夜雨聆风做大模型备案，很多人第一反应是"把资料堆厚"。但主管部门真正盯的，不是你有多少页纸，而是三件事能不能落地：模型能不能被约束，服务能不能被管理，出了问题能不能复盘。
监管规矩说得很直白：向境内公众提供生成式AI服务的，属于管理范围；有舆论属性或社会动员能力的，必须做安全评估、走算法备案。检查时，你得说明训练数据从哪来、多大规模、什么类型、怎么标注、算法机制是什么——不是一笔带过，而是逐项交代。
1先证明服务边界清楚
边界写不清，后面所有材料都站不住
备案材料首先要回答一个最基础的问题：这个模型用在什么产品里、面向谁、提供什么服务、生成什么内容、哪些功能坚决不提供。
边界不清，后面的模型说明、安全评估、内容审核、日志留存全都没根基。安全治理从来不是抽象治理——一个给企业内部做知识库问答的模型，跟一个面向公众的情感陪伴、智能客服、营销文案、图片生成产品，风险等级完全不同，审核重点也不同。
产品边界至少写清6项
- 产品名称与服务入口
——用户从哪进来 服务对象——公众用户、企业客户、内部员工、还是特定行业 使用场景——智能问答、内容创作、客服辅助、经营分析、知识库检索、视频生成等 输入类型——文本、图片、语音、视频、文件、结构化数据 输出类型——文本、图片、音频、视频、报告、代码、摘要 - 禁止或限制范围
——不提供违法违规内容生成、不提供投资诊断结论、不提供医疗诊断、不替代人工专业判断
材料呈现要有"场景感"
至少准备5类证明文件：产品说明书、功能截图、用户端页面截图、后台管理截图、服务协议与用户规则。有测试环境或灰度环境的项目，还可以补上测试地址截图、功能流程录屏、用户操作路径图。
常见问题 很多企业只写一句"本产品提供智能问答服务"，却不说明用户怎么进入服务、调用什么模型、生成内容在哪展示、是否支持复制下载、有没有投诉举报入口、有没有AI生成内容提示。这种材料很容易被认为缺乏场景证明。
2证明技术链路清楚
从输入到输出，中间每个节点都得有说法
"可控"的第二层，是技术链路可控。备案材料必须说明：从用户输入到结果输出，中间经过哪些处理节点，哪些有安全控制，哪些有日志记录，哪些可能触发人工复核。
一套完整的大模型服务链路，通常至少9个环节：
必备文件类型
用户输入 输入预处理 输入内容安全审核 模型调用或知识库检索 提示词策略约束 生成结果 输出内容安全审核 添加显式/隐式标识 结果返回与日志留存
如果涉及智能体、RAG、工具调用、联网检索、插件调用、数据库查询，还得说明3类附加控制：
- 工具调用有没有权限边界
外部知识库是否经过审核和版本管理 模型能不能越权调敏感数据或高风险接口
监管要求 生成式AI服务提供者要提供安全、稳定、持续的服务；发现违法内容时，必须停止生成、停止传输、消除，并用模型优化等方式整改。这意味着，备案材料不能只证明"模型能生成"，还得证明"生成之前、生成过程中、生成之后都有控制点"。
技术链路材料建议准备4类文件
模型技术架构图 算法运行流程图 模型调用链路说明 安全控制点说明表——按"控制节点、风险类型、控制措施、处置结果、留痕字段"5列展开
举个例子：输入审核节点对应违法违规、涉敏、诱导攻击等风险；处置方式包括拒答、拦截、转人工、记录日志、加入风险样本库。
3证明数据来源清楚
数据与语料，是最容易被低估的部分
很多企业觉得模型都训完了，备案时写句"数据来源合法合规"就行。但从审查角度看，真正要证明的是数据来源、规模、类型、授权依据、清洗规则、标注规则、抽检结果和版本管理——不是一句话的事。
监管要求训练数据必须使用合法来源的数据和基础模型；涉及知识产权的不得侵权；涉及个人信息的要取得同意或符合法律规定；还要采取措施提高数据质量，增强真实性、准确性、客观性、多样性。
数据语料按5类来源展开
特别注意 知识库问答类、智能客服类、行业助手类产品，要单独说明知识库数据。知识库不是普通附件，而是影响模型回答边界的重要依据。至少说明：来源、更新频率、审核责任人、版本号、上线审批记录、过期内容处理机制。
语料材料至少形成8项文件
语料来源说明 数据授权证明 数据清洗规则 数据脱敏说明 标注规则 标注质量抽检记录 训练数据安全评估说明 语料版本台账
做了微调或持续优化的模型，还要说明每次训练使用的数据批次、规模、用途和审核记录。
数字口径参考 语料来源5类、清洗流程不少于6步、标注规则覆盖4个维度（内容安全、事实准确性、拒答边界、行业适配）、抽检比例不低于10%、高风险安全样本100%复核。具体比例以实际执行为准，不能虚构。
4证明内容安全机制完整
内容安全不是单点审核，而是持续治理闭环
企业要证明的是：模型面对违法违规、涉敏、低俗、暴力、歧视、虚假信息、侵权、诱导绕过、未成年人保护等风险时，不是靠人工经验临时处理，而是有制度、有系统、有规则、有测试、有复盘。
完整的内容安全机制至少覆盖6个环节：
- 输入审核
——解决"用户提出什么问题"的风险 模型策略约束 - 输出审核
——解决"模型生成什么内容"的风险 高风险命中处置 人工复核 整改复测
面向公众的服务，还要说明投诉举报入口、用户协议提示、违规用户处置、日志保存和主管部门报告机制。
重要 输入审核和输出审核不能互相替代。只做输入审核，防不了模型在正常问题下生成不当内容；只做输出审核，也拦不住恶意用户的诱导攻击、提示词注入、越权探测和绕过测试。
审核机制覆盖9类风险维度
违法违规内容 政治安全与公共利益风险 暴力恐怖与极端主义风险 淫秽色情与低俗风险 歧视偏见风险 虚假有害信息风险 侵权与隐私风险 未成年人保护风险 行业专项风险（金融、医疗、教育、政务、交通等要加行业专属维度）
别只写"已接入第三方内容审核服务"就完事。更完整的写法是：审核覆盖哪些风险标签、接口部署在哪个节点、命中后怎么处理、是否支持人工复核、是否记录命中日志、高风险样本是否回流测试题库、关键词库和规则库是否定期更新。
制度依据 提供者发现违法内容时须及时停止生成、停止传输、消除；发现使用者从事违法活动时，须警示、限制功能、暂停或终止服务，并保存记录。这正是"内容安全闭环"的制度根基。
5证明安全评估充分
安全评估不能只写结论，要呈现测试过程
一份有效的安全评估报告，至少要回答5个问题：测了什么、怎么测的、测了多少、发现了什么问题、整改后复测是否通过。
安全评估建议覆盖7类维度：
模型基础能力评估 生成内容安全评估 数据与语料安全评估 对抗攻击测试 行业场景专项测试 未成年人保护测试 透明性与标识测试
文生图、文生视频、语音合成、数字人等产品，还要加图像安全、视频安全、声音仿冒、生物识别特征、深度合成标识等专项内容。
测试样本4层结构
- 第一层：通用安全题库
——覆盖违法违规、歧视偏见、侵权隐私、虚假信息等基础风险 - 第二层：业务场景题库
——围绕企业真实服务场景设计问题 - 第三层：对抗测试题库
——覆盖提示词注入、角色扮演、拆分提问、编码绕过、同义替换、多轮诱导等攻击方式 - 第四层：边界测试题库
——测试高风险场景下模型能否拒答、提示风险或转人工
测试报告里的数字要具体。举个例子：题库分8大类24子类800条样本，其中高风险拒答300条、正常业务300条、对抗攻击200条；输出结果按"通过、拒答、人工复核、需整改"统计，列出问题样本、风险等级、整改措施和复测结果。
最忌讳 只写一句"经测试，模型安全可控"。备案材料需要的是证据链：题库目录、样本说明、测试记录、风险问题清单、整改措施、复测报告、评估结论。没有过程的结论，撑不起"可控"。
6证明组织责任明确
"可管"首先不是技术问题，而是责任问题
备案材料需要说清楚：企业内部谁负责模型安全、谁负责数据治理、谁负责内容审核、谁负责投诉处理、谁负责应急处置、谁负责版本变更审批。
6类岗位责任：
制度文件至少8项
生成式AI服务安全管理制度 内容安全审核制度 数据与语料管理制度 模型版本管理制度 投诉举报处理制度 日志留存管理制度 安全事件应急预案 人员培训制度
制度不能只停留在"公司高度重视"。要写成可执行流程：投诉举报制度里明确入口位置、受理人员、处理时限、分级标准、反馈方式、归档字段；版本管理制度里明确变更申请、风险评估、测试验证、灰度发布、回滚机制、版本台账。
制度依据 管理规则要求提供者建立投诉举报机制、设便捷入口、公布处理流程和反馈时限、及时受理处理。投诉举报不是边缘材料，而是证明企业"持续可管"的关键材料。
7证明上线后持续治理
备案不是一次性交材料，上线后才是真正考验
主管部门更关注的是：企业上线后有没有巡检、有没有监测、有没有投诉处理、有没有版本记录。材料写得再漂亮，上线后没有治理动作，也证明不了真正的管理能力。
上线后持续治理7项机制：
日常内容抽检 风险命中监测 用户投诉处理 异常调用分析 关键词库与规则库更新 模型与知识库版本管理 重大风险应急处置
日常抽检按周期走：每周抽检一定比例生成内容，每月做一次安全巡检报告，每季度复盘风险规则和题库。高风险行业或功能要提高频率，设人工复核。
异常调用分析也很重要。某用户短时间内高频提交敏感问题、绕过式问题、批量生成请求或接口异常调用，系统应能识别并触发预警——处置方式包括频率限制、风险提示、暂停功能、人工复核、账号限制、日志归档。
版本管理是"可管"的核心证据
大模型服务通常涉及模型版本、提示词版本、知识库版本、审核规则版本、接口版本、前端版本。每次变更都可能影响输出结果，所以要形成版本台账，至少包括：
8证明日志与标识完整
可追溯不是写"保存日志6个月"就行
"可追溯"要说明的是：保存哪些日志、怎么查询、谁有权限看、日志怎么关联模型版本、怎么用于问题复盘。
日志字段至少覆盖10类信息：
用户请求时间 用户输入内容或脱敏摘要 服务入口 调用模型名称 模型版本号 提示词或策略版本号 知识库版本号 输出内容 审核结果与风险标签 处置结果
涉及文件、图片、视频、音频的服务，还要记录文件编号、生成时间、内容标识、下载或导出状态。
AI生成内容标识：显式 + 隐式
标识办法明确要求：AI生成合成内容（文本、图片、音频、视频、虚拟场景）必须加标识，分显式和隐式两种。
文本类服务，显式标识可以是"本内容由人工智能生成，请注意辨别"等提示；图片、视频、音频、虚拟场景类服务，要根据内容形态在适当位置加显著标识。标识办法对不同类型内容的显式标识有具体要求。
隐式标识至少包含5类要素：
生成合成内容属性信息 服务提供者名称或编码 内容编号 生成时间 传播或导出记录
支持下载、复制、导出功能的产品，还要说明文件中如何保留标识信息。
法规依据 深度合成管理规定也要求：服务提供者对使用其服务生成或编辑的信息内容，须采取技术措施添加不影响用户使用的标识，并依法保存日志；对可能导致公众混淆或误认的服务（智能对话、智能写作、语音生成、人脸生成、沉浸式拟真场景等），应在合理位置做显著标识。
⚠ 备案材料中最容易断裂的5条证明链
① 只有产品介绍，没有服务边界
写了产品愿景、功能亮点、技术优势，但没说适用人群、使用场景、输入输出、限制范围和禁止场景。主管部门无法判断真实风险等级。
② 只有模型能力，没有安全控制
强调参数、推理性能、响应速度、行业知识，但没说输入审核、输出审核、拒答策略、人工复核、日志留存。模型看起来很强，但无法证明可控。
③ 只有数据规模，没有来源证明
写了多少GB、多少Token、多少条样本，但没说数据来源、授权依据、清洗脱敏、标注规则和抽检结果。数据基础无法形成合规支撑。
④ 只有制度文件，没有执行记录
有安全制度、应急制度、投诉制度，但没有截图、记录、台账、会议纪要、培训记录、处置样例。制度停留在纸面，无法证明企业已经执行。
⑤ 只有测试结论，没有整改闭环
写了"测试通过""总体安全"，但没有题库、样本、问题、整改、复测、归档。安全评估缺乏过程证据。
这5类问题本质上都是证明链断裂。备案材料不是文学表达，而是证据组织。合格的备案材料包，要让审查人员能沿着"产品—模型—数据—安全—评估—管理—追溯"7个节点逐步核验。
10建议形成的备案材料包目录
一主体与产品材料
企业营业执照及主体资质 产品基本情况说明 服务对象与适用范围说明 产品功能截图与服务入口截图 用户端页面截图 后台管理页面截图 服务协议与用户规则 投诉举报入口截图
二模型与技术材料
模型来源说明 基础模型或第三方模型说明 模型能力说明 技术架构图 算法运行流程图 模型调用链路说明 安全控制点说明表 模型版本管理记录
三数据与语料材料
语料来源说明 数据授权或合法来源证明 数据分类分级说明 数据清洗与去重规则 数据脱敏说明 标注规则 标注质量抽检记录 训练数据安全评估说明 语料版本台账
四内容安全材料
内容安全管理制度 输入内容审核机制说明 输出内容审核机制说明 拒答策略说明 人工复核机制说明 关键词库与规则库说明 风险命中处置记录 内容安全测试题库
五安全评估材料
大模型安全评估报告 生成内容安全评估报告 训练数据安全评估报告 测试题库目录 测试样本说明 测试结果统计表 风险问题清单 整改复测记录
六管理与运营材料
组织责任制度 岗位责任表 内部审批流程 日常巡检记录 投诉举报处理记录 应急处置预案 人员培训记录 会议纪要或管理留痕
七日志与追溯材料
日志留存策略 日志字段说明 日志查询截图 日志权限管理说明 显式标识说明 隐式标识字段说明 内容编号规则 问题追溯案例
