中国 AI 企业出海，到底受哪些中国法管？——现行有效法规清单

阅读指引

AI 企业出海面对的不是"一部中国法"，而是四层规范的叠加：

第一层  基础法律        网安法 / 数安法 / 个保法 + 民法典刑法      ← 所有 AI 活动的地基
第二层  AI 专项规章      算法推荐 / 深度合成 / 生成式 AI / 标识办法 / 拟人化互动  ← 产品功能触发
第三层  数据出境         安全评估 / 标准合同 / 认证 + 条例 + 负面清单  ← 跨境传输触发
第四层  鼓励与支撑政策   "人工智能+"行动 / 智能体实施意见 / 全球合作    ← 出海的方向与工具

一个关键认知：中国目前尚未出台统一的《人工智能法》（已列入国务院 2026 年度立法工作计划"加快推进"，但未进入全国人大正式审议程序，无公开草案）。现行监管靠的是"基础法律 + 专项规章 + 标准 + 司法规则"的分布式治理——这与欧盟"一部 AI Act 统管"的路径完全不同。

出海企业最容易忽略的是："我的产品只服务海外用户，中国监管与我无关"是错的。第二层和第三层义务的触发条件不是"服务谁"，而是"由谁做、数据从哪来、处理在哪发生"。

一、基础法律层（所有 AI 活动的地基）

重点：新修订《网络安全法》第 20 条（2026 年 1 月 1 日生效）

这是中国首次以法律形式将人工智能发展纳入国家网络安全法律体系：

国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。
国家支持创新网络安全管理方式，运用人工智能等新技术，提升网络安全保护水平。

三个要点：

1. 同条修改还大幅提高了罚则——网络运营者怠于履行信息安全管理义务，造成特别严重后果的最高可罚 1000 万元，直接责任人最高 100 万元；
2. 修订版明确了与《民法典》《个人信息保护法》的衔接，网络运营者处理个人信息适用多法协同；
3. 该条为后续 AI 专项立法的细化提供了法律依据——它不是管制的开始，而是授权的开始。

二、AI 专项规章层（产品功能决定触发与否）

按生效时间排序，这是出海产品最需要逐条对照的一层：

重点 1：《人工智能生成合成内容标识办法》（2025/9/1 施行）

这是与出海欧盟关联最直接的一份中国规章：

• 显式标识：内容或交互界面中添加，用户可明显感知（文字、声音、图形）
• 隐式标识：文件元数据中添加，不易被用户明显感知（含 AIGC 确认状态、服务提供方、内容编号、数字签名/哈希值）
• 配套强制性国标：《网络安全技术 人工智能生成合成内容标识方法》（GB 45438-2025），与办法同日施行
• 四类主体责任：生成合成服务提供者（源头标识）→ 应用分发平台（上架核验）→ 传播服务提供者（传播核验提示）→ 用户（主动声明）
• 第 12 条：履行算法备案、安全评估时须一并提供标识相关材料
• 第 13 条：禁止恶意删除、篡改、伪造、隐匿标识

实务提示：中国的"显式 + 隐式"双标识要求与欧盟 AI Act 第 50 条、新加坡 IMDA 指南同向。出海产品一次性设计到位，可同时满足中欧新三个市场——这是最高性价比的工程决策。

重点 2：《人工智能拟人化互动服务管理暂行办法》（2026/7/15 施行）

五部门联合（网信办、发改委、工信部、公安部、市场监管总局）第 21 号令，是中国 AI"小快灵"立法的最新成果：

• 适用范围：模拟自然人人格特征、思维模式和沟通风格的持续性情感互动服务
• 明确排除：智能客服、知识问答、工作助手、学习教育、科研服务等不涉及持续性情感互动的，不适用
• 核心义务：
• 不得将替代社会交往、控制用户心理、诱导沉迷依赖作为服务目标
• 须具备过度依赖风险预警、情感边界引导能力
• 身份提醒机制：采取有效措施提示用户在与 AI 而非自然人互动
• 连续使用每超 2 小时须以对话或弹窗方式提醒时长
• 未成年人、老年人权益保护与个人信息保护义务
• 安全评估、算法备案制度；推动 AI 沙箱安全服务平台建设

对出海的意义：AI 陪伴、虚拟人、数字人赛道团队，即使产品主战场在海外，只要同时向境内提供，即触发；且该办法的"身份提醒""防沉迷"要求与欧盟 DSA 未成年人保护、AI Act 披露义务高度同向，可在产品层面统一设计。

另需注意：三备案体系（出海前的国内关卡）

出海产品通常会触发三项国内备案，10 月起进入年度核验期：

触发逻辑：不是看"服务谁"，而是看"由谁做"——主体、模型、训练数据、研发团队任一在境内，义务就在。用第三方模型做产品，备案主体仍是服务提供者（即你）。

三、数据出境层（跨境传输的核心规范）

AI 出海最容易被低估的一层。训练数据出境、模型权重出境、境外团队远程访问境内数据，都可能触发。

三条路径的选择逻辑（现行门槛）

AI 出海特有触发点（最常被忽略）：
- 训练数据出境（含清洗、标注环节外包）
- 模型权重出境（上传、跨境推理、境外部署）
- 境外团队远程访问境内数据（甚至 Excel、邮件外发）
- 使用境外云服务处理境内用户数据

持续性义务：路径选定 ≠ 义务完成。须每年至少一次 PIA；接收方法域保护水平变化、数据字段/规模/敏感度变化，均触发重评或补充评估。

四、鼓励与支撑政策层（出海的方向与工具）

这一层不是"管制"，是国家为 AI 出海提供的政策工具与方向指引——写方案、申请支持、对接资源时用得上。

重点：《智能体规范应用与创新发展实施意见》（2026 年 5 月）

三部门联合印发，针对 Agent 这一新产品形态的首个顶层设计：

• 智能体定义：具备自主感知、记忆、决策、交互与执行能力的智能系统
• 四项基本原则：安全可控、规范有序、创新驱动、应用牵引
• 19 个典型应用场景：覆盖科学研究、产业发展、提振消费、民生福祉、社会治理
• 分类分级治理：
• 低风险领域 → 合规自测、信息报告、分发平台管理、行业自律
• 高风险领域 → 备案、检测、召回
• 权限分配三模式：仅限用户本人决策 / 需由用户授权决策 / 智能体自主决策——明确用户享有知情权和最终决策权
• 四层安全防护：外约束（行为围栏）+ 内嵌入（权限管理）+ 供应链 + 软法（行业自律）
• 明确要求："引导企业做好海外合规建设"——这是官方文件里少见的直接提及出海的表述

出海 Agent 产品的提示：该意见与欧盟 AI Act 对"自主系统"的监管思路同向（行为围栏、权限边界、可追溯），做 Agent 出海的团队应把它作为产品设计参考。

五、标准与技术框架层（软法，但实务参考价值高）

《人工智能安全治理框架》迭代路径（值得关注）

出海价值：该框架虽为软法，但是企业做 AI 治理体系、撰写合规文档的最佳中文模板，也可作为向境外客户/监管证明"中国企业的 AI 治理能力"的材料。

六、司法与执法层（最新动态）

重点：最高法《关于依法审理涉人工智能纠纷案件的意见》（2026/9/7）

首部由国家最高审判机构发布的涉 AI 司法裁判规则文件，对出海企业有直接参考意义：

• 三个基本原则：以人为本、支持创新发展、筑牢安全防线
• 侵权归责：法律无特别规定的，适用过错责任原则
• 人格权保护（第 4 条）：
• 未经同意生成可识别自然人的虚拟形象并使用/公开 → 侵害姓名权、肖像权
• 未经同意用自然人声音训练、模仿音色生成合成人声 → 侵害声音权益
• 操控虚拟形象/合成声音发表不实言论 → 侵害名誉权
• 人格权侵害禁令（第 8 条）：AI 换脸造谣等情形可申请禁令，法院可责令网络服务提供者、AI 服务提供者采取必要措施
• "大数据杀熟"：利用算法在交易价格上实行不合理差别待遇，依法承担侵权责任
• "AI 幻觉"侵权：生成内容侵害人格权益，经通知未及时停止生成的，服务提供者担责
• 训练数据：为模型训练在合理范围内处理已合法公开的个人信息，个人未明确拒绝的，一般不认定为侵权；但对个人权益有重大影响的仍须取得同意
• 著作权：不能以"AI 生成"为由免除主体责任；责任承担应与控制能力、注意义务相匹配
• 暂不规定：AI 生成内容的可版权性、未经许可用他人作品训练大模型的定性（留待实践积累）

七、尚未出台 / 尚未生效的重要文件（不作为现行依据）

实务提醒：网络上有文章标题写成"中国 AI 法草案出炉""AI 法即将上路"——不准确。当前正确的表述是"立法方向已明确，法条尚未公开"。

八、给 AI 出海企业的自查清单

按出海场景，把上述规范落成可执行的动作：

九、三个容易搞错的认知

① "中国还没有 AI 法，所以没监管"

→ 错。统一立法未出，但专项规章已全面覆盖算法推荐、深度合成、生成式 AI、内容标识、拟人化互动五大场景。有产品功能，就有对应规则。

② "只服务海外用户，中国监管与我无关"

→ 错。第二层备案义务看"由谁做"（主体/模型/数据/团队在境内即触发），第三层数据出境看"数据从哪来、处理在哪"（境外团队访问境内数据也构成出境）。

③ "用第三方模型/API，责任在模型方"

→ 错。备案主体是服务提供者——谁把服务交付出去，谁担责。第三方模型在填报里只是"工具"。

结语：中国路径的特点

对比欧盟的"一部 AI Act 统管"，中国走的是"基础法律 + 专项规章 + 标准 + 司法规则"的分布式、场景化治理：

• 优势：规则灵活、响应快（"小快灵"立法），能跟上技术迭代节奏；
• 对企业：需按产品功能逐项对照，而不能只查一部法——这是合规工作的实际难点；
• 对出海：中国规范的多项要求（内容标识、披露、数据治理）与欧盟、新加坡方向一致，具备"一次设计、多市场适用"的工程可能性。

声明

本文为一般性信息分享，不构成法律意见。所列文件的适用范围与具体义务需结合企业产品功能与业务场景个案分析；法规与政策动态可能随时调整，具体适用以官方最新公布文本为准。如需就特定产品或场景取得判断，请咨询执业律师。

编制：闫然律师 · AI 出海合规团队 ｜ 北京市康达律师事务所 ｜ [email protected] ｜ ran-yan-law.com

相关阅读

• 数据出境三条路径怎么选：安全评估、标准合同与认证
• 五大法域 AI 监管对比：欧盟、美国、中国、韩国、新加坡