列二·AI合规篇·第三篇】

美术总监打开Midjourney，输入关键词，几分钟后批量拿到角色立绘初稿——这件事，几乎不触发任何监管义务。

同一家公司，产品经理把AI对话功能嵌进游戏推送上线，玩家可以和AI NPC自由交谈——这件事，意味着企业需要在上线前完成算法备案、内容安全机制建设、用户协议修订，以及AI生成内容的标识部署。

这个区别的法律依据，来自《生成式人工智能服务管理暂行办法》（以下称“《生成式AI办法》”）第二条的明确规定：企业内部研发、应用AI技术，未向境内公众提供生成式AI服务的，不适用本办法。换言之，AI工具的合规义务，并非从“使用”那一刻开始，而是从“对外提供服务”那一刻开始。

然而，游戏公司在实际运营中，往往很难清晰划定这条边界。内部研发工具逐渐演化为面向玩家的功能模块，美术外包团队提交的素材里夹杂着大量AI生成内容，接入的第三方AI工具是否完成了合规备案……这些情况叠加在一起，使得游戏公司的AI合规风险点分散、隐蔽，难以系统管控。

本文旨在按照AI工具使用的全流程，逐阶段梳理游戏公司面临的合规义务，供游戏公司法务、产品及管理团队参考。

训练阶段：数据从哪里来，风险就从哪里来

游戏公司自建AI模型或对开源模型进行微调，首先需要面对的是训练数据的合规问题。《生成式AI办法》第七条确立了训练数据的五项法定义务：数据来源须具有合法性；涉及知识产权的，不得侵害他人权利；涉及个人信息的，须取得用户同意或符合法律规定的其他情形；须采取有效措施提高数据质量；同时遵守《网络安全法》《数据安全法》《个人信息保护法》等上位法要求。

五项义务看似明确，落到游戏公司的实际场景中，风险点往往藏在以下三类数据来源里。

一、用自有游戏素材训练

用公司自有的角色原画、场景设计、UI素材训练AI模型，是游戏公司最常见的训练数据来源，也是最容易产生权属盲区的场景。

自有素材并不等于权属无争议。游戏公司的美术资产，相当一部分来源于外包团队的交付成果。如果外包合同中没有明确的著作权转让条款，这批素材的著作权可能仍归属于外包方，游戏公司仅享有使用许可——以此为训练数据，存在侵害他人著作权的风险。此外，玩家在游戏内创作的UGC内容（自定义角色、玩家地图等），在未取得玩家明确授权的情况下，同样不宜直接用于模型训练。

笔者建议，游戏公司在启动训练项目前，应当对拟使用的素材进行权属溯源审查，确认外包合同中包含著作权转让条款，并就UGC内容的训练使用在用户协议中取得明确授权。

二、用玩家行为数据训练

用玩家操作日志、对话记录、消费行为等数据训练游戏AI，涉及个人信息的处理，须满足《个人信息保护法》的合规要求。核心要点有三：其一，用户协议中须明确告知将玩家数据用于AI训练的目的；其二，须取得用户的单独同意，不得以“使用即视为同意”代替；其三，收集范围须遵循最小必要原则，不得超出训练目的所需的范围。

值得注意的是，许多游戏公司的用户协议是在AI功能大规模应用之前起草的，对数据训练用途的告知往往缺失或表述模糊。笔者建议，将个人信息用于模型训练的游戏公司，应当对现有用户协议进行专项修订，并视情况对存量用户重新获取同意。

三、爬取外部数据训练

爬取竞品游戏截图、攻略网站内容、社区玩家创作用于训练，是游戏公司在训练数据不足时的常见补充手段，但在法律上面临双重风险：一是被爬取内容涉及他人著作权，未经授权爬取构成侵权；二是违反被爬网站的robots协议及平台服务协议，可能构成不正当竞争。前述风险在本系列第一篇中已有详细分析，此处不再展开。

笔者提醒读者注意，上述三类风险并非互相排斥，游戏公司在实际训练中往往同时使用多种数据来源，合规审查应当覆盖所有来源，而非仅针对某一类数据。

生成阶段：内容安全的责任边界在哪里

AI工具生成内容的过程，是游戏公司最难把控、也最容易出问题的环节。难把控，在于生成结果具有不确定性，同样的提示词在不同时间可能产出截然不同的内容；容易出问题，在于一旦生成内容触碰监管红线，“是用户的提示词导致的”这一辩解在法律层面几乎不成立。

一、内容安全红线：平台责任不因用户触发而免除

《生成式AI办法》第四条明确禁止AI服务生成的内容类型，包括危害国家安全、宣扬恐怖主义极端主义、民族仇恨歧视、暴力淫秽色情，以及虚假有害信息等。

对游戏公司而言，暴力与淫秽色情是最高频的风险点。玩家在与AI NPC交互时，可能主动引导对话走向敏感方向；AI辅助生成的角色立绘，在特定参数组合下可能产出“擦边”图像。无论触发原因是否来自用户侧，游戏公司作为服务提供者，均须承担内容安全的主体责任。

这意味着，游戏公司不能仅依赖事后人工审核，而需要在AI生成流程中建立前置过滤机制：对输入的提示词进行违禁关键词过滤，对输出内容进行自动化内容安全检测，并建立违法和不良信息特征库。将AI生成内容接入第三方API的游戏公司，同样需要在接入层部署上述机制，不能以“内容由第三方模型生成”为由免除自身责任。

二、安全评估义务：触发条件与游戏场景的对应

《生成式AI办法》第十七条规定，提供“具有舆论属性或者社会动员能力”的生成式AI服务，须在上线前向主管部门完成安全评估备案。

这一条款的触发条件，在游戏行业的判断并不简单。笔者将游戏公司常见的AI功能场景逐一对应如下：

功能场景	是否面向公众	安全评估结论
内部AI研发/测试工具（美术出图、自动化测试）	否	无需评估（《生成式AI办法》第二条明确豁免）
游戏内AI NPC开放式对话功能	是	大概率触发，建议上线前向主管部门评估备案
对外提供的AI内容生成API	是	必然触发，须在上线前完成评估备案
游戏内个性化内容推荐（关卡/道具/活动推送）	是	归入算法推荐管理范畴，视功能规模判断，详见NO.3

笔者提醒读者注意，安全评估并非一次性完成的工作。《生成式AI办法》要求，已上线的服务在功能发生重大变化时，须重新进行评估。游戏公司在版本迭代中对AI功能进行较大幅度调整的，应当评估是否触发重新评估义务，避免因疏漏而产生合规风险。

产品集成阶段：把AI嵌入游戏，需要办哪些“手续”

AI功能从内部工具演变为游戏产品的组成部分，是合规义务从零到全面触发的临界点。这一阶段涉及的主要合规手续，集中在算法备案、用户告知义务，以及接入第三方AI工具时的连带责任三个方面。

一、算法备案：哪些AI功能必须备案

根据《互联网信息服务算法推荐管理规定》及《生成式AI办法》的相关要求，具有舆论属性或社会动员能力的算法服务，须通过互联网信息服务算法备案系统完成备案，时限为服务提供之日起10个工作日内。

需要备案的算法类型共五类：生成合成类、个性化推送类、排序精选类、检索过滤类、调度决策类。落到游戏公司的具体功能场景，对应关系如下：

AI生成NPC对话、剧情文本、角色图像——属于生成合成类，须备案；

游戏内关卡推荐、道具推荐、活动推送——属于个性化推送类，须备案；

游戏内搜索、内容过滤功能——属于检索过滤类，视功能规模和用户覆盖范围判断是否须备案；

仅供内部使用、不面向玩家开放的AI工具——不触发备案义务。

2025年9月的算法备案清单中，已出现“零点游戏智能助手生成合成算法”（成都零点重构科技有限公司）的备案记录，说明游戏行业AI功能的算法备案已有先例可循，监管层面亦已开始关注。

笔者提醒读者注意，算法备案与安全评估是两个独立的程序，满足其中一项并不替代另一项。游戏公司在功能上线前，应当逐一核查两项义务是否均已完成。

二、用户告知义务：让玩家知道自己在和AI打交道

《生成式AI办法》第十条要求，服务提供者须明确并公开服务的适用人群、场合与用途，并采取有效措施防范未成年人用户过度依赖或沉迷生成式AI服务。

对于大多数游戏公司而言，用户告知义务的落地需要在两个层面同步推进：

其一，用户协议层面。应在用户协议或隐私政策中明确说明游戏产品包含AI生成内容功能，告知AI功能的使用方式、数据处理方式，以及针对未成年人的限制措施。《人工智能生成合成内容标识办法》（以下称“《标识办法》”）第八条亦要求，在用户服务协议中明确说明AI生成内容标识的方法与样式。

其二，产品界面层面。涉及AI陪伴型NPC、AI语音助手等拟人化交互功能的，应在界面上以显著方式告知用户其交互对象为AI，避免用户——尤其是未成年用户——对AI角色产生混淆或过度依赖。

三、接入第三方AI工具：备案责任不因外包而转移

游戏公司在产品中接入豆包、文心一言、通义千问等第三方大模型API时，面临一个容易被忽视的合规风险：即便AI能力由第三方提供，游戏公司作为面向玩家的服务提供者，仍须对AI生成内容承担内容安全主体责任。

此外，应用商店在审核AI相关功能的应用上架时，通常要求提交合作方的算法备案截图或大模型备案材料。这意味着，游戏公司在选择接入的第三方AI工具时，应当事先核查该工具是否已完成算法备案，并在合同中约定对方须持续维持备案的有效状态——否则，一旦第三方备案失效，游戏应用的上架审核或续期审核均可能受阻。

笔者建议，游戏公司在接入合同的谈判阶段即将备案有效性的持续维护纳入合同条款，同时要求第三方在备案状态发生变更时及时书面通知，为后续整改争取时间窗口。

对外发布阶段：AI生成内容的标识义务

2025年9月1日，《人工智能生成合成内容标识办法》正式施行，配套强制性国家标准GB 45438-2025《网络安全技术人工智能生成合成内容标识方法》同步落地。这是目前对游戏公司AI内容发布影响最直接的一部法规。

一、显式标识与隐式标识：不是二选一，而是并存互补

《标识办法》确立了双轨标识制度，显式标识与隐式标识须同时部署，各自承担不同功能。

显式标识，是可被用户直接感知的标注，须同时包含“人工智能/AI”与“生成/合成”两个要素。不同内容形态的标注位置有明确要求：文本内容须在起始、末尾或中间适当位置添加文字提示；图片须在边角位置添加显著提示标识；视频须在起始画面及播放周边添加；虚拟场景须在起始画面添加。

隐式标识，是嵌入文件元数据的技术性标注，包含生成合成标签、服务提供者名称或编码、内容编号等信息，供平台和监管部门核验，用户通常不可见。

两种标识各有侧重——显式标识保障用户知情权，隐式标识实现内容溯源。缺少任何一种，均构成违规。

二、游戏场景的标识义务逐一对应

《标识办法》的适用范围覆盖“利用生成式人工智能技术生成的文本、图片、音频、视频、虚拟场景等内容”。落到游戏公司的具体发布场景：

AI生成的游戏宣传图、宣传视频——对外发布，须添加显式+隐式标识；

游戏内AI生成的NPC对话文本——面向玩家展示，须在交互界面以显著方式添加标识；

游戏内AI生成的虚拟场景——须在进入场景的起始画面添加标识；

仅供内部研发使用、不对外发布的AI生成内容——不触发标识义务。

笔者建议，“游戏内NPC对话须标识”这一要求，对许多已上线AI对话功能的游戏产品而言，意味着需要对现有产品界面进行改造。建议尚未完成整改的游戏公司将其纳入近期版本迭代计划，优先处理——《标识办法》已正式施行，监管层面的窗口期不会太长。

三、执法已落地：违规代价不容低估

《标识办法》施行后，网信部门已集中查处一批存在AI标识违规问题的移动应用，依法约谈、责令限期改正、下架下线。违反《标识办法》的法律后果，轻则警告、责令整改，重则暂停服务、罚款，情节严重的还可能面临治安管理处罚乃至刑事责任。

对于依赖应用商店分发的游戏产品而言，被责令下架的代价尤为沉重。在监管执法已明确落地的背景下，AI标识合规不再是“将来要做的事”，而是当下必须完成的基础动作。

本系列三篇文章，分别从“投喂数据的侵权风险”、“生成内容的权属保护”、“全流程合规义务”三个维度，构成了游戏公司在AI介入研发与运营场景下的完整法律图谱。

从训练阶段的数据溯源，到生成阶段的内容管控，到集成阶段的备案手续，再到发布阶段的标识义务——每一个环节，都有可能因为疏漏而演变成合规风险，甚至诉讼争端。知道义务的存在，是第一步；将义务转化为可落地的内部流程与检查机制，才是真正的合规管理。

为此，笔者将上述四个阶段的核心合规义务整理为一份《游戏公司AI合规自测清单》，覆盖训练、生成、集成、发布的全链条检查项，可供游戏公司法务及产品团队直接用于内部自查。扫描下方二维码即可获取。如贵公司有进一步的合规咨询或法律顾问需求，欢迎通过文末方式联系笔者。

在下期文章中，我们将进入系列三，聚焦游戏发行与运营阶段的用户协议法律风险——用户协议里那些“默认勾选”和“格式条款”，正在成为游戏公司被用户投诉和监管处罚的高频触发点。

—文章可转发，转载需授权—