生成式 AI 分级安全指南已经正式开始实施，有不少正在使用生成式 AI 相关服务的企业，都开始关注备案这件事情。很多企业没办法确定自己到底要不要备案，也不太清楚备案需要准备哪些资料。本文参照指南里面的相关条款，整理了企业备案的核心要点，方便相关企业拿过去对照自查。
一、判断企业是否属于备案主体
企业先要确定自己是不是处在备案的适用范围之内。如果企业面向普通大众提供生成式 AI 服务，不管是企业自己开发大模型，还是调用第三方 API 向外提供 AI 内容生成服务，企业一般都需要按照相关的规定完成备案。 要是企业只在公司内部使用 AI 工具，没有对外向公众开放这项服务，企业就不用办理这项备案。不少中小企业很容易把这个判定界限搞混，错误把内部办公使用的 AI 工具纳入备案范围，带来很多多余的工作量。
二、分级划分：判定 AI 服务安全等级
这份指南里面最主要的机制就是分级管理。企业在提交备案之前，需要确定 AI 服务对应的安全等级。企业需要结合模型本身的能力、实际的业务场景、AI 生成内容的风险高低去评估等级，不同等级对应的备案材料和安全管理要求也都是不一样的。
简单文案生成、图片美化属于低风险场景，这类场景的备案流程会相对简单一些；当业务涉及教育、医疗、新闻信息这类高风险内容生成的时候，企业需要提交更多安全评估资料，审核标准也会更加严格。分级评估得到的结果，也是备案材料里面很重要的一部分。
三、企业备案需要准备的核心材料
企业在提交备案申请之前，要提前把整套资料都整理齐全。
第一，企业主体资料，资料里面包含营业执照、法人信息以及联系方式，用来证明这家企业是合法经营的主体。
第二，AI 服务情况说明，这份材料介绍生成式 AI 产品具备的功能、服务接口、使用人群，写明模型的来源，区分是自研模型还是调用的第三方模型。
第三，安全评估报告，企业对照分级安全指南自己开展安全检查，写好内容审核规则、风险识别方法和数据保护办法。
第四，应急处置方案，针对 AI 生成虚假信息、不良信息这类情况，制定内容拦截、用户投诉、问题追溯的处理流程。
四、备案之外，配套安全管理要求
备案只是一项基础的合规步骤，企业提交备案材料，不等于企业已经做完了所有的合规工作。 企业需要搭建内容审核机制，管控 AI 输出出来的内容，避免系统产生违规信息。
同时企业要保护用户输入数据和 AI 生成内容的安全，做好数据存储和访问权限的相关管理。企业还需要保存服务运行日志，留存业务相关记录，满足监管追溯的相关要求。 当 AI 模型版本、业务场景、安全等级出现比较大的改动时，企业需要及时更新备案信息，不能继续使用原来提交的备案资料。
五、企业常见误区提醒
有些企业觉得只要完成一次备案就能长期生效，忽略业务发生变化之后还需要报备这件事。还有部分企业不太看重分级评估这项工作，没有提前做风险自查，提交材料之后被退回修改，拉长备案办理的时间。企业最好先梳理业务场景，完成分级评估之后，再准备材料提交备案。
总的来说，生成式 AI 分级安全管理，是为了同时兼顾 AI 技术创新和风险管控。企业应当尽快梳理自身的 AI 相关业务，完成风险分级，按照要求准备备案材料，做好日常的安全管理，企业可以在合规的条件下开展生成式 AI 相关业务。