GB/T 45654「基本要求」这四个字，划的是地板不是天花板

声明：本文基于该标准公开发布的框架信息与配套法规文本整理，不含任何产品推广，也不构成法律意见。标准附录中的量化参考值属资料性内容，正式执行请以标准正式发布文本与属地主管部门口径为准。

0 先说结论

GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》，2025 年 4 月 25 日发布、2025 年 11 月 1 日实施，推荐性国家标准，由全国网络安全标准化技术委员会归口。

关于它，有三个判断值得先摆在前面，因为它们决定了你怎么用这份标准。

第一，"基本要求"里的"基本"，划的是及格线，不是优秀线。

它不是评分表，不是认证，也不是能力排名。它回答的问题只有一个：这条线以下，服务不合格。 线上多少分，它不管。

这一点很关键。很多团队把标准当成"要达成的目标"，于是把它拆成一张待办清单，逐项打勾，打完就以为完成了。实际上标准的作用是反过来的——它是排雷清单：告诉你哪些坑一定会被认定为不合格。

第二，它的组织方式不是按风险类型分章，而是沿数据流切了四段。

这个切法有含义：它把一份安全标准，变成了沿数据流的四道关卡。 每一段的负责人、材料、证据形态都不一样。

第三，也是本文最想说的：这四段落在四个不同团队的 KPI 上。

• 第 5 章的数据来源与标注，落在数据团队和标注供应商；
• 第 6 章的模型输出与更新评估，落在算法团队；
• 第 7 章的透明度、投诉、未成年人保护，落在产品和运营；
• 附录 B 的评估与留痕，落在合规或质量团队。

没有任何一个角色能天然兜住这四段。 这就是为什么很多企业"每一段都做了，合起来还是不合格"——问题不在执行，在没有人跨段。

一句话概括全文：这份标准不是一张清单，是一条链路。清单可以分工打勾，链路必须有一个人从头看到尾。

1 先算清"基本"这两个字的分量

1.1 它是推荐性标准，但别因此低估

GB/T 是推荐性国家标准。这个"推荐"容易被读成"可以不遵守"，这是个误读。

推荐性的准确含义是：它不是靠行政处罚直接强制执行的。但它在三个地方有实际约束力：

换句话说：它不直接罚你，但它决定你能不能过评估。 这个约束力比很多强制性条款更实在——因为过不了评估，业务就上不了线。

1.2 它与另外三份标准的分工

同一个批次还有三份国标，容易混。一句话记住分工：

一个便于记忆的说法：45654 管整体，45438 管外观，45652 和 45674 管原料。

这也解释了一个常见困惑：为什么企业做了内容标识，还是被认定安全措施不到位。因为标识只解决了"输出长什么样"，剩下三段都没动。

1.3 「基本」的实际含义：它只规定下限，但下限是硬性的

标准对每一项要求，用的是"应""不应""宜"三种表述。

• "应"——必须做到，做不到就是不符合；
• "不应"——禁止行为；
• "宜"——建议做到，不做需要说明理由。

实践中最容易出问题的是把"应"当成"宜"。比如训练数据"采集前评估 + 采集后核验"是两道，只做后一道就是不符合，不是"简化做法"。

2 第一段·喂进去：训练数据的三道关

第 5 章分三节：来源、内容、标注。这三节不是并列关系，是时间顺序——先解决从哪来，再解决干不干净，最后解决标得对不对。

2.1 来源：两道门，一条线

两道门：采集前要评估，采集后要核验。只做其中一道不符合要求。

采集前评估的内容包括来源的合法性、以及该来源是否含有违法不良信息；采集后核验是对实际拿到的数据再做一次检查。

一条线：如果某个来源中违法不良信息占比超过一定比例（标准给出的参考线是 5%），则不应采集、也不应使用。这条线的作用很直接——它排除的是"先收下来再洗"这种做法。

四类数据来源，各有各的授权链要求：

还有一条容易被忽略的：通过聚合链接指向的内容，视同自行采集。 意思是把别人的站聚合进来，不能主张"我只是提供了链接"，责任按自采处理。

2.2 内容：建设阶段是全量过滤，不是抽样

这是第 5 章里最容易被做错的一处，也是"建设阶段"和"评估阶段"两个概念最容易混的地方。

两者的关系是：评估用抽样，是因为全量已经过滤过了；如果建设阶段就只做抽样，那评估抽到的"合格"，只是抽样合格，不代表数据干净。

这一处错误很典型——团队把评估方法当成了工作方法，于是"评估通过"但数据里仍有残留。

内容侧还有两组要求：知识产权相关的动作（来源记录、授权确认等）与个人信息处理（一般个人信息需取得同意，敏感个人信息需单独同意）。

2.3 标注：三个容易被忽略的硬要求

标注环节有三条要求，细则不复杂，但都是"做不到就是不符合"：

第一，标注人员要经过培训与考核。 不是"知道怎么标"就行，要有培训与考核的记录。

第二，同一标注任务下，同一人不应承担多项职能。 这一条针对的是"自己标、自己审"的情况。职能分离是形式要求，但它对应一个实质问题：如果标注质量和审核质量由同一人负责，质量就没有第二道检查。

第三，功能性标注要每批人工抽检，抽检发现含违法不良信息的，该批作废。 注意"作废"这个词——不是"返工"，是整批不能用。

安全性标注还要求每条至少有一名审核人员通过。这意味着安全性标注不能单人完成。

3 第二段·装进去：模型侧的五个控制点

第 6 章的要求相对简短，但密度高。五个控制点。

第三条值得单独说："重要更新后再次评估"是一项独立义务，不是"顺便更新一下备案信息"。

很多团队把它和"更新备案信息"当成一件事排期，结果一项做完另一项没动。实际上它们是两条线上的两个动作，各自有各自的工作量。

第五条（环境隔离）在实践中被低估。训练环境往往权限更宽、访问更自由，如果与推理环境不隔离，训练阶段的临时配置、调试接口、测试数据都可能成为线上的敞口。

4 第三段·给出去：服务过程的六件事

第 7 章是"安全措施要求"，也是最像产品要求的一章。六件事。

4.1 未成年人保护

两条线：一是对适用未成年人的服务，要有监护人相关的防沉迷机制，且不提供与未成年人年龄、智力相适应的民事行为能力不符的付费服务；二是对不适用未成年人的服务，要有防止未成年人使用的措施。

第二条容易被漏——很多团队认为自己"不是给未成年人做的"，所以不用管。但标准的要求是：既然不适用，就要有措施让未成年人用不上。 "没做定向推广"不构成措施。

4.2 透明度

要公开的东西分三层：

还有一条针对 API 形态：通过 API 提供服务的，要在说明文档中公开相应信息。这条对"我们只有接口、没有面向用户的界面"的团队是直接适用的。

4.3 使用者输入用于训练的关闭方式

这是一条非常具体、也非常容易漏的要求：如果要把使用者输入用于训练，必须提供关闭方式，且从主界面起算，不超过 4 次点击可达，同时要显著告知收集状态与关闭方式。

三个要素：有开关、够近（4 次点击内）、有告知。 三者缺一即不符合。

"4 次点击"这个数字的意义在于：它把"用户能不能真正行使这个权利"量化了。藏在设置第五层的开关，形式上存在，实质上不可达。

4.4 投诉举报

两条要求：要有接收渠道，以及要有处理规则与时限。

渠道容易做，规则与时限容易漏。标准要的不是"有个邮箱"，是"收到之后按什么流程、多久处理"。

4.5 输入检测与暂停服务规则

要对输入做检测，并且公示暂停服务的处置规则。

这一条的落点是"规则要公开"。用户需要事先知道什么情况下服务会被暂停，而不是事后被告知。

同时还有一条常被忽略的要求：监看人员的数量要与服务规模相匹配。 这条把"人"纳入了评估范围——只有系统没有人的配置，可能被判为不匹配。

4.6 备份与恢复

要有备份与恢复策略。这一条看起来最"IT"，但它属于安全措施，因为服务中断本身是安全事件。

5 第四段·自己证明：附录 B 的六个数字

前三段是"做"，这一段是"证明做过"。附录 B 给了一套可量化的评估参考要点。

5.1 度量单位只有一个：附录 A 的风险清单

要理解附录 B，先理解附录 A。

附录 A 把训练数据与生成内容的主要安全风险分成几组，合计 31 种（其中前四组共 29 种，另有一组 2 种与特定服务类型相关）。这份清单是整份标准唯一的度量单位——后面所有比率、合格率、覆盖率，都是拿它当分母或判据的。

"抽样合格率"的定义就是：抽样中不含附录 A 所列风险的样本占比。

这也解释了为什么词库、题库、分类模型都要求覆盖这些风险——它们不是三套独立的东西，是同一份清单的三种实现。

5.2 四项基础设施与对应量级

5.3 三组合格线

有两处需要特别注意：

第一，生成内容是"三条通道各做"，不是"三选一"。 人工、关键词、分类模型三种方法各有盲区，同时做是为了互相补位。只做技术抽检，会漏掉技术手段识别不了的语义问题；只做人工，样本量上不去。

第二，拒答有两个方向。 应拒答的要拒（≥95%），非应拒答的不能乱拒（≤5%）。只盯第一个方向的团队，会用滥拒把指标刷上去，然后在"非拒答"这一栏翻车。

5.4 附录的性质要说清

附录 A 与附录 B 都是资料性附录，不是规范性条款。这意味着：

• 它们的值是"参考要点"，不是唯一标准；
• 属地或主管部门可能有更具体的要求；
• 正式执行应以标准正式发布文本与属地口径为准。

但"资料性"不等于"可以不看"。实践中，评估报告几乎都会对照这些数值来写，因为它们是当前唯一公开的量化参照。

6 跨段：三个组织层面的判断

前面是按段讲的。这一节讲跨段的事，也是这篇最想说的部分。

6.1 没有单一负责人能兜住这四段

四段分别落在四个团队的日常职责里：

每一段都有人做，但没有人对"四段接得上"负责。 这是最典型的失效形态：分段看都合规，合起来对不上。

一个可操作的做法是设一个跨段的角色，职责只有一条：维护那份贯穿四段的事实底座，并在每次任何一段发生变化时，判断其余三段要不要跟着改。

6.2 版本一致性：最容易失效的一环

四段各自会更新：数据换了、模型升级了、页面改版了、词库更新了。

每次更新都会让一部分证据过期。而"过期"这件事从内部看不出来——因为每一段自己都是最新的，只是彼此不对应了。

可行做法很简单：给这四段建一份共同的版本号，任何一段变更都升一次版本，并列出受影响的其他段。 版本号本身没有技术含量，但它逼着人做一次"影响判断"。

6.3 评估不是一次性的，是被触发的

标准明确了一条：模型重要更新或升级后，应再次自行组织安全评估。

这意味着安全评估不是"上线前做一次"的动作，是一个有触发条件的动作。而触发条件不止模型更新——新增模态、扩大服务对象、更换底座，都应当触发重新评估。

把它做成"一次性项目"的团队，通常会在第二次变化时出问题，而且出得很突然。

7 十个常见误读

1. 把"基本要求"当成"最低配，先应付一下"。 它划的是及格线，及格线本身是硬性的。
2. 把推荐性标准当成可以不遵守。 它不直接处罚，但它决定评估能不能过。
3. 以为做了内容标识就覆盖了安全措施。 标识只管"输出长什么样"，是四段里的一小部分。
4. 以为训练数据可以在评估阶段抽样检查就行。 建设阶段要全量过滤，评估阶段才抽样。
5. 以为生成内容评估三选一即可。 人工、关键词、分类模型三条通道都要做。
6. 以为拒答率越高越好。 应拒答与不应拒答是两个方向，只盯一个会翻车。
7. 以为"不是给未成年人做的"就不用管未成年人条款。 不适用就要有防止使用的措施。
8. 以为只提供 API 就不用做透明度。 API 形态要求在说明文档中公开。
9. 以为关闭训练的开关藏深一点没关系。 从主界面起不超过 4 次点击，是量化要求。
10. 以为评估做一次就可以长期用。 模型重要更新会触发重新评估。

8 核验清单

按四段分组，可直接当检查表使用。

A 喂进去·训练数据（8）

• [ ] 采集前评估与采集后核验两道都做了，有记录
• [ ] 四类来源各自的授权证明齐备（开源许可／采集记录／采购合同／使用者授权）
• [ ] 商业采购合同中含来源合法性与质量安全承诺条款
• [ ] 聚合链接来源已按自行采集处理
• [ ] 数据建设阶段做了全量过滤，非仅抽样
• [ ] 知识产权相关动作有记录，个人信息取得同意、敏感个人信息取得单独同意
• [ ] 标注人员有培训与考核记录，同一任务下未由同一人承担多项职能
• [ ] 功能性标注每批人工抽检，抽检不合格的批次已作废

B 装进去·模型（5）

• [ ] 输出内容对附录 A 所列风险有识别与拦截，且有记录
• [ ] 输入侧对注入、后门、数据窃取、对抗攻击有持续监测
• [ ] 第三方组件、模型、服务已完成供应链安全评估
• [ ] 训练环境与推理环境已隔离
• [ ] 模型重要更新后的重新评估已排期，与更新备案信息分开计算

C 给出去·安全措施（8）

• [ ] 首页等显著位置公开了适用人群、场合、用途
• [ ] 已公开服务局限性、模型算法概要、个人信息用途
• [ ] API 形态的，说明文档中已公开相应信息
• [ ] 使用者输入用于训练的，已提供关闭方式，从主界面起不超过 4 次点击，且已显著告知
• [ ] 投诉举报渠道、处理规则与时限均已就位
• [ ] 输入检测已实施，暂停服务处置规则已公示
• [ ] 监看人员数量与服务规模相匹配
• [ ] 适用或不适用未成年人两类情形，均有对应措施

D 自己证明·评估（7）

• [ ] 关键词库达到量级要求，覆盖最高优先级风险组，有每周更新记录
• [ ] 生成内容测试题库达到量级要求，覆盖全部模态与全部风险
• [ ] 拒答测试题库应拒答与非拒答两侧均达标
• [ ] 分类模型完整覆盖风险清单
• [ ] 训练数据两类抽检合格率均达标，抽样量符合要求
• [ ] 生成内容三条通道各抽检并均达标
• [ ] 拒答两方向指标均达标（应拒未拒与不应拒而拒）

E 跨段（5）

• [ ] 有一名跨段角色，负责四段的接续与影响判断
• [ ] 四段共用一份事实底座，版本号统一
• [ ] 任何一段变更后，已完成"其余三段是否受影响"的判断并留痕
• [ ] 评估触发条件清单已固化（模型更新、新增模态、扩大对象、更换底座）
• [ ] 备份与恢复策略已落地并演练过

9 结语

把这篇收敛成一句：这份标准的价值不在于告诉你"要做什么"，而在于告诉你"这些事必须连起来做"。

它沿数据流画了四段：喂进去、装进去、给出去、自己证明。每一段都有明确要求，每一段都能被单独检查——但真正的风险在段与段之间。数据团队不知道词库要覆盖什么，算法团队不知道环境隔离怎么落，产品不知道开关要在四次点击内，合规不知道前一段到底做没做。

所以"基本要求"这四个字的另一层含义是：这些是最低要求，而最低要求往往是最容易在交接处丢掉的。

如果只从这篇里拿走一个动作，就拿走这个：把四段各自的负责人找出来，坐到一起，问一个问题——"如果你这一段变了，凭什么知道其他三段要不要改？" 这个问题如果没有答案，说明缺的不是执行，是那根线。

附一 主要依据

• GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》（2025-04-25 发布，2025-11-01 实施，推荐性国家标准）
• 《生成式人工智能服务管理暂行办法》（安全评估与算法备案义务、服务提供者责任）
• GB 45438—2025《网络安全技术 人工智能生成合成内容标识方法》（强制性国家标准）
• GB/T 45652—2025《网络安全技术 生成式人工智能预训练和优化训练数据安全规范》、GB/T 45674—2025《网络安全技术 生成式人工智能数据标注安全规范》

附二 两件今天就能做的事

1. 画四段的负责人表。 一张纸四行，写清每一段谁负责、他手上有什么证据、他不知道哪些要求。第三列通常是空的。
2. 查那 4 次点击。 打开自己的产品，从主界面开始数，找到"关闭使用我的输入用于训练"要几步。数超了，这一条就不符合。