目录
一、数据交易的背景与实践
（一）数据交易的政策背景沿袭
（二）“数据二十条”的主要内容
（三）数据资产入表
（四）数据交易的底层逻辑
二、数据交易概述
（一）数据交易的界定
（二）数据交易的法律支撑
（三）数据交易的监管支撑
（四）数据交易的法律性质
三、数据交易中的主要法律问题
（一）数据权属界定
（二）个人数据产品交易的合规性
四、数据交易的合规审查要点
（一）关于公司的基础背景调查
（二）关于公司的数据安全能力核查
（三）数据产品来源合法性
（四）数据产品的可交易性
（五）数据产品其他可能的利益相关方
（六）数据产品的流通风险
五、数据交易展望
（一）隐私计算与可信环境
（二）数据信托与金融意义上的数据资产管理
（三）公共数据授权运营
分报告一：生成式人工智能的数据侧合规法律研究——以《生成式人工智能服务管理暂行办法》为语境
一、生成式人工智能的界定
二、《生成式人工智能服务管理暂行办法》的适用范围
三、《生成式人工智能服务管理暂行办法》语境下的数据合规要点
四、余论：《生成式人工智能服务管理暂行办法》语境外的合规重点——AIGC的著作权问题
分报告二：数据资产入表的理解与法律思考
一、数据资产入表《暂行规定》的内涵
二、“数据二十条”与数据资产入表
三、如何理解不同语境下的“数据资源”
四、《暂行规定》对数据资源会计处理的具体要求
五、数据资产入表的难点
六、数据资产入表与数据资产衍生金融服务与产品
七、数据资产入表的合规问题
八、对企业数据资产入表准备工作的建议
附：国内数据领域和数据交易相关法律法规（截止2023年10月）
分报告一：生成式人工智能的数据侧法律合规研究
ChatGPT的腾空出世，使得生成式人工智能引发热议。作为大模型的算法，其可以广泛收集、筛选和处理各类信息，生成各种内容，给人类带来了极大的便利，但其对信息的真实性无法辨认以及其不可控性等亦带来了极大风险。为此，国家互联网信息办公室等七部门联合公布了《生成式人工智能服务管理暂行办法》（以下简称《暂行办法》），该办法已于2023年8月15日起实施，可能是全球第一个对生成式人工智能进行监管的立法。因此，有必要以《暂行办法》为语境，对生成式人工智能从法律角度进行研究分析。
一、生成式人工智能的界定
（一）人工智能的分类
人工智能（Artificial Intelligence，AI）按发展程度可分为狭义人工智能（Artificial Narrow Intelligence, ANI）、通用人工智能（Artificial General Intelligence, AGI）和超级人工智能（Artificial Super Intelligence, ASI）。其中，ANI亦被称为弱人工智能，指机器在某一领域表现出智能，如下棋、翻译、发展预测等；AGI则被称为强人工智能，指机器达到人的表现水平，能够解决跨领域的复杂问题。而超级人工智能则是指机器能够完成人的一切工作，且运行速率远超人脑。换言之，超级人工智能是远胜于人类最强大脑的人工智能。一般认为，目前人类技术尚处于狭义人工智能阶段，但以GPT4为代表的通用大模型已经接近所谓的通用人工智能。
狭义人工智能的主要技术方向可以分为决策式/分析式AI（Discriminant/Analytical AI）和生成式AI（Generative AI）两类。其中，决策式AI指学习数据中的条件概率分布，根据已有数据进行分析、判断、预测，而生成式AI是一类机器学习算法，并非只分析已有数据，而是学习数据中的联合概率分布，归纳已有数据后进行自主创造、演绎创新，一般对外输出文本、图像、语言、视频、代码等内容
目前，决策式/分析式AI在推荐系统、图像识别、内容审核、自动驾驶领域已经商用化，尤其是在图像识别领域中的人脸识别领域已经完全融入实体经济，在无人驾驶领域已经半成熟度化；生成式AI属于Web3.0的生产工具，在游戏开发、文学创作、音乐创作、药品发明、新材料合成等领域中已经有所涉及，更多涉及到了创新领域。
（二）生成式人工智能技术与深度合成技术
深度合成技术最早起源于“深度伪造”（deepfake），根据《互联网信息服务深度合成管理规定》的规定，深度合成技术，是利用深度学习、虚拟现实等生成合成类算法制作文本、图像、音频、视频、虚拟场景等网络信息的技术。
对于生成式人工智能技术，《生成式人工智能服务管理办法（征求意见稿）》（以下简称“征求意见稿”）将其界定为“是指基于算法、模型、规则生成文本、图片、声音、视频、代码等内容的技术”。《暂行办法》进一步规定，生成式人工智能技术，是指具有文本、图片、音频、视频等内容生成能力的模型及相关技术。相较于征求意见稿，《暂行办法》更加强调模型而非算法和规则，这说明监管部门对于法规规制对象的底层技术确实有所区分。
从二者概念的法律界定上看，深度合成技术是基于算法，而生成式人工智能技术则是更加强调模型。算法是指针对特定问题的一种方法，通常由程序代码实现，比如手写识别算法、排序算法等；模型则是多个算法根据一定架构组成的集合，其是指数据通过算法进行训练后得到的一个可以解决特定问题的模块，例如手写识别模型，当向模型输入一张手写图片后，其就可以输出图片中的文字。每个模型里都包含算法，算法是设计出来的，自由度低，可解释性强；模型更加复杂，是训练出来的结果。而所谓大模型，即指具有大量参数和复杂结构的机器学习模型，其可以应用于处理大规模的数据和复杂的问题。
由于上述规定对相关技术的概念界定较为模糊，一定程度上扩大了二者，特别是深度合成技术的原有范围，但从技术角度来说，二者之间虽有联系，但确有不同。二者均会涉及生成合成类算法，在底层技术的应用上有一定的相似性和交叉，但在具体的应用方向上并不相同。深度合成技术本质上是根据一定的需求，对已有的数据（图片、文字等）进行组合、拼接，其并不能从无到有的生成新内容；而生成式人工智能技术的逻辑为“理解——创作”，生成内容具有新颖性，并非对已有内容的拼接，换言之，其具有对已有数据进行演绎创新的能力。此外，生成式人工智能具有更强的可交互性、自主性与生成内容的广泛性。因此，生成式人工智能技术并不等同于深度合成技术。
综上两点，《暂行办法》所规制的生成式人工智能是不等同于深度合成的狭义人工智能。
二、《生成式人工智能服务管理暂行办法》的适用范围
《暂行办法》第2条规定对适用范围作出了规定，该款采用了一般规定和例外情形的体例。即一般而言，利用生成式人工智能技术向中华人民共和国境内公众提供生成文本、图片、音频、视频等内容的服务（以下称“生成式人工智能服务”），适用本办法。但同时又规定了两个例外情形，即国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的，从其规定。以及，行业组织、企业、教育和科研机构、公共文化机构、有关专业机构等研发、应用生成式人工智能技术，未向境内公众提供生成式人工智能服务的，不适用本办法的规定。由此，可以得出，在判断相关企业是否受《暂行办法》的规制时，应同时考虑四个要素标准，即“境内”“公众”“提供生成式人工智能技术服务”及例外情形。
（一）一般判断标准
“境内”“公众”“提供生成式人工智能技术服务”构成了适用范围的一般标准。
其一，境内。即接受服务对象在中华人民共和国境内。此外，根据《暂行办法》第20条的规定，境外服务提供者向境内公众提供生成式人工智能技术服务的，亦属于《暂行办法》的规制范围。这采取了属人加属地的原则。
其二，公众。为不特定的多数主体，并不当然仅指自然人。《最高人民法院关于审理商标民事纠纷案件适用法律若干问题的解释》第8条曾对“公众”作出解释，即“商标法所称相关公众，是指与商标所标识的某类商品或者服务有关的消费者和与前述商品或者服务的营销有密切关系的其他经营者”，该解释明确，“公众”除了自然人外，还包括法人和非法人组织。此外，《暂行办法》第22条更是进一步明确，《暂行办法》生成式人工智能服务使用者包括组织与个人。此外，提供服务的组织与个人，亦受《暂行办法》的规制。
其三，提供生成式人工智能技术服务，即提供《暂行办法》所规定的“生成式人工智能技术”，对于具体范围上文已进行界定，此处不再赘述。
（二）《暂行办法》例外情形
《暂行办法》第2条第2款是一项指引性规定，即《暂行办法》国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的，从其规定，也就是说，在其他法律法规有规定的情况下，应当适用专门规定。此外，本条第3款更是明确了《暂行办法》排除情形，即未向境内公众提供生成式人工智能服务，仅是研发、应用的，不属于本办法的调整范围。
（三）特殊情形的讨论
在实践中，存在一些特殊情形。例如：企业仅通过引入生成式人工智能技术辅助决策，以提高自身的服务能力。或者企业自身并不控制大模型，仅作为终端用户与大模型之间的“传声筒”（前述两种情形将在下文中详述）。此时，需对相关企业是否构成“生成式人工智能服务提供者”（以下简称服务提供者）进行个案判断，以明确其是否应受到《暂行办法》的规制。
1.一般性判断标准
新规第17条规定，“具有舆论属性或者社会动员能力的生成式人工智能服务”需要进行算法备案等。以ChatGPT为例，一般认为，因其只是“点对点”的向用户提供内容，故并不具有“舆论属性”，但其根据用户需求生成的内容，极有可能影响用户的思想及行为，故而应将类似的大模型认定为具有“社会动员能力”。此规定可以理解为，应当对能够影响公众思想的生成式人工智能服务加强监管，避免其生成内容对公众造成不良影响，破坏正常的社会舆论乃至运行秩序。
基于此，可以认为，新规对生成式人工智能技术的规制逻辑在于，其是否会对“公众”产生不良影响。换言之，在企业本身并无违法目的的前提下，倘若生成式人工智能生成了错误的、违反公序良俗的甚至违法的内容，“公众”是否能够接触到该内容。也即，如果企业对该内容具有修改、删减、增加等的实际控制能力，在对生成式人工智能生成内容进行实质审查后，再以直接（将生成物原封不动的发给用户）或间接（由企业工作人员概括转述等）的方式交由用户，且此过程能够在一定程度上避免用户受错误内容的影响，则不应当认定相关企业为服务提供者，自然也就不受新规的规制。
2.企业引入生成式人工智能辅助决策
在企业引入生成式人工智能用于辅助决策等以提升自身服务能力为目的的情形下，例如，企业客服部门引入生成式人工智能技术，将其生成内容作为工作人员工作中回答客户问题的辅助与参考。此时，企业工作人员在面向“公众”提供服务时，并不会直接将生成式人工智能的生成内容转交（述）给用户，该内容仅为工作人员对外提供服务的辅助与参考，真正对外提供相关服务的仍为企业工作人员本人，其对表达的内容负责。换言之，即使生成式人工智能根据用户的情况提供了错误的生成内容，企业工作人员亦会对其进行甄别，在其能力范围内避免用户接触到错误的生成内容。在这种情形下，不应认定相关企业为服务提供者，即该企业不受《暂行办法》的规制。
3.企业为生成式人工智能技术“传声筒”
具体来说，此种情形可以理解为“传声筒”，企业代用户使用生成式人工智能服务，即，企业名义上对外“提供生成式人工智能服务”，但企业实质上并不控制相关大模型，用户对企业发出使用需求后，企业以使用者身份向其可接触到的大模型发送相同的需求，在得到相关的生成内容后，企业在不对生成内容进行实质性审查的前提下，直接将此生成内容转达给用户。
此种情形下，倘若生成式人工智能生成了错误的内容，终端用户有接触到该内容的可能。根据前述的判断标准，应当将此时的“传声筒”企业认定为服务提供者，受《暂行办法》的规制。根据《暂行办法》的规定，服务提供者需要对生成式人工智能大模型的研发及运行全阶段负责。此时，认定“传声筒”企业为服务提供者，由其承担相关大模型的全阶段合规风险，并不违反《暂行办法》的精神。
三、《生成式人工智能服务管理暂行办法》语境下的数据合规要点
（一）基于违法训练数据取得的大模型及参数能否继续使用
相较于征求意见稿，《暂行办法》在很大程度上放宽了对模型开发者/服务提供者在训练大模型时使用的训练数据的要求，但亦对训练数据作出了规定。《暂行办法》第7条第1项、第4项规定，服务提供者应在训练数据处理活动中遵守“使用具有合法来源的数据和基础模型”“采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性”。
1.训练数据本身违法
因大模型的参数取决于训练数据的投入，若在开发、训练大模型时使用的训练数据本身违法，例如使用了违反法律法规、公序良俗、国家利益、人类道德的训练数据，则大模型本身就有极高的生成违法内容的可能。当然亦有一种可能是大模型需要利用含有违法内容的数据来训练模型，以实现特定大模型可以识别“坏人”。对此，应当认为，除前述特殊情形外，在利用非法数据训练大模型的情况下，无论是大模型通过训练获得的参数，还是大模型本身，均不能继续使用。
2.训练数据来源违法
对使用训练数据内容本身合法，但来源违法的训练数据进行大模型训练，获取的相关参数及大模型能否继续使用的问题，目前法律尚无明确规定。对此，基于对人工智能领域相关技术发展的促进和鼓励，不应对此“一刀切”，宜分情况进行个案判断。
（1）服务提供者以合法渠道取得了来源不合法的数据（上游数据来源不合法）
此种情形为，服务提供者/模型开发者从合法渠道向数据持有者A处以合法形式购买训练数据，用于大模型的训练，但交易的训练数据却是数据持有者A以非法方式获取的（违规爬取、非法购买等）。此时，应当认可服务提供者/模型开发者通过对上述数据投入的实质性劳动与智慧，允许其继续使用基于来源不合法的训练数据所得到的大模型及相关参数（类似于善意取得制度）。
但与此同时，服务提供者/模型开发者应当提供其已对相关训练数据来源进行合理审查的证明，否则，难以体现其对训练数据的来源审查尽到了合理的注意义务。此时，若服务提供者/模型开发者不能提供相应的证据，则不能认为其对训练数据的来源进行过合理必要的审查，则其应承担相应的侵权及其他责任；情节严重的，不应允许其继续使用基于前述训练数据训练的大模型及相关参数。
（2）服务提供者非法获取训练数据
若服务提供者/模型开发者是以非法方式或非法途径获取相关数据进行大模型的训练，其明显违反了《暂行办法》第7条“使用具有合法来源的数据和基础模型”的规定。在此情形下，服务提供者/模型开发者的主观恶意明显，不应允许其继续使用基于上述数据训练而获得的大模型及相关参数，其还可能将因其违法行为承担相应法律责任。
（二）模型开发者和服务提供者预训练数据的合规性
《暂行办法》第7条规定，“生成式人工智能服务提供者（以下称提供者）应当依法开展预训练、优化训练等训练数据处理活动，遵守以下规定：（一）使用具有合法来源的数据和基础模型；（二）涉及知识产权的，不得侵害他人依法享有的知识产权；（三）涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形；（四）采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性；（五）《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律、行政法规的其他有关规定和有关主管部门的相关监管要求”。
《暂行办法》第8条规定，“在生成式人工智能技术研发过程中进行数据标注的，提供者应当制定符合本办法要求的清晰、具体、可操作的标注规则；开展数据标注质量评估，抽样核验标注内容的准确性；对标注人员进行必要培训，提升尊法守法意识，监督指导标注人员规范开展标注工作”。
基于此，可以得出服务提供者/模型开发者在使用训练数据进行大模型的预训练时，需要重点关注以下合规风险点：
1.数据来源是否合法
目前模型开发者/服务提供者获取训练数据的方式通常包括公开采集（例如通过爬虫软件、RPA等技术手段采集）、直接采集（通过用户自主提供或通过设备采集）、间接采集（从数据提供者处以购买、数据共享等方式获得）、使用合成数据等。对此，需要重点关注模型开发者/服务提供者采集数据的行为及渠道是否合法合规。
例如，以爬虫软件等技术手段采集数据的，需要遵守与被爬取网站的协议，不得破坏、绕过其设置的反爬取技术措施等。爬取的数据应当为公开数据，不得涉及个人信息数据、重要数据、敏感数据等，不得违反《反不正当竞争法》的相关规定。以购买或数据共享方式取得训练数据的，模型开发者/服务提供者需对相关数据的来源进行合理审查，避免该数据的上游取得方式违法，以至产生合规隐患。
2.数据训练过程是否侵犯他人知识产权
大模型的训练需要大量诸如文字、图片等数据的投入，这其中不乏受到著作权保护的作品。因而，在未经相关著作权人授权的情况下，以获取的公开数据为训练数据进行大模型的训练，可能会构成对相应著作权人享有著作权的侵犯。现阶段，要求服务提供者/模型开发者在进行大模型训练前取得所有相关著作权人的授权显然不现实，赋予其过重的合规义务无疑会压缩生成式人工智能行业的发展空间，与《暂行办法》鼓励相关技术发展的精神不符。故而，如何在知识产权领域实现服务提供者/模型开发者与知识产权人之间利益的平衡，对于促进整个人工智能领域的发展，显得尤为重要。对此，理论界与实务界均未形成定论。
2023年8月初，《纽约时报》正式公布其更新的服务条款，明确表示“未经其书面许可，所有在《纽约时报》刊登或提供的照片、影像、设计及视讯短片，以及其他资料或数据等，都不得用于训练生成式人工智能，否则，将追究相应的民事或刑事责任”[1]。上述新闻主要针对的就是Open AI公司在未经《纽约时报》授权的情况下，以其享有著作权的作品进行ChatGPT训练的行为。对此，《纽约时报》表示或将起诉Open AI公司。而以美联社为代表的“赞同派”则持相反态度，其于7月与Open AI签署合作协议，同意提供过去的报道给Open AI用于数据训练。《华尔街日报》亦在考虑以收取一定费用的方式向AI开发人员提供训练内容，其将生成式人工智能视为对未来业绩的支持[2]。
对此问题，学界有观点认为，或可于《著作权法》中增加“合理使用”的情形，豁免模型开发者/服务提供者对用于大模型训练的作品取得著作权人授权的义务，明确其可以不经授权即将相关作品用于大模型的训练，或只需为此支付一定的费用[3]。
但需注意，目前我国立法尚未明确此种情形属于“合理使用”的范围，也即模型开发者/服务提供者在以他人作品作为训练数据时，原则上仍需取得相关著作权人的授权，否则将会面临较高的合规风险。
3.训练数据是否涉及个人信息
实践中，大模型的训练很少使用直接的个人信息（如单独的姓名、身份证号等），但亦存在此种可能。根据《暂行办法》第7条第3项的规定，倘若训练数据涉及个人信息的，应当取得个人同意，或符合法律、行政法规规定的其他情形。
4.是否采取有效措施提高训练数据质量
相较于征求意见稿要求的“能够保证数据的真实性、准确性、客观性、多样性”，《暂行办法》出于对生成式人工智能行业发展的鼓励，已大幅放宽了对训练数据的质量要求标准，仅进行“倡议性”要求。但对于模型开发者/服务提供者来说，提供训练数据质量仍不可忽视。对此，其应当积极采取有效措施，并对此进行记录和留痕，以便在接受监管时，能够向相关部门证明其对于提高训练数据质量已经尽到了合理的义务。
5.数据标注活动是否符合规定
《暂行办法》第8条对数据标注活动提出了明确的要求，因此，服务提供者/模型开发者在训练数据时应当制定标注规则、开展数据标注质量评估，并对标注人员进行必要的培训，否则可能存在合规风险。
（三）服务提供者储存和利用使用者输入信息的合规问题
大模型的训练并非一蹴而就，在服务提供者/模型开发者完成大模型的预训练后，大模型只是初步成型，其本身还需要在后续提供服务的过程中持续训练。可以说，使用者在接受基于大模型的生成式人工智能服务的同时，也在变相地帮助服务提供者继续训练大模型。此时，服务提供者能否直接利用使用者在使用时输入的相关信息及使用记录进行大模型的升级迭代，仍有待商榷。对此问题，《暂行办法》未作明确规定，但《暂行办法》与征求意见稿均规定了服务提供者对涉及使用者个人信息的输入信息和使用记录所应承担的义务。基于此，可以推断监管部门对上述问题的监管口径。
征求意见稿第11条规定“提供者在提供服务过程中，对用户的输入信息和使用记录承担保护义务。不得非法留存能够推断出用户身份的输入信息，不得根据用户输入信息和使用情况进行画像，不得向他人提供用户输入信息。法律法规另有规定的，从其规定”。以禁止性规定的形式对服务提供者作出要求，且没有规定除外条款，口径可谓非常严格。而《暂行办法》第11条的规定则在一定程度上放松了对服务提供者的限制，“提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录”。为禁止性条款设置了“非必要”“非法”的前提，也即承认了服务提供者在合法情况下可以对此进行一定的收集、存储和利用。
基于此，可以认为，《暂行办法》并未明确禁止服务提供者存储和利用使用者在使用过程中输入的信息及使用记录，而是认可了服务提供者利用该数据优化模型。但出于避免合规风险的考量，建议服务提供者应根据《暂行办法》第9条“与使用者签订服务协议，明确双方权利义务”的规定，在服务协议中预先、明确取得使用者的授权，以增强其收集、存储、利用相关数据的合法合规性。
此外，无论是征求意见稿还是《暂行办法》，均明确规定服务提供者具有保护使用者输入信息和使用记录的义务。意大利政府暂时禁用ChatGPT以及三星芯片机密代码泄露事件，均能体现使用者输入信息被泄露的严重性与严峻性。中国支付清算协会亦指出，生成式人工智能工具已暴露出跨境数据泄露等风险，出于对数据安全的考量，其发布《关于支付行业从业人员谨慎使用ChatGPT等工具的倡议》。因此，服务提供者应当重视其信息安全保障义务，积极采取有效措施，避免用户数据泄露。
（四）大模型关联数据出境的合规风险
《暂行办法》并未禁止境外向境内提供生成式人工智能服务，亦未禁止境内服务提供者于境外训练大模型，或在大模型中嵌套境外大模型，但这并不意味着上述作法被我国现行法律所当然认可。
在大模型部署在境外的情况下，服务提供者/模型开发者以境内数据对其进行训练，或使用者向其输入境内数据，均会导致大模型与境内数据在境外接触，即可能产生数据出境的问题，造成境内相关数据无序出境的法律风险。《数据出境安全评估办法》第4条规定，在“数据处理者向境外提供重要数据；关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；国家网信部门规定的其他需要申报数据出境安全评估的情形”四种情况下，数据处理者向境外提供数据的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。在利用大模型向公众提供服务的场景下，数据出境将变得不可控，对相关进行逐条统计并在达到一定标准时及时向相关部门申报数据出境安全评估缺乏可行性。根据《暂行办法》第20条，对来源于中华人民共和国境外向境内提供生成式人工智能服务不符合法律、行政法规和本办法规定的，国家网信部门应当通知有关机构采取技术措施和其他必要措施予以处置。也即，在利用境外大模型向境内公众提供服务的情况下，服务提供者/模型开发者会因为数据无序出境问题承担极高的法律风险。
此外，如果将利用境内数据进行训练后得到的大模型直接部署到境外，而非在境内向境外提供服务的，也会涉及数据出境的法律风险。因为在将大量数据用于大模型的训练后，相关大模型就会基于此特定数据环境而产生一定的推理能力，虽然大模型本身并不存储原始数据，但其推理、生成逻辑本身在一定程度上已经包含了离散的、概率的数据。此时，大模型出境，亦会产生数据出境的风险。
综上，为避免数据无序出境带来的风险与法律责任，服务提供者/模型开发者应尽可能在境内开发和训练大模型，即使所使用大模型源自境外的，也应尽可能地实现本地化部署。
（五）生成式人工智能通用大模型数据语料库的建立
《暂行办法》第6条第2款规定，“推动生成式人工智能基础设施和公共训练数据资源平台建设。促进算力资源协同共享，提升算力资源利用效能。推动公共数据分类分级有序开放，扩展高质量的公共训练数据资源。鼓励采用安全可信的芯片、软件、工具、算力和数据资源”。足见国家对生成式人工智能技术发展的支持，以及对通用大模型数据语料库建设的重视。
现阶段，制约国内生成式人工智能通用大模型发展的一大痛点即为可供训练的中文语料太少。据统计，全球通用的50亿大模型数据训练集里，中文语料的占比仅为1.3%，其中高质量的中文语料更少[4]。故而，构建通用大模型中文数据语料库，提高训练数据质量，扩大数据提供规模，就显得尤为重要。对此，可以根据以下思路破除当前困境：
其一，政府牵头组建大模型、大数据联盟。应充分发挥政府的作用，由政府统筹辖区内的数据资源，加速公共数据的分级分类开放，协调企业间数据共享。此外，因为政府自身控制了大量的公共数据资源，一方面可以开展高质量数据集建设，另一方面促进面向大模型的高质量语料库，亦可构建基于企业数据共享水平的公共数据开放机制，对企业数据共享水平进行评估，并将其与公共数据开放挂钩，共享水平高的企业可以在合法合理的范围内享受更便捷、优质的公共数据开放服务。
其二，增强数据持有方的数据提供意愿。各行业协会可以制定训练数据的质量与规模评价标准，形成标准操作流程和技术规范。建立语料库认证机制，并基于此构建数据定价机制，促进数据流动。需支持数据持有方对所提供数据产品的财产权益，特别是大型互联网平台合法收集持有的海量数据。此外，还可以根据数据持有方的数据提供情况，赋予其优先使用或优惠使用相关大模型的特权，以提高其数据提供意愿。
其三，构建数据提供方的安全港。此项举措意在减少数据提供方的顾虑，从而鼓励其对外提供数据。具体做法为，明确生成式人工智能大模型侵权追责机制，在数据提供方合法收集、出售或共享训练数据的前提下，以立法或政策的形式保障其不承担服务提供者/模型开发者因大模型侵权所产生的法律责任，即在一定程度上阻断数据提供方的责任。
其四，支持语料库数据产品在受监管的数据交易场所挂牌交易。以上海市数据交易所为例，其建立了完善的数据合规评估机制。对于大模型的语料供给，可以鼓励数据供给方在数交所挂牌，对语料数据产品进行评估费用以及挂牌费用上的政策支持及经济补助等。这不仅可以为数据提供方的合规问题提供一定程度上的背书，对数据需求方亦具有积极意义。目前根据公开报道，中国知网等重要数据来源方已经在上海数据交易所挂牌数据产品。
其五，增加公共数据资源的供给。随着数据垄断效应的加剧，企业若想合法获取高质量的训练数据集并非易事。公共数据是极重要的数据来源，通过公共数据开放机制和公共数据授权运营机制，建立和开发公共训练数据集，以降低企业获取具有合法来源的数据的成本，或可有效缓解这一矛盾。
其六，构建生成式人工智能领域开源社区。以Hugging Face Hub为例，其作为目前境外AIGC领域最有影响力的开源社区之一，提供超过12万个模型（Models）、2万个数据集（Datasets）和5万个演示应用程序（Spaces），所有这些都是开源、公开、免费的，这极大的降低了大模型行业的技术和成本门槛，深刻地改变了AIGC行业的发展模式。可以将该案例的成功作为借鉴和参考，由政府牵头或鼓励企业自发创建中国的开源社区，构建社区的正向反馈机制，由用户对共享的模型、数据等进行评分，高质量内容的共享者可以以此获利等，以促进AIGC领域数据的自发性流通共享。
四、余论：《生成式人工智能服务管理暂行办法》语境外的合规重点——AIGC的著作权问题
如上所述，生成式人工智能和深度合成的区别之一在于生成式人工智能的演绎创新的能力。而演绎创新能力所产生的成果归属也将成为合规的重点。
（一）AIGC的内涵与特点
AIGC全称AI Generated Content，即人工智能生成内容，例如，ChatGPT在代码中注入预训练后，其可以像人类一样学习训练，并通过人类反馈的强化学习训练，使机器逐步与人类的想法保持一致。根据大模型的训练，生成式人工智能会像一个小孩一样，学习—反馈—成长，最终产生自己独立的作品。其中其独立产生的作品就是AIGC。AIGC具有模式化、数量多和不可预估性的特征。由于生成式人工智能需要以人类提供的数据为基础，通过研究基础数据归纳规则并最终生成成果，因此，其难免会与接收的数据具有相似性。但究其本质，仍具有一定独创性。同时，由于机器处理数据的能力和效率高于人脑，因此在同样时间内，产生的作品数量亦非常多。此外，由于人类只能对人工智能喂养的数据进行预设，但人工智能自己具有获取数据的能力，因此，其作品亦有不可预估性。
（二）AIGC能否构成著作权客体
对于AIGC（AI Generated Content，系指人工智能生成内容，以下称“AIGC”）是否能构成著作权客体，并按照著作权体系进行权利分配与权属认定，目前法律并无明确规定，实务界对此问题所持观点亦不统一。
在(2019)京73民终2030号案件中，北京知识产权法院认为，“作品应由自然人创造完成，计算机软件智能生成的内容不构成作品”“对于相关生成物，计算机软件研发者（所有者）和软件使用者均不能以作者身份进行署名，应标明相关内容系软件智能生成”“计算机软件的使用者可以采用合理方式在计算机软件智能生成内容上表明其享有相关权益”[1]。
而在(2019)粤0305民初14010号案件中，南山区人民法院则认可了腾讯公司享有对案涉人工智能生成作品的著作权，“从涉案文章的外在表现形式与生成过程来分析，该文章的特定表现形式及其源于创作者个性化的选择与安排，并由Dreamwriter软件在技术上‘生成’的创作过程均满足著作权法对文字作品的保护条件，本院认定涉案文章属于我国著作权法所保护的文字作品”[2]。
对此，笔者认为，基于对生成式人工智能技术发展的鼓励，宜认可存在权利主体对符合著作权作品标准的人工智能生成物享有著作权。此外，著作权法的目的之一便在于鼓励创新，认定AIGC可以构成著作权客体，并以一定的判断标准明确其权利主体，并不违背著作权法之本意，亦符合鼓励新技术发展的社会要求。
（三）AIGC构成著作权客体的判断标准
在认可AIGC可以成为著作权客体的前提下，应明确相应的判断标准，即何种AIGC可以被认定为著作权客体。对此，可以借鉴南山区人民法院的判断标准，即：首先，AIGC是否具有独创性。应从是否独立创作及外在表现上是否与已有作品存在一定程度的差异，或具备最低程度的创造性进行分析判断；其次，应从AIGC的生成过程来分析是否体现了创作者的个性化选择、判断及技巧等因素，也即创作者在使用生成式人工智能生成相关内容时，是否投入了足够多的、足以左右生成内容、风格等的贡献。
如果能够满足以上两点，则应认为AIGC满足著作权法上对作品的认定标准，AIGC可以构成著作权客体。
以ChatGPT为例，假定其生成物已经具有了独创性，则需要判断服务提供者/使用者对其的产生是否投入了足够多的贡献。以使用者的视角，若其为相关生成物的创作投入了足够多的贡献，为此搜集大量资料，在系统内对生成内容（语言、逻辑、风格等）不断进行调整，最终创作出了具有独创性的内容，则应认定该内容符合著作权法上对作品的认定标准。在服务提供者主导、贡献下生成式人工智能生成的内容亦同。
（四）AIGC的权属判断
依上述分析，AIGC有构成著作权客体的可能性，故而在确定AIGC的权属时，应先判断其能否构成著作权中的作品。在不构成著作权中作品的情况下，涉及与AIGC有关的“持有、使用、收益”等财产性权利，宜明确服务提供者与使用者之间的利益分配。
而在构成著作权所称作品的情况下，则需先厘清谁能成为AIGC著作权的主体。根据我国《著作权法》第9条和第11条之固定，著作权人应当是公民、法人或者非法人组织。其中，法人和非法人组织系一种拟制人格，其背后依然是自然人。实际上，著作权就是围绕自然人构建的。而AIGC的创作主体是人工智能，这就产生了AIGC著作权归属的问题。从民法学角度来说，法律主体必须具有民事权利能力和民事行为能力。很明显，目前生成式人工智能还没有上述能力，也无法对相应的行为承担后果。因此，笔者认为，AIGC著作权保护主体应当是其背后的“人”[3]。
综上，本文仅从各方主体利益平衡的视角出发，拟提出AIGC权属的一般性的判断标准。
首先，在确定AIGC的权属时，应先明确服务提供者与使用者之间是否就此存在明确约定，如有，则在相关约定有效的前提下遵循双方之间的约定。
其次，在没有提前约定的情况下，应判断AIGC能否构成著作权中作品。如果能够构成作品的，则可以根据服务提供者与使用者对相关内容生成的贡献程度大小确定著作权权利主体。在双方贡献的创造性智力劳动的大小难以比较时，可以考虑将著作权归属于使用者。因为服务提供者在提供服务时往往会收取一定的费用，其在实际上已经因提供生成式人工智能服务而获利，此时，将著作权归属于使用者的话，可以在一定程度上避免服务提供者“多重获利”的情况，平衡服务提供者与使用者之间的利益关系。
再次，在AIGC不构成作品的情况下，此时不再涉及著作权归属的判断，相应的AIGC应属于使用者“使用记录”的一部分。根据《暂行办法》第11条的规定，“提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录”。据此，可以认为，服务提供者在利用AIGC时，应当获得使用者的授权，尤其不得非法使用能够识别使用者身份的使用记录。此时，若服务提供者在未获得授权的情况下利用生成内容，则会存在较大的侵权、合规风险。
分报告二：数据资产入表的理解与法律思考
2023年8月22日，财政部《企业数据资源相关会计处理暂行规定》（财会〔2023〕11号，以下简称《暂行规定》）全文正式发布，自2024年1月1日起施行。《暂行规定》开宗明义其立法目的是为规范企业数据资源相关会计处理，强化相关会计信息披露。正如财政部答记者问中指出，制定《暂行规定》是贯彻落实党中央、国务院关于发展数字经济的决策部署的具体举措，也是以专门规定规范企业数据资源相关会计处理、发挥会计基础作用的重要一步；制定《暂行规定》将有助于进一步推动和规范数据相关企业执行会计准则，准确反映数据相关业务和经济实质。通过针对数据资源制定专门统一规定，解决实务中对数据资源能否作为会计上的资产确认、作为哪类资产“入表”的疑虑，并明确计量基础。直白地说，《暂行规定》为数据资产入表提供了操作指引。2024年将是数据资产入表的元年，在中国数字经济发展中将占有里程碑地位。
一、数据资产入表《暂行规定》的内涵
数据资产入表是指将符合标准的数据资源确认为资产负债表中的“资产”，从而能够将相关数据资源对企业的真实价值与业务贡献反应在财务报表中。具体来说，《暂行规定》规定：企业使用的数据资源，符合《企业会计准则第6号——无形资产》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为无形资产；企业日常活动中持有、最终目的用于出售的数据资源，符合《企业会计准则第1号——存货》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为存货；企业出售未确认为资产的数据资源，应当按照收入准则等规定确认相关收入。
基于与国际会计核算接轨、稳健推进等考量，《暂行规定》明确企业数据资源适用于现行企业会计准则，并没有改变现行准则下的会计确认计量方法与要求。其本质上是对现行准则的重申和细化，即，在“存货”“无形资产”“开发支出”三个科目下新增“数据资源”项目，对数据资产入表的会计账目处理方式及列示规则进行明确。
值得注意的是，《暂行规定》解决的是会计问题，即在会计核算时如何将符合条件的数据资源以资产入账。并不能当然认为《暂行规定》可以一并解决数据确权、数据流通交易及数据资产评估等问题，这些问题将在下文中详细说明，此处不再赘述。
二、“数据二十条”与数据资产入表
（一）“数据二十条”提出探索数据资产入表新模式
“数据二十条”明确，数据作为新型生产要素，对土地、劳动力、资本、技术等生产要素具有放大、叠加、倍增作用，其正在推动生产方式、生活方式和处理方式深刻变革。因此，促进数据的流通交易根本目的是为了赋能数据利用，发挥数据要素的价值。“数据二十条”在总体要求部分提出，要以维护国家数据安全、保护个人信息和商业秘密为前提，以促进数据合规高效流通使用、赋能实体经济为主线，以数据产权、流通交易、收益分配、安全治理为重点，构建数据基础制度的“四梁八柱”。
数据资产入表新模式的探索，被“数据二十条”明确规定为数据基础制度中促进数据流通利用的保障措施之一。《暂行规定》的出台标志着数据资产入表的正式落地，在全世界亦尚属首例。数据资产入表是在“数据二十条”所确定的整体数据基础制度框架下，对于构建适应数据特征、符合数字经济发展规律新制度的一次有益尝试，亦是中国深度参与国际高标准数字规则制度的重要体现。作为保障措施，《暂行规定》为企业生产、购买数据资源相关费用进行资本化奠定了制度基础，能够有效引导企业尤其是数据密集型企业加大对数据流通利用的资源投入力度，最终实现促进数据流通利用的功能。
（二）数据流通利用对数据资产入表具有重要意义
“流通交易是数据资源向数据资产转变、充分释放价值的必经之路。”北京大学光华管理学院教授翁翕认为，一方面，数据的使用价值在于对产业生产效率和市场运行效率的普遍提升。由于数据的使用价值高度依赖于规模质量、多源融合和应用场景，因此必须通过流通才能创造出更大价值。另一方面，通过流通交易可以鼓励市场主体逐步探索和完善数据定价体系，用市场化的手段合理评估和量化数据的经济贡献，有助于进一步将数据资源提升为数据资产，真正释放其内在价值[1]。
根据《暂行规定》，数据资产入表的账面价值计算适用成本法，也即准确地计算拟入表数据资源所耗费的成本是数据资产入表的前提和基础。在数据流通利用大量、稳定的情况下，对于外购所得的数据资源，其交易价格便可直接作为成本的明确依据，尤其是在数据产品场内交易的场景中，数据产品交易价格更加具有可证明性和公允性，这将为数据资产入表的相关工作提供极大的便利。通过数据产品交易尤其是场内数据产品交易，形成公允的市场价值，并通过数据交易链登记，记录数据产品、权属信息、交易记录和交付信息等，有市场价格信息、应用场景以及可持续服务的证明。这样的数据交易登记凭证，可以为数据产品的买方会计入表的基于公允价格的计量提供可靠依据之一；此外，其亦可作为数据资产估值的依据，待符合资产市场法估值的两个基本条件成立的时候就可以作为资产估值的依据，从而为资产质押、信托、企业并购和IPO等衍生的金融服务提供基础资产评估的相对可信依据。
（三）“数据二十条”构建了四个制度及其意义
1.建立保障权益、合规使用的数据产权制度，探索数据产权结构性分置制度，建立数据资源持有权、数据加工使用权、数据产品经营权“三权分置”的数据产权制度框架。三权分置的提出淡化了所有权的概念，认可三种权利的财产权益。设置三权结构性分置最主要的意图是促进数据确权的相对明确，促进数据的合规高效流通使用，不让数据权属问题成为数据要素流通使用的一个障碍，也为实现数据资产入表的确权提供了保障，从而进一步又促进了数据流通利用。
2. 建立合规高效、场内外结合的数据要素流通和交易制度，从规则、市场、生态、跨境等四个方面构建适应中国制度优势的数据要素市场体系。
3.建立体现效率、促进公平的数据要素收益分配制度，在初次分配阶段，按照“谁投入、谁贡献、谁受益”原则，推动数据要素收益向数据价值和使用价值创造者合理倾斜，在二次分配、三次分配阶段，重点关注公共利益和相对弱势群体，防止和依法规制资本在数据领域无序扩张形成市场垄断等各类风险挑战。
4.建立安全可控、弹性包容的数据要素治理制度，构建政府、企业、社会多方协同的治理模式。
三、如何理解不同语境下的“数据资源”
《暂行规定》中的“数据资源”和“数据二十条”中的“数据资源”概念不同。《暂行规定》的标题就是指“企业数据资源”，而“数据二十条”在数据资源持有权、数据加工使用权、数据产品经营权的三权分置机制中提出了“数据资源”这一概念。
对此，理论与实务界就数据要素市场建设也提出了数据资源化、资源产品化、产品资产化的企业数据资产化三部曲的路径。
例如复旦大学黄丽华教授提出，“数据资源的定义是指把不同来源的数据进行必要的加工整合和处理，在物理上按照一定的逻辑归集以后，达到一定的规模，形成可重用、可应用、可获取的数据集合。数据产品定义为包含实质性加工和创新性劳动，可满足内外部用户需要的数据内容和服务终端组成的具有可持续能力的服务。数据产品可以自用、共享、开放和对外服务或交易，尤其是通过场内数据交易市场可以为所有参与交易的供需方提供数据资产的凭证。认定数据产品可以进入数据资产凭证的有三个条件，我们称之为三步蒸馏法。第一步是数据产品的认定要有条件的；第二步需要认定成为可交易的数据产品；第三步是数据产品要入资产凭证。经过三步‘蒸馏’产生的数据资产凭证，过程可控且最终的结果价值可以计量。而且，数据资产凭证是依托于全国数据交易链上面的协议和智能合约形成的，具有不可篡改性、可透明性，将来可以为资本市场创新应用提供可靠服务[1]。”
笔者认为两种语境下的“数据资源”有所区别，《暂行规定》中的“数据资源”范围较广，既涵盖了“数据二十条”中（通常在数据要素市场建设话语体系下）狭义上的数据资源，也涵盖了数据产品乃至数据资产的概念。
四、《暂行规定》对数据资源会计处理的具体要求
（一）适用范围
《暂行规定》第一条规定，本规定适用于企业按照企业会计准则相关规定确认为无形资产或存货等资产类别的数据资源，以及企业合法拥有或控制的、预期会给企业带来经济利益的、但由于不满足企业会计准则相关资产确认条件而未确认为资产的数据资源的相关会计处理。
根据《企业会计准则——基本准则》（以下简称“基本准则”），资产是指企业过去的交易或者事项形成的、由企业拥有或者控制的、预期会给企业带来经济利益的资源。符合资产定义的资源，在同时满足与该资源有关的经济利益很可能流入企业，以及该资源的成本或者价值能够可靠地计量的条件时，确认为资产。因此，我们理解判断数据资源确认为资产的条件主要包括四个要素：（1）企业过去的交易或者事项形成的；（2）由企业拥有或者控制的；（3）预期会给企业带来经济利益；（4）成本或者价值能够可靠地计量。
引用德勤的解析，数据资源构成资产需要资产四要素满足以下条件：
其一，相关数据资源是由过去的购买、生产、建设行为或者其他交易事项形成的。也即，预期在未来发生的交易或者事项不能形成资产。
其二，相关数据资源是由企业拥有或控制的。基本准则对于“拥有或控制”解释为，企业享有某项资源所有权，或者虽然不享有所有权，但该资源能被企业所控制[1]。
其三，相关数据资源预期会给企业带来经济利益，且相关的经济利益很可能流入企业。基本准则规定，预期会给企业带来经济利益，是指直接或者间接导致现金和现金等价物流入企业的潜力。同时，基本准则规定，只有满足与该资源有关的经济利益很可能流入企业时，才符合确认资产的条件之一。
其四， 相关数据资源的成本或者价值能够可靠地计量。基本准则规定，企业应当以实际发生的交易或者事项为依据进行会计确认、计量和报告，如实反映符合确认和计量要求的各项会计要素及其他相关信息，保证会计信息真实可靠、内容完整。
对此，在法律合规的视角下，笔者更关注对“拥有或控制”这一事项的判断。不同于物权上“所有权”这一单一的确权逻辑，根据前述《企业会计准则——基本准则》的规定，企业是否拥有一项资源的所有权，并不是企业将其确认资产的唯一标准。在某些情况下，虽然某企业并不拥有某项资源的所有权，但企业实际控制了该项资源，且能够借此获取经济利益，这亦满足会计上对资产的确认标准。从形式上看，“控制”意味着企业对该资源具有实际经营管理权，能够在生产经营活动中自主利用，谋求经济利益；从实质上看，“控制”意味着企业享有与该项资源相关的经济利益，并承担相应的风险。
目前，我国尚未在法律层面明确数据确权制度，确认企业对数据资源的“所有权”并无法律依据。因此，企业“控制”数据资源就成了能否将数据资源确认为资产的重要判断标准。“数据二十条”以顶层设计的形式，创造性地提出了数据产权结构性分置制度，回避了现有法律框架下数据所有权确权难的问题，建立以数据资源持有权、数据加工使用权、数据产品经营权为核心的“三权分置”体系，对数据流通利用的规制从产权范式转变为治理范式，把现阶段难以解决的数据所有权确权问题拆分为数据持有权、加工使用权与经营权的治理问题。这在一定程度上为企业判断数据资源是否满足数据资产条件提供了参考和依据，但毕竟“数据二十条”在效力层级上系政策性文件而非法律，“三权分置”制度并不能当然作为数据权属确认的直接依据，也不能在第三方中介机构的合规评估中成为直接的法律依据。因此，在法律层面尽快确认数据权属问题具有推动数据流通利用、确定企业数据资产的重要价值。
（二）数据资源会计处理适用的准则
暂行规定明确企业应当按照企业会计准则相关规定，根据数据资源的持有目的、形成方式、业务模式，以及与数据资源有关的经济利益的预期消耗方式等，对数据资源相关交易和事项进行会计确认、计量和报告。按照会计上经济利益实现方式，细分为“企业使用的数据资源”和“企业日常活动中持有、最终目的用于出售的数据资源”两类，并规范了不满足资产确认条件下相关数据资产交易的处理方式。前者符合《企业会计准则第6号——无形资产》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为无形资产；后者符合《企业会计准则第1号——存货》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为存货；企业出售未确认为资产的数据资源，应当按照收入准则等规定确认相关收入。
由此，可以看出，判断适用无形资产还是存货准则的关键，即为明确相关数据资产系“企业使用”还是“企业日常活动中持有、最终目的用于出售”。《暂行规定》在公开征求意见阶段，曾在征求意见稿中提出根据内部使用和对外交易两个维度，就数据资源应适用于无形资产还是存货准则进行区分。考虑到企业利用所持有的数据资源为客户提供服务是较为典型和常见的对外交易数据资源的应用场景，该场景属于内部使用还是对外交易存在不同解读，《暂行规定》明确了只有企业日常活动中持有、最终目的用于出售的数据资源，才适用于存货准则。换言之，对外非排他性授权使用数据资源的业务模式，或者同时存在内部使用和对外交易但并不主要依赖对外出售取得经济利益的双重使用业务模式下的数据资源，适用无形资产准则进行会计核算较为合理。因为实践中“买断”数据资源的场景极为罕见，因此未来数据资产入表过程中主要的形式应为无形资产方式。
（三）《暂行规定》不溯及既往
《暂行规定》在附则中明确指出，在《暂行规定》施行前已经费用化计入损益的数据资源相关支出不再调整。上述规定源于现有无形资产准则的规定，即内部开发形成的无形资产的成本仅包括在满足资本化条件的时点至无形资产达到预定用途前发生的支出总和，对于同一项无形资产在开发过程中达到资本化条件之前已经费用化计入损益的支出不再进行调整。因此，即使某项数据资源在暂行规定的首次施行日满足无形资产的确认条件，企业也不应在首次施行日将以前期间已经费用化的数据资源重新资本化。这一点决定《暂行规定》正式生效后不太可能马上出现大量数据资产入表的情况，一定程度上体现了国家对于数据资产入表探索相对谨慎的态度。
五、数据资产入表的难点
数据资产入表首先面临数据资源具体的应用场景问题。结合应用场景，明确具体产品对应的数据资产。在根据具体场景确定了拟入表的数据资源后，将会面临相关数据资源权属证明、资产定价定量以及后续流通利用过程中公允价值评估的问题。
（一）数据资产入表之前的数据资源的确权问题
1.法律上数据确权制度缺失
传统所有权体系的核心系支配和排他，即借助占有或登记等形式，使特定客体与所有权人之间的支配关系形成清晰的权利边界和外观，赋予所有者得以自由支配、处分特定客体的权利。有体物天然便具有支配和排他属性，所有权的确认上并无争议。对于知识产权这种无形财产，其确权本质为通过客体界定和注册登记建立权利外观体系，以人为制定创新成果保护治理规则的形式，在无形财产上建立支配和排他体系。因而，虽然无形财产“无体”，并非天然具有支配和排他属性，但以知识产权为代表的无形财产权属确认制度在本质上仍然符合传统所有权体系的基本理念和判断标准。
然而，数据天然具有可复制性与非排他性，使其不能适用有体物的确权规则。对于数据能否适用现有的知识产权的确权模式，目前学界亦持否定态度。高富平教授认为，在数据领域，“社会中的每个社会主体均扮演三个角色：数据来源者、数据生产者和数据使用者。首先，每个主体都需要通过数据来彰显自己在社会的独立存在，同时在社会活动中生成或留下大量的数据，成为数据来源者；其次，为了开展各项社会活动，每个社会主体均需要获取他人生成数据，认知客观世界或交往对象；最后，每个社会主体在使用数据，认知世界的过程中会对数据进行处理加工，形成可用的数据，成为数据生产者。每个主体的三重角色是相互冲突的，作为使用者希望自由获取来源者的和生产者处理后的数据，数据来源者则不希望他人获取数据，而生产者一方面希望从来源者或生产者获得数据，另一方面则希望独享其处理后的数据。显然，赋予任何主体以排他支配权，只会加剧各角色之间的冲突，听任数据使用者随意爬取他人数据，又会使数据使用陷入无序状态[1]。”基于此，不宜将数据简单的套用在传统所有权体系下，否则非但不能起到保障数据主体相关权利的作用，反而会阻碍数据的流通利用。
此外，《中华人民共和国立法法》第8条规定，包括民事基本制度在内的十一种事项只能由法律规定，数据权属确认制度毫无疑问的属于民事基本制度，应当由且仅由法律作出规定。《民法典》第127条规定，“法律对数据、网络虚拟财产的保护有规定的，依照其规定”。但目前，在法律层面并无对数据权属确认的明确规定，这就造成了数据确权制度的法律缺失。
2.会计操作中的“数据确权”
企业将自身持有的资源确认为资产的前提为该资源为企业“所有”，数据资源亦不例外，因此对企业来说，数据资源的“确权”问题无法回避。即使在入表后的资产再利用环节的数据资产评估环节，都离不开对数据权属的明确。值得注意的是，会计操作中的“数据确权”并非前述法律意义上的权属确认，而是企业对“拥有或控制”数据资源的一种证明，即企业能够合法的持有相关数据资源，并将其应用于企业的生产经营活动中，为企业带来利益流入。
如前文所述，根据基本准则，资产的判断标准之一即为企业“拥有或控制”。由于目前没有明确的数据权属法律制度，数据“所有权”并不存在，现阶段企业只能通过证明对相关数据资源实现了控制来实现数据资产入表的操作合法合规。现行法律并未强制要求企业在数据资产入表时以权利登记证书或第三方评估等要式方式证明数据资产的归属，企业可通过自我评估的形式自行判断是否对数据资源享有权利。实践中，企业进行“数据确权”的方式多种多样，目前主要有以下几种：
其一，企业通过协议的形式获取数据主体的明确授权，在授权范围内对数据资源进行加工利用，此时，相应的合同可以用来证明数据来源及权利边界。此种方式对企业来说便捷、高效，但亦存在弊端。首先，这需要企业具有完善的数据合规体系和各部门之间的统筹运营能力，对企业的经营能力要求较高；其次，在数据资产入表后的后续利用中，此种证明方式的证明力不足，极有可能不为交易向对方或第三人所认可，增加企业的交易成本。
其二，企业在数据资产入表前，聘请第三方服务机构对拟入表的相关数据资源进行合规评估。虽然这在本质上也仅为一种增信手段，但相对于企业自证的方式，证明力和说服力更强，更利于企业后续对相关数据资产的利用。
其三，通过目前各地试点的数据产权登记、数据知识产权（产权）登记，抑或以数交所为代表的场内数据产品挂牌交易，来进行相关数据资源的权属证明。以上海数据交易所为例，其建立以区块链技术为底座、以数据交易链为核心的基础设施，通过高效、可信赖的方式实现数据产品登记、交易登记、交付、清算等的真实性和可验证，可以生成可信的数据资产交易登记凭证，为数据资产来源和权属明晰提供了基础设施保障。在未来，全国还将形成统一的数据资产登记管理制度和登记体系。但是需注意，目前各地出台的数据产权登记、数据知识产权登记、数据产品交易登记，很多未要求以强制第三方合规评估为主要形式得到实质性核查，而仅仅是形式审查所登记的数据资产，笔者认为，在此种情况下的数据资产登记凭证无法达到有较强权属效力的数据资产权属证明效果。
（二）数据资产入账的计量问题
会计准则为我们提供了明确的指引，即只能基于历史成本对数据资产的账面价值进行计量，这就需要依据相关的历史投入以及相应的原始凭证来证明这些金额的存在和真实发生。在符合其他入表条件的前提下，一旦形成数据资源的历史成本可以被计量，就可以进行初始确认，并作为一个数据市场资产纳入会计账务处理，最终将其体现在资产负债表中。但是如何准确地确定数据资产形成的相应成本，在财务上面临较大的挑战。
（三）数据资产评估问题
1.数据资产评估与数据资产入表的关系
一般情况下，数据资产入表与数据资产评估并无直接关系。数据资产入表是客观的会计核算过程，满足资产确认条件的数据资产即可根据《暂行规定》的要求，以历史成本法进行列报与披露。而数据资产评估一般是对评估基准日出于特定目的下的数据资产的公允价值进行评定和估算，这种特定目的往往是数据资产入表后续计量中的减值测试、数据资产交易或数据资产管理等。
数据资产评估虽是发掘数据资产市场价值的方法，有助于提高企业数据资产管理能力和效率，但其本身并非数据资产入表的前置程序。事实恰恰相反，数据资产评估一般发生在数据资产入表之后。根据《暂行规定》，数据资产账面价值的确定采用成本法，即符合确认标准条件下企业对相关数据资源投入的全部实际成本，并不需要通过评估来确认相关数据资产的公允价值。只有在特殊目的下，例如并购、以数据资产出资等情形，数据资产评估才是必须，以形成数据资产的交易对价。此时，根据评估结果确定的交易价格，可以作为交易对手方数据资产入表账面价值的确定依据。对于数据交易供方来说，已入表的数据资产账面价值不能根据后续的交易价格再作调整。
需要注意，数据资产评估并非只能发生在数据资产入表后。日常经营中，企业出于对持有的、尚未确认为资产的数据资源进行管理、盘点的目的，当然可以聘请评估机构对相关数据资源的价值进行评估。但由于此时数据资源尚未被正式确认为资产，故企业不宜直接以评估结果为依据将相关数据资源用于信托、投资、增信贷款等金融手段。
2.数据资产评估的应用场景
从资产负债表的角度来看，《暂行规定》将增加一部分资产，从而优化资产和负债的结构。对于企业报表来说，这主要产生两个影响：第一，企业的盈利能力将得到优化；第二，企业的资产负债率也将得到优化。因此，企业的整个财务报表将更真实、更有优势地反映其经营和财务状况。
但是数据资产除在财务报表中的应用之外，也可以作为非货币资产，用于对外出资或合资，还可以用于对现有公司进行增资等行为。这相当于将非货币资产货币化使用。此外，数据资产也可以进行市场化交易，或者被用于质押融资、以数据资产出资入股等操作。例如，近日，青岛华通智能科技研究院有限公司、青岛北岸控股集团有限责任公司、翼方健数（山东）信息科技有限公司进行全国首例数据资产作价入股签约仪式。该数据资产作价入股路径分为登记、评价、评估和入股四个环节，每个环节依据相关标准和指导文件予以实施：一是对经由合规审查通过后的数据资产进行登记；二是在《数据资产价值与收益分配评价模型》标准的指导下，通过建立评价模型来评价数据资产的质量；三是对数据资产的价值进行评估；四是在三方合力下推动数据资产作价入股，华通智研院、北岸数科和翼方健数三方成立合资公司。
上述路径涉及对数据资产的估值。在数据资产入账后，相当于企业所拥有的数据资产已经被分项整理和打包，这将为未来的其他运作提供便利。例如，如果将来要使用数据资产进行融资、质押融资、交易或对外出资，已经入账的数据资产可以直接被利用，对其进行一次数据资产的估值。2022年，中国资产评估协会印发《专家指引第9号数据资产评估》，其第二条规定，本专家指引所指数据资产是由特定主体合法拥有或者控制，能持续发挥作用并且能带来直接或者间接经济利益的数据资源。第三条规定，本专家指引所指数据资产评估，是资产评估机构及其资产评估专业人员遵守法律、行政法规和资产评估准则，接受委托对评估基准日特定目的下的数据资产价值进行评定和估算，并出具资产评估报告的专业服务行为。在《暂行规定》出台后，中国资产评估协会也于2023年9月8日发布了《数据资产评估指导意见》，明确了数据资产评估的规则。
六、数据资产入表与数据资产衍生金融服务与产品
首先，数据资产管理概念的使用可以分为多个维度：
一是IT和信息意义上的“数据资产管理”，主要是指“数据资产”的管理，很多企业都产生大量的数据，形成“数据资产”，需要对数据资产进行管理和利用，此处的数据资产本质上是指企业的数据资源。目前通常讲到的数据资产管理，多数是指这种情况，其计量单位是“G”“T”等。
二是经济学意义上的“数据资产管理”，其使用较为泛化，不一定符合入表的要求。
三是会计意义上的“数据资产管理”，较为狭义，特指符合“入表”要求的数据资产管理。
四是金融意义上的“数据资产管理”，这是指金融领域的资产管理业务，主要是指将资金作为委托资产，委托给有资格的管理人管理该财产，法律性质上适用信托法原理，数据资产管理的特点在于委托的资产不是现金，而是“数据财产”。
在金融意义上的“数据资产管理”情况下，数据财产之所以能够被委托作为资产受托管理的对象，前提是数据资源能够成为会计意义上的资产，数据资源的财产权益需经资产评估认可。
目前如将数据财产作为金融意义资产管理业务的委托财产，主要是在信托公司的业务牌照下。但是如果从数据财产作为资产管理业务投资标的的角度，只要能够投资非标类的资管业务产品，在相应牌照的金融监管部门的认可下均可将数据资源资产纳入投资标的范围，例如私募股权基金、证券公司私募资管业务、资金信托等。虽然目前这些资管产品的投资范围尚不包括数据资产，但是在数字经济已经到来特别是《暂行规定》已经将数据资产入表的背景下，金融监管部门的认可应可期。《暂行规定》其从会计准则上确认了符合条件的数据资源的资产性质，虽然本身没有金融属性，但是对未来金融属性的数据资产管理有基础价值锚定的重大意义。
其次，金融意义上的数据资产管理乃至数据资产的其他衍生金融服务的资产基础更加夯实。一是按照《暂行规定》进行会计处理，拥有丰富数据资源的企业将直接受益于数据资产入表，数据资产管理的委托方以及可以作为基础资产的数据资产或将大大增加。二是企业数据资源财产自身的定价在《暂行规定》明确数据资产入表要求后，我们理解有助于确定更为市场所认可的定价。例如一些正在探索中的数据信托项目，也存在委托的数据资产价值确定的问题，如果按照《暂行规定》的要求，有助于形成合理定价。三是对于企业将数据资源加工成数据产品在场内或场外交易的，《暂行规定》对于数据产品的交易定价和交易后依据数据产品交易登记凭证入表都具有重要意义。
截至目前，实践中市场上已经进行了多次金融意义下数据资产管理的探索，包括数据信托、数据资产质押融资贷款、无质押数据资产增信贷款、发行包含数据知识产权的证券化产品、数据资产作价入股签约等。目前这些探索还仅具有试点性质，尚未形成普遍模式，而且在金融机构的真实认可度上有待检验。但是在《暂行规定》正式生效后，在数据资产入表逐渐成熟后以数据资产作为基础资产的金融衍生服务和产品必将成为常规业务。
七、数据资产入表的合规问题
总体来说，企业数据合规主要可以分为数据来源合规、数据处理合规、数据管理合规以及数据经营合规，具体到数据资产入表阶段，最应当关注的是数据来源合规与数据处理合规两部分。对于数据管理合规与数据经营合规，二者亦是企业数据合规体系的重要组成部分，但二者的缺失并不会当然的影响相关的数据资源被确认为资产。例如，倘若企业没有履行法律规定的数据安全保障义务，以至于企业所持有的相关数据面临极大的泄露隐患，这种情形下企业确实违反了数据合规的有关规定，其行为会被监管部门进行处罚，但并不会因此丧失对相关数据所享有的财产性权利。此时，若不存在其他特殊因素，仍应认为企业可以将相关数据资源确认为资产并计入资产负债表。
（一）数据来源合规
目前，企业获取数据的方式主要有以下几种：自行生产、公开收集、直接收集、间接获取等，需要根据不同的收集方式及应用场景，具体认定相关数据来源的合法合规性。
1.自行生产
企业自行生产的数据，即企业在日常经营、科研、生产等活动中产生并收集的数据，如APP的日常活跃量数据、企业生产线上的测试数据等。在此种情形下，由于企业获取数据的过程中不涉及外部收集，故对相关数据的来源合规性进行审查时，可以相对弱化对数据收集手段的审查。但应注意，企业应在数据的产生和收集阶段按照法律规定做好数据分类分级，并对不同种类、不同等级的数据采取不同的存储措施，实施重要数据加密存储、灾容备份和存储介质安全管理等措施。
2.公开收集
公开收集系指企业通过爬虫、RPA等技术手段，采集已公开的信息。此种情形下，在审查数据来源合规性时，应重点审查以下方面：
（1）数据采集不得危害国家安全、公共利益。例如，企业不得采集受监管的数据，包括重要数据、核心数据、国家秘密、情报信息等；企业在采集数据时不得侵入国家事务、国防建设、尖端科学技术领域计算机系统；企业不得非法侵入其他特定组织的计算机系统；企业不得在未经授权的情况下侵入国家关键信息基础设施采集数据。
（2）数据采集方式需合法、正当。例如，在使用爬虫采集公开信息时，企业不能违反目标网站的Robots协议或突破其设置的反爬取措施爬取数据；企业的数据抓取行为不得干扰目标网站的正常运行；若拟采集的公开数据涉及其他企业商业秘密的，需尊重信息主体的意愿，获得企业的授权同意。
（3）数据采集不得损害个人的合法权益，收集和处理个人应具备合法性基础。
（4）数据采集的目的应合法正当，不得侵犯他人知识产权、不得涉及不正当竞争。
3.直接采集
直接采集系企业通过用户自主提供或通过自由设备收集的数据。
（1）通过用户自主提供数据的，用户对数据的授权应当完整。例如以APP、小程序、信息表单等方式收集用户收据的，需要在隐私协议或告知说明中明确收集数据的种类、处理方式及目的等，并获取用户的明示同意。以此种方式采集数据的，应重点关注以下内容：
采集的数据涉及个人信息的，需满足个人信息采集的合法性基础；采集的数据涉及未满十四周岁未成年人的，需取得其监护人的自愿、明确同意；采集的个人信息数据敏感个人信息的，需取得单独同意；采集的数据涉及企业商业秘密的，应取得企业的明示授权同意。
（2）通过自有设备采集数据的，应重点关注以下内容：
通过委托/租用/购买的第三方设备或自有设备采集数据的，均应确保设备的安全性及数据安全保护能力；收集特殊领域数据的，需具备相关资质，例如收集道路信息的，可能需要具有测绘资质；收集的信息涉及个人信息的，应对个人信息进行匿名化处理，或具备其他个人信息采集的合法性基础。
4.间接获取
间接获取系指通过协议、共享等方式获取相关数据，从交易渠道上看，可以分为场内交易和场外交易。场内交易即在各地数据交易所内进行交易，目前，大部分数交所均要求数据产品提供方对数据产品进行合规性评估。以上海数据交易所为例，数据产品需通过第三方专业机构的实质审核及数交所的形式审查后方能挂牌交易。场外交易的情况下，目前除征信行业等特殊监管行业外，并无强制审查拟交易数据的要求，但对于数据需方来说，若拟将购入的数据确认为数据资产，应确保其对相关数据的权利不存在瑕疵。
无论场内交易还是场外交易，若数据需方拟将购入数据产品确认为数据资产，均应重点关注以下内容：数据供方的数据来源是否合法、其处理与交易相关数据是否具有相关授权；数据本身能否进行交易，如核心数据、国家秘密、情报信息、个人生物识别信息原则上不允许交易；涉及重要数据的，数据供方是否取得相关部门的同意或许可，例如，全国范围内二十年以上的气象数据具有一定的敏感性，原则上企业只能从国家气象局获得该数据；特殊需求场景下数据供方是否具有相关资质，例如，金融机构获取个人信用信息用于征信业务的，数据供方需为持牌征信机构。
（二）数据处理合规
企业处理数据的一般性合规要求为：合法[1]、正当[2]、必要[3]、保障数据主体权利[4]。具体来讲，应包含以下内容：
（1）企业处理数据的范围应当合理，处理目的应当合法、正当。企业进行数据处理的范围应为协议约定范围，或其公示的使用规则中所承诺的数据处理范围；企业不得将收集的数据用于非法目的，不得使用非法手段或以非法形式使用数据。
（2）企业处理的数据涉及个人信息、重要数据、核心数据的，应符相关规定。企业在处理重要数据、核心数据时，相关数据应存储在境内，非经批准不得向境外提供；企业处理涉及个人信息的数据时，应满足《个人信息保护法》第十三条[5]所规定的合法性基础。
（3）企业处理数据应履行《网络安全法》《数据安全法》及相关法律法规项下对于企业的整体义务。例如，企业在数据处理的过程中应采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性；企业应建立健全全流程数据安全管理制度，制定内部安全管理制度和操作规程确定网络安全负责人，落实网络安全保护责任；建立用户信息保护制度、网络信息安全投诉、举报制度；组织开展数据安全教育培训。
（4）企业应对数据采取加密、访问控制及风险处置措施，遵循线下法律法规对于数据安全处理的要求。
八、对企业数据资产入表准备工作的建议
（一）数据权属的明确
如前所述，数据确权问题根本上无法回避。企业在根据《暂行规定》历史成本法将数据资源记入资产负债表时，并无法定要求其需明确其为何种数据权属，只要企业合法拥有，确信是合理合法使用即可入账。但是在入表后其财务报告能否被审计机构认可，以及在数据资产后续的金融应用时能否被资产评估机构和金融机构认可，必然会遇到“合法拥有或控制”的确认问题，不可避免要遇到数据权属问题。在目前“数据二十条”初步形成三权分置的思路下，如何判断和确认是否形成三权中某一种权利，权利是否有瑕疵，实践中将是非常谨慎复杂的问题。
确权的过程中除了权利性质的判断，还涉及企业数据的来源合规、企业数据治理的合规。尤其是数据来源的合规非常重要，数据来源的各种渠道均需进行评估分析，穿透审查数据来源并留存相关审查记录，需要求数据提供者提供相应合规证明、出具承诺或以通过合同方式尽可能约定相关权利，确保数据来源合法可追溯。因此，未来企业在将数据资产入表时，有必要自行或委托第三方对数据资源开展法律尽调。
（二）数据处理可记录、数据资产可计量
根据《暂行规定》，拟入表的数据资产需要能够准确计量其历史成本。这就要求企业在将数据资源确认为资产计入资产负债表时，尤其是对于企业自行开发的数据资源确认为资产时，企业需要明确形成该资产所投入的成本。此时，企业自身需具有能够在技术上记录与该资产形成有关的全部投入的能力，以证明投入成本的合理性，以及拟入表资产确系企业通过明确的处理行为所获得。
（三）信息披露问题
《暂行规定》后，数据资产入表作为影响极深的新事物，涉及巨大的商业利益，需稳步推进，数据资产入表将经历一个过程。而在数据资产基础上的金融业务亦需注意此点，例如对于数据资产质押融资、数据信托等数据资产管理、数据资产证券化、企业并购和IPO等业务中，对于数据资产如何科学合理认定也将是挑战。
对于数据资产入表的风险与挑战，我们理解《暂行规定》除了在附则中规定暂行规定施行前已经费用化计入损益的数据资源相关支出不再调整，主要是通过加强信息披露的方式加以积极稳妥解决，创新性地采取“强制披露加自愿披露”方式，围绕各方的信息需求重点，一方面细化会计准则要求披露的信息，另一方面鼓励引导企业持续加强自愿披露，向利益相关方提供更多与发挥数据资源价值有关的信息。
首先，明确和细化根据会计准则要求应当披露的信息，如要求企业在编制资产负债表时，应当根据重要性原则并结合本企业的实际情况，在“存货”项目和“无形资产”项目下增设“其中：数据资源”项目；企业应当按照相关企业会计准则及本规定等，在会计报表附注中对数据资源相关会计信息进行披露；企业对数据资源进行评估且评估结果对企业财务报表具有重要影响的，应当披露评估依据的信息来源，评估结论成立的假设前提和限制条件，评估方法的选择，各重要参数的来源、分析、比较与测算过程等信息。
其次，规定企业可以根据实际情况，自愿披露数据资源（含未作为无形资产或存货确认的数据资源）相关信息，鼓励引导企业向利益相关方提供更多与发挥数据资源价值有关的信息，例如数据资源的应用场景或业务模式、对企业创造价值的影响方式；用于形成相关数据资源的原始数据的类型、规模、来源、权属、质量等信息；数据资源的应用情况，包括数据资源相关产品或服务等的运营应用、作价出资、流通交易、服务计费方式等情况；重大交易事项中涉及的数据资源对该交易事项的影响及风险分析；数据资源转让、许可或应用所涉及的地域限制、领域限制及法律法规限制等权利限制等。根据《暂行规定》，目前数据资产的账面价值均以成本法计量，这仍有可能无法反映企业相关数据资源的真实价值。因此，充分把握《暂行规定》赋予企业自愿披露相关信息的权利，对相关数据资产的具体情况进行真实、准确的披露，对体现企业的数据资产优势有着重要意义。
（四）将数据资源确认为“存货”时对“出售”的判断问题
目前，场内场外的数据产品交易虽名为数据交易，但是审视具体的合同，鲜见以“交易”“买卖”“出售”为合同义务履行的行为界定，而基本上均为“数据许可协议”“技术服务协议”。这种情况的出现主要是因为数据的权属以及边界不清，企业想避免出现“交易”“买卖”这些敏感词语。但是根据财政部《暂行规定》，在将数据资源记入“存货”时，条件是“日常活动中持有、最终目的用于出售”，目前的“数据许可协议”“技术服务协议”是否会被认为符合“出售”的性质，可能会影响“存货”的记账。因此未来的数据交易协议对数据交易合同中交易行为的约定提出了挑战，需要在合同设计时以数据产品交易（买卖）法律关系来界定合同供需双方的权利义务。
附：国内数据领域和数据交易相关法律法规
一、数据交易的背景与实践
（一）数据交易的政策背景沿袭
（二）“数据二十条”的主要内容
（三）数据资产入表
（四）数据交易的底层逻辑
二、数据交易概述
（一）数据交易的界定
（二）数据交易的法律支撑
（三）数据交易的监管支撑
（四）数据交易的法律性质
三、数据交易中的主要法律问题
（一）数据权属界定
（二）个人数据产品交易的合规性
四、数据交易的合规审查要点
（一）关于公司的基础背景调查
（二）关于公司的数据安全能力核查
（三）数据产品来源合法性
（四）数据产品的可交易性
（五）数据产品其他可能的利益相关方
（六）数据产品的流通风险
五、数据交易展望
（一）隐私计算与可信环境
（二）数据信托与金融意义上的数据资产管理
（三）公共数据授权运营
分报告一：生成式人工智能的数据侧合规法律研究——以《生成式人工智能服务管理暂行办法》为语境
一、生成式人工智能的界定
二、《生成式人工智能服务管理暂行办法》的适用范围
三、《生成式人工智能服务管理暂行办法》语境下的数据合规要点
四、余论：《生成式人工智能服务管理暂行办法》语境外的合规重点——AIGC的著作权问题
分报告二：数据资产入表的理解与法律思考
一、数据资产入表《暂行规定》的内涵
二、“数据二十条”与数据资产入表
三、如何理解不同语境下的“数据资源”
四、《暂行规定》对数据资源会计处理的具体要求
五、数据资产入表的难点
六、数据资产入表与数据资产衍生金融服务与产品
七、数据资产入表的合规问题
八、对企业数据资产入表准备工作的建议
附：国内数据领域和数据交易相关法律法规（截止2023年10月）
分报告一：生成式人工智能的数据侧法律合规研究
ChatGPT的腾空出世，使得生成式人工智能引发热议。作为大模型的算法，其可以广泛收集、筛选和处理各类信息，生成各种内容，给人类带来了极大的便利，但其对信息的真实性无法辨认以及其不可控性等亦带来了极大风险。为此，国家互联网信息办公室等七部门联合公布了《生成式人工智能服务管理暂行办法》（以下简称《暂行办法》），该办法已于2023年8月15日起实施，可能是全球第一个对生成式人工智能进行监管的立法。因此，有必要以《暂行办法》为语境，对生成式人工智能从法律角度进行研究分析。
一、生成式人工智能的界定
（一）人工智能的分类
人工智能（Artificial Intelligence，AI）按发展程度可分为狭义人工智能（Artificial Narrow Intelligence, ANI）、通用人工智能（Artificial General Intelligence, AGI）和超级人工智能（Artificial Super Intelligence, ASI）。其中，ANI亦被称为弱人工智能，指机器在某一领域表现出智能，如下棋、翻译、发展预测等；AGI则被称为强人工智能，指机器达到人的表现水平，能够解决跨领域的复杂问题。而超级人工智能则是指机器能够完成人的一切工作，且运行速率远超人脑。换言之，超级人工智能是远胜于人类最强大脑的人工智能。一般认为，目前人类技术尚处于狭义人工智能阶段，但以GPT4为代表的通用大模型已经接近所谓的通用人工智能。
狭义人工智能的主要技术方向可以分为决策式/分析式AI（Discriminant/Analytical AI）和生成式AI（Generative AI）两类。其中，决策式AI指学习数据中的条件概率分布，根据已有数据进行分析、判断、预测，而生成式AI是一类机器学习算法，并非只分析已有数据，而是学习数据中的联合概率分布，归纳已有数据后进行自主创造、演绎创新，一般对外输出文本、图像、语言、视频、代码等内容
目前，决策式/分析式AI在推荐系统、图像识别、内容审核、自动驾驶领域已经商用化，尤其是在图像识别领域中的人脸识别领域已经完全融入实体经济，在无人驾驶领域已经半成熟度化；生成式AI属于Web3.0的生产工具，在游戏开发、文学创作、音乐创作、药品发明、新材料合成等领域中已经有所涉及，更多涉及到了创新领域。
（二）生成式人工智能技术与深度合成技术
深度合成技术最早起源于“深度伪造”（deepfake），根据《互联网信息服务深度合成管理规定》的规定，深度合成技术，是利用深度学习、虚拟现实等生成合成类算法制作文本、图像、音频、视频、虚拟场景等网络信息的技术。
对于生成式人工智能技术，《生成式人工智能服务管理办法（征求意见稿）》（以下简称“征求意见稿”）将其界定为“是指基于算法、模型、规则生成文本、图片、声音、视频、代码等内容的技术”。《暂行办法》进一步规定，生成式人工智能技术，是指具有文本、图片、音频、视频等内容生成能力的模型及相关技术。相较于征求意见稿，《暂行办法》更加强调模型而非算法和规则，这说明监管部门对于法规规制对象的底层技术确实有所区分。
从二者概念的法律界定上看，深度合成技术是基于算法，而生成式人工智能技术则是更加强调模型。算法是指针对特定问题的一种方法，通常由程序代码实现，比如手写识别算法、排序算法等；模型则是多个算法根据一定架构组成的集合，其是指数据通过算法进行训练后得到的一个可以解决特定问题的模块，例如手写识别模型，当向模型输入一张手写图片后，其就可以输出图片中的文字。每个模型里都包含算法，算法是设计出来的，自由度低，可解释性强；模型更加复杂，是训练出来的结果。而所谓大模型，即指具有大量参数和复杂结构的机器学习模型，其可以应用于处理大规模的数据和复杂的问题。
由于上述规定对相关技术的概念界定较为模糊，一定程度上扩大了二者，特别是深度合成技术的原有范围，但从技术角度来说，二者之间虽有联系，但确有不同。二者均会涉及生成合成类算法，在底层技术的应用上有一定的相似性和交叉，但在具体的应用方向上并不相同。深度合成技术本质上是根据一定的需求，对已有的数据（图片、文字等）进行组合、拼接，其并不能从无到有的生成新内容；而生成式人工智能技术的逻辑为“理解——创作”，生成内容具有新颖性，并非对已有内容的拼接，换言之，其具有对已有数据进行演绎创新的能力。此外，生成式人工智能具有更强的可交互性、自主性与生成内容的广泛性。因此，生成式人工智能技术并不等同于深度合成技术。
综上两点，《暂行办法》所规制的生成式人工智能是不等同于深度合成的狭义人工智能。
二、《生成式人工智能服务管理暂行办法》的适用范围
《暂行办法》第2条规定对适用范围作出了规定，该款采用了一般规定和例外情形的体例。即一般而言，利用生成式人工智能技术向中华人民共和国境内公众提供生成文本、图片、音频、视频等内容的服务（以下称“生成式人工智能服务”），适用本办法。但同时又规定了两个例外情形，即国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的，从其规定。以及，行业组织、企业、教育和科研机构、公共文化机构、有关专业机构等研发、应用生成式人工智能技术，未向境内公众提供生成式人工智能服务的，不适用本办法的规定。由此，可以得出，在判断相关企业是否受《暂行办法》的规制时，应同时考虑四个要素标准，即“境内”“公众”“提供生成式人工智能技术服务”及例外情形。
（一）一般判断标准
“境内”“公众”“提供生成式人工智能技术服务”构成了适用范围的一般标准。
其一，境内。即接受服务对象在中华人民共和国境内。此外，根据《暂行办法》第20条的规定，境外服务提供者向境内公众提供生成式人工智能技术服务的，亦属于《暂行办法》的规制范围。这采取了属人加属地的原则。
其二，公众。为不特定的多数主体，并不当然仅指自然人。《最高人民法院关于审理商标民事纠纷案件适用法律若干问题的解释》第8条曾对“公众”作出解释，即“商标法所称相关公众，是指与商标所标识的某类商品或者服务有关的消费者和与前述商品或者服务的营销有密切关系的其他经营者”，该解释明确，“公众”除了自然人外，还包括法人和非法人组织。此外，《暂行办法》第22条更是进一步明确，《暂行办法》生成式人工智能服务使用者包括组织与个人。此外，提供服务的组织与个人，亦受《暂行办法》的规制。
其三，提供生成式人工智能技术服务，即提供《暂行办法》所规定的“生成式人工智能技术”，对于具体范围上文已进行界定，此处不再赘述。
（二）《暂行办法》例外情形
《暂行办法》第2条第2款是一项指引性规定，即《暂行办法》国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的，从其规定，也就是说，在其他法律法规有规定的情况下，应当适用专门规定。此外，本条第3款更是明确了《暂行办法》排除情形，即未向境内公众提供生成式人工智能服务，仅是研发、应用的，不属于本办法的调整范围。
（三）特殊情形的讨论
在实践中，存在一些特殊情形。例如：企业仅通过引入生成式人工智能技术辅助决策，以提高自身的服务能力。或者企业自身并不控制大模型，仅作为终端用户与大模型之间的“传声筒”（前述两种情形将在下文中详述）。此时，需对相关企业是否构成“生成式人工智能服务提供者”（以下简称服务提供者）进行个案判断，以明确其是否应受到《暂行办法》的规制。
1.一般性判断标准
新规第17条规定，“具有舆论属性或者社会动员能力的生成式人工智能服务”需要进行算法备案等。以ChatGPT为例，一般认为，因其只是“点对点”的向用户提供内容，故并不具有“舆论属性”，但其根据用户需求生成的内容，极有可能影响用户的思想及行为，故而应将类似的大模型认定为具有“社会动员能力”。此规定可以理解为，应当对能够影响公众思想的生成式人工智能服务加强监管，避免其生成内容对公众造成不良影响，破坏正常的社会舆论乃至运行秩序。
基于此，可以认为，新规对生成式人工智能技术的规制逻辑在于，其是否会对“公众”产生不良影响。换言之，在企业本身并无违法目的的前提下，倘若生成式人工智能生成了错误的、违反公序良俗的甚至违法的内容，“公众”是否能够接触到该内容。也即，如果企业对该内容具有修改、删减、增加等的实际控制能力，在对生成式人工智能生成内容进行实质审查后，再以直接（将生成物原封不动的发给用户）或间接（由企业工作人员概括转述等）的方式交由用户，且此过程能够在一定程度上避免用户受错误内容的影响，则不应当认定相关企业为服务提供者，自然也就不受新规的规制。
2.企业引入生成式人工智能辅助决策
在企业引入生成式人工智能用于辅助决策等以提升自身服务能力为目的的情形下，例如，企业客服部门引入生成式人工智能技术，将其生成内容作为工作人员工作中回答客户问题的辅助与参考。此时，企业工作人员在面向“公众”提供服务时，并不会直接将生成式人工智能的生成内容转交（述）给用户，该内容仅为工作人员对外提供服务的辅助与参考，真正对外提供相关服务的仍为企业工作人员本人，其对表达的内容负责。换言之，即使生成式人工智能根据用户的情况提供了错误的生成内容，企业工作人员亦会对其进行甄别，在其能力范围内避免用户接触到错误的生成内容。在这种情形下，不应认定相关企业为服务提供者，即该企业不受《暂行办法》的规制。
3.企业为生成式人工智能技术“传声筒”
具体来说，此种情形可以理解为“传声筒”，企业代用户使用生成式人工智能服务，即，企业名义上对外“提供生成式人工智能服务”，但企业实质上并不控制相关大模型，用户对企业发出使用需求后，企业以使用者身份向其可接触到的大模型发送相同的需求，在得到相关的生成内容后，企业在不对生成内容进行实质性审查的前提下，直接将此生成内容转达给用户。
此种情形下，倘若生成式人工智能生成了错误的内容，终端用户有接触到该内容的可能。根据前述的判断标准，应当将此时的“传声筒”企业认定为服务提供者，受《暂行办法》的规制。根据《暂行办法》的规定，服务提供者需要对生成式人工智能大模型的研发及运行全阶段负责。此时，认定“传声筒”企业为服务提供者，由其承担相关大模型的全阶段合规风险，并不违反《暂行办法》的精神。
三、《生成式人工智能服务管理暂行办法》语境下的数据合规要点
（一）基于违法训练数据取得的大模型及参数能否继续使用
相较于征求意见稿，《暂行办法》在很大程度上放宽了对模型开发者/服务提供者在训练大模型时使用的训练数据的要求，但亦对训练数据作出了规定。《暂行办法》第7条第1项、第4项规定，服务提供者应在训练数据处理活动中遵守“使用具有合法来源的数据和基础模型”“采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性”。
1.训练数据本身违法
因大模型的参数取决于训练数据的投入，若在开发、训练大模型时使用的训练数据本身违法，例如使用了违反法律法规、公序良俗、国家利益、人类道德的训练数据，则大模型本身就有极高的生成违法内容的可能。当然亦有一种可能是大模型需要利用含有违法内容的数据来训练模型，以实现特定大模型可以识别“坏人”。对此，应当认为，除前述特殊情形外，在利用非法数据训练大模型的情况下，无论是大模型通过训练获得的参数，还是大模型本身，均不能继续使用。
2.训练数据来源违法
对使用训练数据内容本身合法，但来源违法的训练数据进行大模型训练，获取的相关参数及大模型能否继续使用的问题，目前法律尚无明确规定。对此，基于对人工智能领域相关技术发展的促进和鼓励，不应对此“一刀切”，宜分情况进行个案判断。
（1）服务提供者以合法渠道取得了来源不合法的数据（上游数据来源不合法）
此种情形为，服务提供者/模型开发者从合法渠道向数据持有者A处以合法形式购买训练数据，用于大模型的训练，但交易的训练数据却是数据持有者A以非法方式获取的（违规爬取、非法购买等）。此时，应当认可服务提供者/模型开发者通过对上述数据投入的实质性劳动与智慧，允许其继续使用基于来源不合法的训练数据所得到的大模型及相关参数（类似于善意取得制度）。
但与此同时，服务提供者/模型开发者应当提供其已对相关训练数据来源进行合理审查的证明，否则，难以体现其对训练数据的来源审查尽到了合理的注意义务。此时，若服务提供者/模型开发者不能提供相应的证据，则不能认为其对训练数据的来源进行过合理必要的审查，则其应承担相应的侵权及其他责任；情节严重的，不应允许其继续使用基于前述训练数据训练的大模型及相关参数。
（2）服务提供者非法获取训练数据
若服务提供者/模型开发者是以非法方式或非法途径获取相关数据进行大模型的训练，其明显违反了《暂行办法》第7条“使用具有合法来源的数据和基础模型”的规定。在此情形下，服务提供者/模型开发者的主观恶意明显，不应允许其继续使用基于上述数据训练而获得的大模型及相关参数，其还可能将因其违法行为承担相应法律责任。
（二）模型开发者和服务提供者预训练数据的合规性
《暂行办法》第7条规定，“生成式人工智能服务提供者（以下称提供者）应当依法开展预训练、优化训练等训练数据处理活动，遵守以下规定：（一）使用具有合法来源的数据和基础模型；（二）涉及知识产权的，不得侵害他人依法享有的知识产权；（三）涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形；（四）采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性；（五）《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律、行政法规的其他有关规定和有关主管部门的相关监管要求”。
《暂行办法》第8条规定，“在生成式人工智能技术研发过程中进行数据标注的，提供者应当制定符合本办法要求的清晰、具体、可操作的标注规则；开展数据标注质量评估，抽样核验标注内容的准确性；对标注人员进行必要培训，提升尊法守法意识，监督指导标注人员规范开展标注工作”。
基于此，可以得出服务提供者/模型开发者在使用训练数据进行大模型的预训练时，需要重点关注以下合规风险点：
1.数据来源是否合法
目前模型开发者/服务提供者获取训练数据的方式通常包括公开采集（例如通过爬虫软件、RPA等技术手段采集）、直接采集（通过用户自主提供或通过设备采集）、间接采集（从数据提供者处以购买、数据共享等方式获得）、使用合成数据等。对此，需要重点关注模型开发者/服务提供者采集数据的行为及渠道是否合法合规。
例如，以爬虫软件等技术手段采集数据的，需要遵守与被爬取网站的协议，不得破坏、绕过其设置的反爬取技术措施等。爬取的数据应当为公开数据，不得涉及个人信息数据、重要数据、敏感数据等，不得违反《反不正当竞争法》的相关规定。以购买或数据共享方式取得训练数据的，模型开发者/服务提供者需对相关数据的来源进行合理审查，避免该数据的上游取得方式违法，以至产生合规隐患。
2.数据训练过程是否侵犯他人知识产权
大模型的训练需要大量诸如文字、图片等数据的投入，这其中不乏受到著作权保护的作品。因而，在未经相关著作权人授权的情况下，以获取的公开数据为训练数据进行大模型的训练，可能会构成对相应著作权人享有著作权的侵犯。现阶段，要求服务提供者/模型开发者在进行大模型训练前取得所有相关著作权人的授权显然不现实，赋予其过重的合规义务无疑会压缩生成式人工智能行业的发展空间，与《暂行办法》鼓励相关技术发展的精神不符。故而，如何在知识产权领域实现服务提供者/模型开发者与知识产权人之间利益的平衡，对于促进整个人工智能领域的发展，显得尤为重要。对此，理论界与实务界均未形成定论。
2023年8月初，《纽约时报》正式公布其更新的服务条款，明确表示“未经其书面许可，所有在《纽约时报》刊登或提供的照片、影像、设计及视讯短片，以及其他资料或数据等，都不得用于训练生成式人工智能，否则，将追究相应的民事或刑事责任”[1]。上述新闻主要针对的就是Open AI公司在未经《纽约时报》授权的情况下，以其享有著作权的作品进行ChatGPT训练的行为。对此，《纽约时报》表示或将起诉Open AI公司。而以美联社为代表的“赞同派”则持相反态度，其于7月与Open AI签署合作协议，同意提供过去的报道给Open AI用于数据训练。《华尔街日报》亦在考虑以收取一定费用的方式向AI开发人员提供训练内容，其将生成式人工智能视为对未来业绩的支持[2]。
对此问题，学界有观点认为，或可于《著作权法》中增加“合理使用”的情形，豁免模型开发者/服务提供者对用于大模型训练的作品取得著作权人授权的义务，明确其可以不经授权即将相关作品用于大模型的训练，或只需为此支付一定的费用[3]。
但需注意，目前我国立法尚未明确此种情形属于“合理使用”的范围，也即模型开发者/服务提供者在以他人作品作为训练数据时，原则上仍需取得相关著作权人的授权，否则将会面临较高的合规风险。
3.训练数据是否涉及个人信息
实践中，大模型的训练很少使用直接的个人信息（如单独的姓名、身份证号等），但亦存在此种可能。根据《暂行办法》第7条第3项的规定，倘若训练数据涉及个人信息的，应当取得个人同意，或符合法律、行政法规规定的其他情形。
4.是否采取有效措施提高训练数据质量
相较于征求意见稿要求的“能够保证数据的真实性、准确性、客观性、多样性”，《暂行办法》出于对生成式人工智能行业发展的鼓励，已大幅放宽了对训练数据的质量要求标准，仅进行“倡议性”要求。但对于模型开发者/服务提供者来说，提供训练数据质量仍不可忽视。对此，其应当积极采取有效措施，并对此进行记录和留痕，以便在接受监管时，能够向相关部门证明其对于提高训练数据质量已经尽到了合理的义务。
5.数据标注活动是否符合规定
《暂行办法》第8条对数据标注活动提出了明确的要求，因此，服务提供者/模型开发者在训练数据时应当制定标注规则、开展数据标注质量评估，并对标注人员进行必要的培训，否则可能存在合规风险。
（三）服务提供者储存和利用使用者输入信息的合规问题
大模型的训练并非一蹴而就，在服务提供者/模型开发者完成大模型的预训练后，大模型只是初步成型，其本身还需要在后续提供服务的过程中持续训练。可以说，使用者在接受基于大模型的生成式人工智能服务的同时，也在变相地帮助服务提供者继续训练大模型。此时，服务提供者能否直接利用使用者在使用时输入的相关信息及使用记录进行大模型的升级迭代，仍有待商榷。对此问题，《暂行办法》未作明确规定，但《暂行办法》与征求意见稿均规定了服务提供者对涉及使用者个人信息的输入信息和使用记录所应承担的义务。基于此，可以推断监管部门对上述问题的监管口径。
征求意见稿第11条规定“提供者在提供服务过程中，对用户的输入信息和使用记录承担保护义务。不得非法留存能够推断出用户身份的输入信息，不得根据用户输入信息和使用情况进行画像，不得向他人提供用户输入信息。法律法规另有规定的，从其规定”。以禁止性规定的形式对服务提供者作出要求，且没有规定除外条款，口径可谓非常严格。而《暂行办法》第11条的规定则在一定程度上放松了对服务提供者的限制，“提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录”。为禁止性条款设置了“非必要”“非法”的前提，也即承认了服务提供者在合法情况下可以对此进行一定的收集、存储和利用。
基于此，可以认为，《暂行办法》并未明确禁止服务提供者存储和利用使用者在使用过程中输入的信息及使用记录，而是认可了服务提供者利用该数据优化模型。但出于避免合规风险的考量，建议服务提供者应根据《暂行办法》第9条“与使用者签订服务协议，明确双方权利义务”的规定，在服务协议中预先、明确取得使用者的授权，以增强其收集、存储、利用相关数据的合法合规性。
此外，无论是征求意见稿还是《暂行办法》，均明确规定服务提供者具有保护使用者输入信息和使用记录的义务。意大利政府暂时禁用ChatGPT以及三星芯片机密代码泄露事件，均能体现使用者输入信息被泄露的严重性与严峻性。中国支付清算协会亦指出，生成式人工智能工具已暴露出跨境数据泄露等风险，出于对数据安全的考量，其发布《关于支付行业从业人员谨慎使用ChatGPT等工具的倡议》。因此，服务提供者应当重视其信息安全保障义务，积极采取有效措施，避免用户数据泄露。
（四）大模型关联数据出境的合规风险
《暂行办法》并未禁止境外向境内提供生成式人工智能服务，亦未禁止境内服务提供者于境外训练大模型，或在大模型中嵌套境外大模型，但这并不意味着上述作法被我国现行法律所当然认可。
在大模型部署在境外的情况下，服务提供者/模型开发者以境内数据对其进行训练，或使用者向其输入境内数据，均会导致大模型与境内数据在境外接触，即可能产生数据出境的问题，造成境内相关数据无序出境的法律风险。《数据出境安全评估办法》第4条规定，在“数据处理者向境外提供重要数据；关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；国家网信部门规定的其他需要申报数据出境安全评估的情形”四种情况下，数据处理者向境外提供数据的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。在利用大模型向公众提供服务的场景下，数据出境将变得不可控，对相关进行逐条统计并在达到一定标准时及时向相关部门申报数据出境安全评估缺乏可行性。根据《暂行办法》第20条，对来源于中华人民共和国境外向境内提供生成式人工智能服务不符合法律、行政法规和本办法规定的，国家网信部门应当通知有关机构采取技术措施和其他必要措施予以处置。也即，在利用境外大模型向境内公众提供服务的情况下，服务提供者/模型开发者会因为数据无序出境问题承担极高的法律风险。
此外，如果将利用境内数据进行训练后得到的大模型直接部署到境外，而非在境内向境外提供服务的，也会涉及数据出境的法律风险。因为在将大量数据用于大模型的训练后，相关大模型就会基于此特定数据环境而产生一定的推理能力，虽然大模型本身并不存储原始数据，但其推理、生成逻辑本身在一定程度上已经包含了离散的、概率的数据。此时，大模型出境，亦会产生数据出境的风险。
综上，为避免数据无序出境带来的风险与法律责任，服务提供者/模型开发者应尽可能在境内开发和训练大模型，即使所使用大模型源自境外的，也应尽可能地实现本地化部署。
（五）生成式人工智能通用大模型数据语料库的建立
《暂行办法》第6条第2款规定，“推动生成式人工智能基础设施和公共训练数据资源平台建设。促进算力资源协同共享，提升算力资源利用效能。推动公共数据分类分级有序开放，扩展高质量的公共训练数据资源。鼓励采用安全可信的芯片、软件、工具、算力和数据资源”。足见国家对生成式人工智能技术发展的支持，以及对通用大模型数据语料库建设的重视。
现阶段，制约国内生成式人工智能通用大模型发展的一大痛点即为可供训练的中文语料太少。据统计，全球通用的50亿大模型数据训练集里，中文语料的占比仅为1.3%，其中高质量的中文语料更少[4]。故而，构建通用大模型中文数据语料库，提高训练数据质量，扩大数据提供规模，就显得尤为重要。对此，可以根据以下思路破除当前困境：
其一，政府牵头组建大模型、大数据联盟。应充分发挥政府的作用，由政府统筹辖区内的数据资源，加速公共数据的分级分类开放，协调企业间数据共享。此外，因为政府自身控制了大量的公共数据资源，一方面可以开展高质量数据集建设，另一方面促进面向大模型的高质量语料库，亦可构建基于企业数据共享水平的公共数据开放机制，对企业数据共享水平进行评估，并将其与公共数据开放挂钩，共享水平高的企业可以在合法合理的范围内享受更便捷、优质的公共数据开放服务。
其二，增强数据持有方的数据提供意愿。各行业协会可以制定训练数据的质量与规模评价标准，形成标准操作流程和技术规范。建立语料库认证机制，并基于此构建数据定价机制，促进数据流动。需支持数据持有方对所提供数据产品的财产权益，特别是大型互联网平台合法收集持有的海量数据。此外，还可以根据数据持有方的数据提供情况，赋予其优先使用或优惠使用相关大模型的特权，以提高其数据提供意愿。
其三，构建数据提供方的安全港。此项举措意在减少数据提供方的顾虑，从而鼓励其对外提供数据。具体做法为，明确生成式人工智能大模型侵权追责机制，在数据提供方合法收集、出售或共享训练数据的前提下，以立法或政策的形式保障其不承担服务提供者/模型开发者因大模型侵权所产生的法律责任，即在一定程度上阻断数据提供方的责任。
其四，支持语料库数据产品在受监管的数据交易场所挂牌交易。以上海市数据交易所为例，其建立了完善的数据合规评估机制。对于大模型的语料供给，可以鼓励数据供给方在数交所挂牌，对语料数据产品进行评估费用以及挂牌费用上的政策支持及经济补助等。这不仅可以为数据提供方的合规问题提供一定程度上的背书，对数据需求方亦具有积极意义。目前根据公开报道，中国知网等重要数据来源方已经在上海数据交易所挂牌数据产品。
其五，增加公共数据资源的供给。随着数据垄断效应的加剧，企业若想合法获取高质量的训练数据集并非易事。公共数据是极重要的数据来源，通过公共数据开放机制和公共数据授权运营机制，建立和开发公共训练数据集，以降低企业获取具有合法来源的数据的成本，或可有效缓解这一矛盾。
其六，构建生成式人工智能领域开源社区。以Hugging Face Hub为例，其作为目前境外AIGC领域最有影响力的开源社区之一，提供超过12万个模型（Models）、2万个数据集（Datasets）和5万个演示应用程序（Spaces），所有这些都是开源、公开、免费的，这极大的降低了大模型行业的技术和成本门槛，深刻地改变了AIGC行业的发展模式。可以将该案例的成功作为借鉴和参考，由政府牵头或鼓励企业自发创建中国的开源社区，构建社区的正向反馈机制，由用户对共享的模型、数据等进行评分，高质量内容的共享者可以以此获利等，以促进AIGC领域数据的自发性流通共享。
四、余论：《生成式人工智能服务管理暂行办法》语境外的合规重点——AIGC的著作权问题
如上所述，生成式人工智能和深度合成的区别之一在于生成式人工智能的演绎创新的能力。而演绎创新能力所产生的成果归属也将成为合规的重点。
（一）AIGC的内涵与特点
AIGC全称AI Generated Content，即人工智能生成内容，例如，ChatGPT在代码中注入预训练后，其可以像人类一样学习训练，并通过人类反馈的强化学习训练，使机器逐步与人类的想法保持一致。根据大模型的训练，生成式人工智能会像一个小孩一样，学习—反馈—成长，最终产生自己独立的作品。其中其独立产生的作品就是AIGC。AIGC具有模式化、数量多和不可预估性的特征。由于生成式人工智能需要以人类提供的数据为基础，通过研究基础数据归纳规则并最终生成成果，因此，其难免会与接收的数据具有相似性。但究其本质，仍具有一定独创性。同时，由于机器处理数据的能力和效率高于人脑，因此在同样时间内，产生的作品数量亦非常多。此外，由于人类只能对人工智能喂养的数据进行预设，但人工智能自己具有获取数据的能力，因此，其作品亦有不可预估性。
（二）AIGC能否构成著作权客体
对于AIGC（AI Generated Content，系指人工智能生成内容，以下称“AIGC”）是否能构成著作权客体，并按照著作权体系进行权利分配与权属认定，目前法律并无明确规定，实务界对此问题所持观点亦不统一。
在(2019)京73民终2030号案件中，北京知识产权法院认为，“作品应由自然人创造完成，计算机软件智能生成的内容不构成作品”“对于相关生成物，计算机软件研发者（所有者）和软件使用者均不能以作者身份进行署名，应标明相关内容系软件智能生成”“计算机软件的使用者可以采用合理方式在计算机软件智能生成内容上表明其享有相关权益”[1]。
而在(2019)粤0305民初14010号案件中，南山区人民法院则认可了腾讯公司享有对案涉人工智能生成作品的著作权，“从涉案文章的外在表现形式与生成过程来分析，该文章的特定表现形式及其源于创作者个性化的选择与安排，并由Dreamwriter软件在技术上‘生成’的创作过程均满足著作权法对文字作品的保护条件，本院认定涉案文章属于我国著作权法所保护的文字作品”[2]。
对此，笔者认为，基于对生成式人工智能技术发展的鼓励，宜认可存在权利主体对符合著作权作品标准的人工智能生成物享有著作权。此外，著作权法的目的之一便在于鼓励创新，认定AIGC可以构成著作权客体，并以一定的判断标准明确其权利主体，并不违背著作权法之本意，亦符合鼓励新技术发展的社会要求。
（三）AIGC构成著作权客体的判断标准
在认可AIGC可以成为著作权客体的前提下，应明确相应的判断标准，即何种AIGC可以被认定为著作权客体。对此，可以借鉴南山区人民法院的判断标准，即：首先，AIGC是否具有独创性。应从是否独立创作及外在表现上是否与已有作品存在一定程度的差异，或具备最低程度的创造性进行分析判断；其次，应从AIGC的生成过程来分析是否体现了创作者的个性化选择、判断及技巧等因素，也即创作者在使用生成式人工智能生成相关内容时，是否投入了足够多的、足以左右生成内容、风格等的贡献。
如果能够满足以上两点，则应认为AIGC满足著作权法上对作品的认定标准，AIGC可以构成著作权客体。
以ChatGPT为例，假定其生成物已经具有了独创性，则需要判断服务提供者/使用者对其的产生是否投入了足够多的贡献。以使用者的视角，若其为相关生成物的创作投入了足够多的贡献，为此搜集大量资料，在系统内对生成内容（语言、逻辑、风格等）不断进行调整，最终创作出了具有独创性的内容，则应认定该内容符合著作权法上对作品的认定标准。在服务提供者主导、贡献下生成式人工智能生成的内容亦同。
（四）AIGC的权属判断
依上述分析，AIGC有构成著作权客体的可能性，故而在确定AIGC的权属时，应先判断其能否构成著作权中的作品。在不构成著作权中作品的情况下，涉及与AIGC有关的“持有、使用、收益”等财产性权利，宜明确服务提供者与使用者之间的利益分配。
而在构成著作权所称作品的情况下，则需先厘清谁能成为AIGC著作权的主体。根据我国《著作权法》第9条和第11条之固定，著作权人应当是公民、法人或者非法人组织。其中，法人和非法人组织系一种拟制人格，其背后依然是自然人。实际上，著作权就是围绕自然人构建的。而AIGC的创作主体是人工智能，这就产生了AIGC著作权归属的问题。从民法学角度来说，法律主体必须具有民事权利能力和民事行为能力。很明显，目前生成式人工智能还没有上述能力，也无法对相应的行为承担后果。因此，笔者认为，AIGC著作权保护主体应当是其背后的“人”[3]。
综上，本文仅从各方主体利益平衡的视角出发，拟提出AIGC权属的一般性的判断标准。
首先，在确定AIGC的权属时，应先明确服务提供者与使用者之间是否就此存在明确约定，如有，则在相关约定有效的前提下遵循双方之间的约定。
其次，在没有提前约定的情况下，应判断AIGC能否构成著作权中作品。如果能够构成作品的，则可以根据服务提供者与使用者对相关内容生成的贡献程度大小确定著作权权利主体。在双方贡献的创造性智力劳动的大小难以比较时，可以考虑将著作权归属于使用者。因为服务提供者在提供服务时往往会收取一定的费用，其在实际上已经因提供生成式人工智能服务而获利，此时，将著作权归属于使用者的话，可以在一定程度上避免服务提供者“多重获利”的情况，平衡服务提供者与使用者之间的利益关系。
再次，在AIGC不构成作品的情况下，此时不再涉及著作权归属的判断，相应的AIGC应属于使用者“使用记录”的一部分。根据《暂行办法》第11条的规定，“提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供使用者的输入信息和使用记录”。据此，可以认为，服务提供者在利用AIGC时，应当获得使用者的授权，尤其不得非法使用能够识别使用者身份的使用记录。此时，若服务提供者在未获得授权的情况下利用生成内容，则会存在较大的侵权、合规风险。
分报告二：数据资产入表的理解与法律思考
2023年8月22日，财政部《企业数据资源相关会计处理暂行规定》（财会〔2023〕11号，以下简称《暂行规定》）全文正式发布，自2024年1月1日起施行。《暂行规定》开宗明义其立法目的是为规范企业数据资源相关会计处理，强化相关会计信息披露。正如财政部答记者问中指出，制定《暂行规定》是贯彻落实党中央、国务院关于发展数字经济的决策部署的具体举措，也是以专门规定规范企业数据资源相关会计处理、发挥会计基础作用的重要一步；制定《暂行规定》将有助于进一步推动和规范数据相关企业执行会计准则，准确反映数据相关业务和经济实质。通过针对数据资源制定专门统一规定，解决实务中对数据资源能否作为会计上的资产确认、作为哪类资产“入表”的疑虑，并明确计量基础。直白地说，《暂行规定》为数据资产入表提供了操作指引。2024年将是数据资产入表的元年，在中国数字经济发展中将占有里程碑地位。
一、数据资产入表《暂行规定》的内涵
数据资产入表是指将符合标准的数据资源确认为资产负债表中的“资产”，从而能够将相关数据资源对企业的真实价值与业务贡献反应在财务报表中。具体来说，《暂行规定》规定：企业使用的数据资源，符合《企业会计准则第6号——无形资产》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为无形资产；企业日常活动中持有、最终目的用于出售的数据资源，符合《企业会计准则第1号——存货》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为存货；企业出售未确认为资产的数据资源，应当按照收入准则等规定确认相关收入。
基于与国际会计核算接轨、稳健推进等考量，《暂行规定》明确企业数据资源适用于现行企业会计准则，并没有改变现行准则下的会计确认计量方法与要求。其本质上是对现行准则的重申和细化，即，在“存货”“无形资产”“开发支出”三个科目下新增“数据资源”项目，对数据资产入表的会计账目处理方式及列示规则进行明确。
值得注意的是，《暂行规定》解决的是会计问题，即在会计核算时如何将符合条件的数据资源以资产入账。并不能当然认为《暂行规定》可以一并解决数据确权、数据流通交易及数据资产评估等问题，这些问题将在下文中详细说明，此处不再赘述。
二、“数据二十条”与数据资产入表
（一）“数据二十条”提出探索数据资产入表新模式
“数据二十条”明确，数据作为新型生产要素，对土地、劳动力、资本、技术等生产要素具有放大、叠加、倍增作用，其正在推动生产方式、生活方式和处理方式深刻变革。因此，促进数据的流通交易根本目的是为了赋能数据利用，发挥数据要素的价值。“数据二十条”在总体要求部分提出，要以维护国家数据安全、保护个人信息和商业秘密为前提，以促进数据合规高效流通使用、赋能实体经济为主线，以数据产权、流通交易、收益分配、安全治理为重点，构建数据基础制度的“四梁八柱”。
数据资产入表新模式的探索，被“数据二十条”明确规定为数据基础制度中促进数据流通利用的保障措施之一。《暂行规定》的出台标志着数据资产入表的正式落地，在全世界亦尚属首例。数据资产入表是在“数据二十条”所确定的整体数据基础制度框架下，对于构建适应数据特征、符合数字经济发展规律新制度的一次有益尝试，亦是中国深度参与国际高标准数字规则制度的重要体现。作为保障措施，《暂行规定》为企业生产、购买数据资源相关费用进行资本化奠定了制度基础，能够有效引导企业尤其是数据密集型企业加大对数据流通利用的资源投入力度，最终实现促进数据流通利用的功能。
（二）数据流通利用对数据资产入表具有重要意义
“流通交易是数据资源向数据资产转变、充分释放价值的必经之路。”北京大学光华管理学院教授翁翕认为，一方面，数据的使用价值在于对产业生产效率和市场运行效率的普遍提升。由于数据的使用价值高度依赖于规模质量、多源融合和应用场景，因此必须通过流通才能创造出更大价值。另一方面，通过流通交易可以鼓励市场主体逐步探索和完善数据定价体系，用市场化的手段合理评估和量化数据的经济贡献，有助于进一步将数据资源提升为数据资产，真正释放其内在价值[1]。
根据《暂行规定》，数据资产入表的账面价值计算适用成本法，也即准确地计算拟入表数据资源所耗费的成本是数据资产入表的前提和基础。在数据流通利用大量、稳定的情况下，对于外购所得的数据资源，其交易价格便可直接作为成本的明确依据，尤其是在数据产品场内交易的场景中，数据产品交易价格更加具有可证明性和公允性，这将为数据资产入表的相关工作提供极大的便利。通过数据产品交易尤其是场内数据产品交易，形成公允的市场价值，并通过数据交易链登记，记录数据产品、权属信息、交易记录和交付信息等，有市场价格信息、应用场景以及可持续服务的证明。这样的数据交易登记凭证，可以为数据产品的买方会计入表的基于公允价格的计量提供可靠依据之一；此外，其亦可作为数据资产估值的依据，待符合资产市场法估值的两个基本条件成立的时候就可以作为资产估值的依据，从而为资产质押、信托、企业并购和IPO等衍生的金融服务提供基础资产评估的相对可信依据。
（三）“数据二十条”构建了四个制度及其意义
1.建立保障权益、合规使用的数据产权制度，探索数据产权结构性分置制度，建立数据资源持有权、数据加工使用权、数据产品经营权“三权分置”的数据产权制度框架。三权分置的提出淡化了所有权的概念，认可三种权利的财产权益。设置三权结构性分置最主要的意图是促进数据确权的相对明确，促进数据的合规高效流通使用，不让数据权属问题成为数据要素流通使用的一个障碍，也为实现数据资产入表的确权提供了保障，从而进一步又促进了数据流通利用。
2. 建立合规高效、场内外结合的数据要素流通和交易制度，从规则、市场、生态、跨境等四个方面构建适应中国制度优势的数据要素市场体系。
3.建立体现效率、促进公平的数据要素收益分配制度，在初次分配阶段，按照“谁投入、谁贡献、谁受益”原则，推动数据要素收益向数据价值和使用价值创造者合理倾斜，在二次分配、三次分配阶段，重点关注公共利益和相对弱势群体，防止和依法规制资本在数据领域无序扩张形成市场垄断等各类风险挑战。
4.建立安全可控、弹性包容的数据要素治理制度，构建政府、企业、社会多方协同的治理模式。
三、如何理解不同语境下的“数据资源”
《暂行规定》中的“数据资源”和“数据二十条”中的“数据资源”概念不同。《暂行规定》的标题就是指“企业数据资源”，而“数据二十条”在数据资源持有权、数据加工使用权、数据产品经营权的三权分置机制中提出了“数据资源”这一概念。
对此，理论与实务界就数据要素市场建设也提出了数据资源化、资源产品化、产品资产化的企业数据资产化三部曲的路径。
例如复旦大学黄丽华教授提出，“数据资源的定义是指把不同来源的数据进行必要的加工整合和处理，在物理上按照一定的逻辑归集以后，达到一定的规模，形成可重用、可应用、可获取的数据集合。数据产品定义为包含实质性加工和创新性劳动，可满足内外部用户需要的数据内容和服务终端组成的具有可持续能力的服务。数据产品可以自用、共享、开放和对外服务或交易，尤其是通过场内数据交易市场可以为所有参与交易的供需方提供数据资产的凭证。认定数据产品可以进入数据资产凭证的有三个条件，我们称之为三步蒸馏法。第一步是数据产品的认定要有条件的；第二步需要认定成为可交易的数据产品；第三步是数据产品要入资产凭证。经过三步‘蒸馏’产生的数据资产凭证，过程可控且最终的结果价值可以计量。而且，数据资产凭证是依托于全国数据交易链上面的协议和智能合约形成的，具有不可篡改性、可透明性，将来可以为资本市场创新应用提供可靠服务[1]。”
笔者认为两种语境下的“数据资源”有所区别，《暂行规定》中的“数据资源”范围较广，既涵盖了“数据二十条”中（通常在数据要素市场建设话语体系下）狭义上的数据资源，也涵盖了数据产品乃至数据资产的概念。
四、《暂行规定》对数据资源会计处理的具体要求
（一）适用范围
《暂行规定》第一条规定，本规定适用于企业按照企业会计准则相关规定确认为无形资产或存货等资产类别的数据资源，以及企业合法拥有或控制的、预期会给企业带来经济利益的、但由于不满足企业会计准则相关资产确认条件而未确认为资产的数据资源的相关会计处理。
根据《企业会计准则——基本准则》（以下简称“基本准则”），资产是指企业过去的交易或者事项形成的、由企业拥有或者控制的、预期会给企业带来经济利益的资源。符合资产定义的资源，在同时满足与该资源有关的经济利益很可能流入企业，以及该资源的成本或者价值能够可靠地计量的条件时，确认为资产。因此，我们理解判断数据资源确认为资产的条件主要包括四个要素：（1）企业过去的交易或者事项形成的；（2）由企业拥有或者控制的；（3）预期会给企业带来经济利益；（4）成本或者价值能够可靠地计量。
引用德勤的解析，数据资源构成资产需要资产四要素满足以下条件：
其一，相关数据资源是由过去的购买、生产、建设行为或者其他交易事项形成的。也即，预期在未来发生的交易或者事项不能形成资产。
其二，相关数据资源是由企业拥有或控制的。基本准则对于“拥有或控制”解释为，企业享有某项资源所有权，或者虽然不享有所有权，但该资源能被企业所控制[1]。
其三，相关数据资源预期会给企业带来经济利益，且相关的经济利益很可能流入企业。基本准则规定，预期会给企业带来经济利益，是指直接或者间接导致现金和现金等价物流入企业的潜力。同时，基本准则规定，只有满足与该资源有关的经济利益很可能流入企业时，才符合确认资产的条件之一。
其四， 相关数据资源的成本或者价值能够可靠地计量。基本准则规定，企业应当以实际发生的交易或者事项为依据进行会计确认、计量和报告，如实反映符合确认和计量要求的各项会计要素及其他相关信息，保证会计信息真实可靠、内容完整。
对此，在法律合规的视角下，笔者更关注对“拥有或控制”这一事项的判断。不同于物权上“所有权”这一单一的确权逻辑，根据前述《企业会计准则——基本准则》的规定，企业是否拥有一项资源的所有权，并不是企业将其确认资产的唯一标准。在某些情况下，虽然某企业并不拥有某项资源的所有权，但企业实际控制了该项资源，且能够借此获取经济利益，这亦满足会计上对资产的确认标准。从形式上看，“控制”意味着企业对该资源具有实际经营管理权，能够在生产经营活动中自主利用，谋求经济利益；从实质上看，“控制”意味着企业享有与该项资源相关的经济利益，并承担相应的风险。
目前，我国尚未在法律层面明确数据确权制度，确认企业对数据资源的“所有权”并无法律依据。因此，企业“控制”数据资源就成了能否将数据资源确认为资产的重要判断标准。“数据二十条”以顶层设计的形式，创造性地提出了数据产权结构性分置制度，回避了现有法律框架下数据所有权确权难的问题，建立以数据资源持有权、数据加工使用权、数据产品经营权为核心的“三权分置”体系，对数据流通利用的规制从产权范式转变为治理范式，把现阶段难以解决的数据所有权确权问题拆分为数据持有权、加工使用权与经营权的治理问题。这在一定程度上为企业判断数据资源是否满足数据资产条件提供了参考和依据，但毕竟“数据二十条”在效力层级上系政策性文件而非法律，“三权分置”制度并不能当然作为数据权属确认的直接依据，也不能在第三方中介机构的合规评估中成为直接的法律依据。因此，在法律层面尽快确认数据权属问题具有推动数据流通利用、确定企业数据资产的重要价值。
（二）数据资源会计处理适用的准则
暂行规定明确企业应当按照企业会计准则相关规定，根据数据资源的持有目的、形成方式、业务模式，以及与数据资源有关的经济利益的预期消耗方式等，对数据资源相关交易和事项进行会计确认、计量和报告。按照会计上经济利益实现方式，细分为“企业使用的数据资源”和“企业日常活动中持有、最终目的用于出售的数据资源”两类，并规范了不满足资产确认条件下相关数据资产交易的处理方式。前者符合《企业会计准则第6号——无形资产》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为无形资产；后者符合《企业会计准则第1号——存货》（财会〔2006〕3号）规定的定义和确认条件的，应当确认为存货；企业出售未确认为资产的数据资源，应当按照收入准则等规定确认相关收入。
由此，可以看出，判断适用无形资产还是存货准则的关键，即为明确相关数据资产系“企业使用”还是“企业日常活动中持有、最终目的用于出售”。《暂行规定》在公开征求意见阶段，曾在征求意见稿中提出根据内部使用和对外交易两个维度，就数据资源应适用于无形资产还是存货准则进行区分。考虑到企业利用所持有的数据资源为客户提供服务是较为典型和常见的对外交易数据资源的应用场景，该场景属于内部使用还是对外交易存在不同解读，《暂行规定》明确了只有企业日常活动中持有、最终目的用于出售的数据资源，才适用于存货准则。换言之，对外非排他性授权使用数据资源的业务模式，或者同时存在内部使用和对外交易但并不主要依赖对外出售取得经济利益的双重使用业务模式下的数据资源，适用无形资产准则进行会计核算较为合理。因为实践中“买断”数据资源的场景极为罕见，因此未来数据资产入表过程中主要的形式应为无形资产方式。
（三）《暂行规定》不溯及既往
《暂行规定》在附则中明确指出，在《暂行规定》施行前已经费用化计入损益的数据资源相关支出不再调整。上述规定源于现有无形资产准则的规定，即内部开发形成的无形资产的成本仅包括在满足资本化条件的时点至无形资产达到预定用途前发生的支出总和，对于同一项无形资产在开发过程中达到资本化条件之前已经费用化计入损益的支出不再进行调整。因此，即使某项数据资源在暂行规定的首次施行日满足无形资产的确认条件，企业也不应在首次施行日将以前期间已经费用化的数据资源重新资本化。这一点决定《暂行规定》正式生效后不太可能马上出现大量数据资产入表的情况，一定程度上体现了国家对于数据资产入表探索相对谨慎的态度。
五、数据资产入表的难点
数据资产入表首先面临数据资源具体的应用场景问题。结合应用场景，明确具体产品对应的数据资产。在根据具体场景确定了拟入表的数据资源后，将会面临相关数据资源权属证明、资产定价定量以及后续流通利用过程中公允价值评估的问题。
（一）数据资产入表之前的数据资源的确权问题
1.法律上数据确权制度缺失
传统所有权体系的核心系支配和排他，即借助占有或登记等形式，使特定客体与所有权人之间的支配关系形成清晰的权利边界和外观，赋予所有者得以自由支配、处分特定客体的权利。有体物天然便具有支配和排他属性，所有权的确认上并无争议。对于知识产权这种无形财产，其确权本质为通过客体界定和注册登记建立权利外观体系，以人为制定创新成果保护治理规则的形式，在无形财产上建立支配和排他体系。因而，虽然无形财产“无体”，并非天然具有支配和排他属性，但以知识产权为代表的无形财产权属确认制度在本质上仍然符合传统所有权体系的基本理念和判断标准。
然而，数据天然具有可复制性与非排他性，使其不能适用有体物的确权规则。对于数据能否适用现有的知识产权的确权模式，目前学界亦持否定态度。高富平教授认为，在数据领域，“社会中的每个社会主体均扮演三个角色：数据来源者、数据生产者和数据使用者。首先，每个主体都需要通过数据来彰显自己在社会的独立存在，同时在社会活动中生成或留下大量的数据，成为数据来源者；其次，为了开展各项社会活动，每个社会主体均需要获取他人生成数据，认知客观世界或交往对象；最后，每个社会主体在使用数据，认知世界的过程中会对数据进行处理加工，形成可用的数据，成为数据生产者。每个主体的三重角色是相互冲突的，作为使用者希望自由获取来源者的和生产者处理后的数据，数据来源者则不希望他人获取数据，而生产者一方面希望从来源者或生产者获得数据，另一方面则希望独享其处理后的数据。显然，赋予任何主体以排他支配权，只会加剧各角色之间的冲突，听任数据使用者随意爬取他人数据，又会使数据使用陷入无序状态[1]。”基于此，不宜将数据简单的套用在传统所有权体系下，否则非但不能起到保障数据主体相关权利的作用，反而会阻碍数据的流通利用。
此外，《中华人民共和国立法法》第8条规定，包括民事基本制度在内的十一种事项只能由法律规定，数据权属确认制度毫无疑问的属于民事基本制度，应当由且仅由法律作出规定。《民法典》第127条规定，“法律对数据、网络虚拟财产的保护有规定的，依照其规定”。但目前，在法律层面并无对数据权属确认的明确规定，这就造成了数据确权制度的法律缺失。
2.会计操作中的“数据确权”
企业将自身持有的资源确认为资产的前提为该资源为企业“所有”，数据资源亦不例外，因此对企业来说，数据资源的“确权”问题无法回避。即使在入表后的资产再利用环节的数据资产评估环节，都离不开对数据权属的明确。值得注意的是，会计操作中的“数据确权”并非前述法律意义上的权属确认，而是企业对“拥有或控制”数据资源的一种证明，即企业能够合法的持有相关数据资源，并将其应用于企业的生产经营活动中，为企业带来利益流入。
如前文所述，根据基本准则，资产的判断标准之一即为企业“拥有或控制”。由于目前没有明确的数据权属法律制度，数据“所有权”并不存在，现阶段企业只能通过证明对相关数据资源实现了控制来实现数据资产入表的操作合法合规。现行法律并未强制要求企业在数据资产入表时以权利登记证书或第三方评估等要式方式证明数据资产的归属，企业可通过自我评估的形式自行判断是否对数据资源享有权利。实践中，企业进行“数据确权”的方式多种多样，目前主要有以下几种：
其一，企业通过协议的形式获取数据主体的明确授权，在授权范围内对数据资源进行加工利用，此时，相应的合同可以用来证明数据来源及权利边界。此种方式对企业来说便捷、高效，但亦存在弊端。首先，这需要企业具有完善的数据合规体系和各部门之间的统筹运营能力，对企业的经营能力要求较高；其次，在数据资产入表后的后续利用中，此种证明方式的证明力不足，极有可能不为交易向对方或第三人所认可，增加企业的交易成本。
其二，企业在数据资产入表前，聘请第三方服务机构对拟入表的相关数据资源进行合规评估。虽然这在本质上也仅为一种增信手段，但相对于企业自证的方式，证明力和说服力更强，更利于企业后续对相关数据资产的利用。
其三，通过目前各地试点的数据产权登记、数据知识产权（产权）登记，抑或以数交所为代表的场内数据产品挂牌交易，来进行相关数据资源的权属证明。以上海数据交易所为例，其建立以区块链技术为底座、以数据交易链为核心的基础设施，通过高效、可信赖的方式实现数据产品登记、交易登记、交付、清算等的真实性和可验证，可以生成可信的数据资产交易登记凭证，为数据资产来源和权属明晰提供了基础设施保障。在未来，全国还将形成统一的数据资产登记管理制度和登记体系。但是需注意，目前各地出台的数据产权登记、数据知识产权登记、数据产品交易登记，很多未要求以强制第三方合规评估为主要形式得到实质性核查，而仅仅是形式审查所登记的数据资产，笔者认为，在此种情况下的数据资产登记凭证无法达到有较强权属效力的数据资产权属证明效果。
（二）数据资产入账的计量问题
会计准则为我们提供了明确的指引，即只能基于历史成本对数据资产的账面价值进行计量，这就需要依据相关的历史投入以及相应的原始凭证来证明这些金额的存在和真实发生。在符合其他入表条件的前提下，一旦形成数据资源的历史成本可以被计量，就可以进行初始确认，并作为一个数据市场资产纳入会计账务处理，最终将其体现在资产负债表中。但是如何准确地确定数据资产形成的相应成本，在财务上面临较大的挑战。
（三）数据资产评估问题
1.数据资产评估与数据资产入表的关系
一般情况下，数据资产入表与数据资产评估并无直接关系。数据资产入表是客观的会计核算过程，满足资产确认条件的数据资产即可根据《暂行规定》的要求，以历史成本法进行列报与披露。而数据资产评估一般是对评估基准日出于特定目的下的数据资产的公允价值进行评定和估算，这种特定目的往往是数据资产入表后续计量中的减值测试、数据资产交易或数据资产管理等。
数据资产评估虽是发掘数据资产市场价值的方法，有助于提高企业数据资产管理能力和效率，但其本身并非数据资产入表的前置程序。事实恰恰相反，数据资产评估一般发生在数据资产入表之后。根据《暂行规定》，数据资产账面价值的确定采用成本法，即符合确认标准条件下企业对相关数据资源投入的全部实际成本，并不需要通过评估来确认相关数据资产的公允价值。只有在特殊目的下，例如并购、以数据资产出资等情形，数据资产评估才是必须，以形成数据资产的交易对价。此时，根据评估结果确定的交易价格，可以作为交易对手方数据资产入表账面价值的确定依据。对于数据交易供方来说，已入表的数据资产账面价值不能根据后续的交易价格再作调整。
需要注意，数据资产评估并非只能发生在数据资产入表后。日常经营中，企业出于对持有的、尚未确认为资产的数据资源进行管理、盘点的目的，当然可以聘请评估机构对相关数据资源的价值进行评估。但由于此时数据资源尚未被正式确认为资产，故企业不宜直接以评估结果为依据将相关数据资源用于信托、投资、增信贷款等金融手段。
2.数据资产评估的应用场景
从资产负债表的角度来看，《暂行规定》将增加一部分资产，从而优化资产和负债的结构。对于企业报表来说，这主要产生两个影响：第一，企业的盈利能力将得到优化；第二，企业的资产负债率也将得到优化。因此，企业的整个财务报表将更真实、更有优势地反映其经营和财务状况。
但是数据资产除在财务报表中的应用之外，也可以作为非货币资产，用于对外出资或合资，还可以用于对现有公司进行增资等行为。这相当于将非货币资产货币化使用。此外，数据资产也可以进行市场化交易，或者被用于质押融资、以数据资产出资入股等操作。例如，近日，青岛华通智能科技研究院有限公司、青岛北岸控股集团有限责任公司、翼方健数（山东）信息科技有限公司进行全国首例数据资产作价入股签约仪式。该数据资产作价入股路径分为登记、评价、评估和入股四个环节，每个环节依据相关标准和指导文件予以实施：一是对经由合规审查通过后的数据资产进行登记；二是在《数据资产价值与收益分配评价模型》标准的指导下，通过建立评价模型来评价数据资产的质量；三是对数据资产的价值进行评估；四是在三方合力下推动数据资产作价入股，华通智研院、北岸数科和翼方健数三方成立合资公司。
上述路径涉及对数据资产的估值。在数据资产入账后，相当于企业所拥有的数据资产已经被分项整理和打包，这将为未来的其他运作提供便利。例如，如果将来要使用数据资产进行融资、质押融资、交易或对外出资，已经入账的数据资产可以直接被利用，对其进行一次数据资产的估值。2022年，中国资产评估协会印发《专家指引第9号数据资产评估》，其第二条规定，本专家指引所指数据资产是由特定主体合法拥有或者控制，能持续发挥作用并且能带来直接或者间接经济利益的数据资源。第三条规定，本专家指引所指数据资产评估，是资产评估机构及其资产评估专业人员遵守法律、行政法规和资产评估准则，接受委托对评估基准日特定目的下的数据资产价值进行评定和估算，并出具资产评估报告的专业服务行为。在《暂行规定》出台后，中国资产评估协会也于2023年9月8日发布了《数据资产评估指导意见》，明确了数据资产评估的规则。
六、数据资产入表与数据资产衍生金融服务与产品
首先，数据资产管理概念的使用可以分为多个维度：
一是IT和信息意义上的“数据资产管理”，主要是指“数据资产”的管理，很多企业都产生大量的数据，形成“数据资产”，需要对数据资产进行管理和利用，此处的数据资产本质上是指企业的数据资源。目前通常讲到的数据资产管理，多数是指这种情况，其计量单位是“G”“T”等。
二是经济学意义上的“数据资产管理”，其使用较为泛化，不一定符合入表的要求。
三是会计意义上的“数据资产管理”，较为狭义，特指符合“入表”要求的数据资产管理。
四是金融意义上的“数据资产管理”，这是指金融领域的资产管理业务，主要是指将资金作为委托资产，委托给有资格的管理人管理该财产，法律性质上适用信托法原理，数据资产管理的特点在于委托的资产不是现金，而是“数据财产”。
在金融意义上的“数据资产管理”情况下，数据财产之所以能够被委托作为资产受托管理的对象，前提是数据资源能够成为会计意义上的资产，数据资源的财产权益需经资产评估认可。
目前如将数据财产作为金融意义资产管理业务的委托财产，主要是在信托公司的业务牌照下。但是如果从数据财产作为资产管理业务投资标的的角度，只要能够投资非标类的资管业务产品，在相应牌照的金融监管部门的认可下均可将数据资源资产纳入投资标的范围，例如私募股权基金、证券公司私募资管业务、资金信托等。虽然目前这些资管产品的投资范围尚不包括数据资产，但是在数字经济已经到来特别是《暂行规定》已经将数据资产入表的背景下，金融监管部门的认可应可期。《暂行规定》其从会计准则上确认了符合条件的数据资源的资产性质，虽然本身没有金融属性，但是对未来金融属性的数据资产管理有基础价值锚定的重大意义。
其次，金融意义上的数据资产管理乃至数据资产的其他衍生金融服务的资产基础更加夯实。一是按照《暂行规定》进行会计处理，拥有丰富数据资源的企业将直接受益于数据资产入表，数据资产管理的委托方以及可以作为基础资产的数据资产或将大大增加。二是企业数据资源财产自身的定价在《暂行规定》明确数据资产入表要求后，我们理解有助于确定更为市场所认可的定价。例如一些正在探索中的数据信托项目，也存在委托的数据资产价值确定的问题，如果按照《暂行规定》的要求，有助于形成合理定价。三是对于企业将数据资源加工成数据产品在场内或场外交易的，《暂行规定》对于数据产品的交易定价和交易后依据数据产品交易登记凭证入表都具有重要意义。
截至目前，实践中市场上已经进行了多次金融意义下数据资产管理的探索，包括数据信托、数据资产质押融资贷款、无质押数据资产增信贷款、发行包含数据知识产权的证券化产品、数据资产作价入股签约等。目前这些探索还仅具有试点性质，尚未形成普遍模式，而且在金融机构的真实认可度上有待检验。但是在《暂行规定》正式生效后，在数据资产入表逐渐成熟后以数据资产作为基础资产的金融衍生服务和产品必将成为常规业务。
七、数据资产入表的合规问题
总体来说，企业数据合规主要可以分为数据来源合规、数据处理合规、数据管理合规以及数据经营合规，具体到数据资产入表阶段，最应当关注的是数据来源合规与数据处理合规两部分。对于数据管理合规与数据经营合规，二者亦是企业数据合规体系的重要组成部分，但二者的缺失并不会当然的影响相关的数据资源被确认为资产。例如，倘若企业没有履行法律规定的数据安全保障义务，以至于企业所持有的相关数据面临极大的泄露隐患，这种情形下企业确实违反了数据合规的有关规定，其行为会被监管部门进行处罚，但并不会因此丧失对相关数据所享有的财产性权利。此时，若不存在其他特殊因素，仍应认为企业可以将相关数据资源确认为资产并计入资产负债表。
（一）数据来源合规
目前，企业获取数据的方式主要有以下几种：自行生产、公开收集、直接收集、间接获取等，需要根据不同的收集方式及应用场景，具体认定相关数据来源的合法合规性。
1.自行生产
企业自行生产的数据，即企业在日常经营、科研、生产等活动中产生并收集的数据，如APP的日常活跃量数据、企业生产线上的测试数据等。在此种情形下，由于企业获取数据的过程中不涉及外部收集，故对相关数据的来源合规性进行审查时，可以相对弱化对数据收集手段的审查。但应注意，企业应在数据的产生和收集阶段按照法律规定做好数据分类分级，并对不同种类、不同等级的数据采取不同的存储措施，实施重要数据加密存储、灾容备份和存储介质安全管理等措施。
2.公开收集
公开收集系指企业通过爬虫、RPA等技术手段，采集已公开的信息。此种情形下，在审查数据来源合规性时，应重点审查以下方面：
（1）数据采集不得危害国家安全、公共利益。例如，企业不得采集受监管的数据，包括重要数据、核心数据、国家秘密、情报信息等；企业在采集数据时不得侵入国家事务、国防建设、尖端科学技术领域计算机系统；企业不得非法侵入其他特定组织的计算机系统；企业不得在未经授权的情况下侵入国家关键信息基础设施采集数据。
（2）数据采集方式需合法、正当。例如，在使用爬虫采集公开信息时，企业不能违反目标网站的Robots协议或突破其设置的反爬取措施爬取数据；企业的数据抓取行为不得干扰目标网站的正常运行；若拟采集的公开数据涉及其他企业商业秘密的，需尊重信息主体的意愿，获得企业的授权同意。
（3）数据采集不得损害个人的合法权益，收集和处理个人应具备合法性基础。
（4）数据采集的目的应合法正当，不得侵犯他人知识产权、不得涉及不正当竞争。
3.直接采集
直接采集系企业通过用户自主提供或通过自由设备收集的数据。
（1）通过用户自主提供数据的，用户对数据的授权应当完整。例如以APP、小程序、信息表单等方式收集用户收据的，需要在隐私协议或告知说明中明确收集数据的种类、处理方式及目的等，并获取用户的明示同意。以此种方式采集数据的，应重点关注以下内容：
采集的数据涉及个人信息的，需满足个人信息采集的合法性基础；采集的数据涉及未满十四周岁未成年人的，需取得其监护人的自愿、明确同意；采集的个人信息数据敏感个人信息的，需取得单独同意；采集的数据涉及企业商业秘密的，应取得企业的明示授权同意。
（2）通过自有设备采集数据的，应重点关注以下内容：
通过委托/租用/购买的第三方设备或自有设备采集数据的，均应确保设备的安全性及数据安全保护能力；收集特殊领域数据的，需具备相关资质，例如收集道路信息的，可能需要具有测绘资质；收集的信息涉及个人信息的，应对个人信息进行匿名化处理，或具备其他个人信息采集的合法性基础。
4.间接获取
间接获取系指通过协议、共享等方式获取相关数据，从交易渠道上看，可以分为场内交易和场外交易。场内交易即在各地数据交易所内进行交易，目前，大部分数交所均要求数据产品提供方对数据产品进行合规性评估。以上海数据交易所为例，数据产品需通过第三方专业机构的实质审核及数交所的形式审查后方能挂牌交易。场外交易的情况下，目前除征信行业等特殊监管行业外，并无强制审查拟交易数据的要求，但对于数据需方来说，若拟将购入的数据确认为数据资产，应确保其对相关数据的权利不存在瑕疵。
无论场内交易还是场外交易，若数据需方拟将购入数据产品确认为数据资产，均应重点关注以下内容：数据供方的数据来源是否合法、其处理与交易相关数据是否具有相关授权；数据本身能否进行交易，如核心数据、国家秘密、情报信息、个人生物识别信息原则上不允许交易；涉及重要数据的，数据供方是否取得相关部门的同意或许可，例如，全国范围内二十年以上的气象数据具有一定的敏感性，原则上企业只能从国家气象局获得该数据；特殊需求场景下数据供方是否具有相关资质，例如，金融机构获取个人信用信息用于征信业务的，数据供方需为持牌征信机构。
（二）数据处理合规
企业处理数据的一般性合规要求为：合法[1]、正当[2]、必要[3]、保障数据主体权利[4]。具体来讲，应包含以下内容：
（1）企业处理数据的范围应当合理，处理目的应当合法、正当。企业进行数据处理的范围应为协议约定范围，或其公示的使用规则中所承诺的数据处理范围；企业不得将收集的数据用于非法目的，不得使用非法手段或以非法形式使用数据。
（2）企业处理的数据涉及个人信息、重要数据、核心数据的，应符相关规定。企业在处理重要数据、核心数据时，相关数据应存储在境内，非经批准不得向境外提供；企业处理涉及个人信息的数据时，应满足《个人信息保护法》第十三条[5]所规定的合法性基础。
（3）企业处理数据应履行《网络安全法》《数据安全法》及相关法律法规项下对于企业的整体义务。例如，企业在数据处理的过程中应采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性；企业应建立健全全流程数据安全管理制度，制定内部安全管理制度和操作规程确定网络安全负责人，落实网络安全保护责任；建立用户信息保护制度、网络信息安全投诉、举报制度；组织开展数据安全教育培训。
（4）企业应对数据采取加密、访问控制及风险处置措施，遵循线下法律法规对于数据安全处理的要求。
八、对企业数据资产入表准备工作的建议
（一）数据权属的明确
如前所述，数据确权问题根本上无法回避。企业在根据《暂行规定》历史成本法将数据资源记入资产负债表时，并无法定要求其需明确其为何种数据权属，只要企业合法拥有，确信是合理合法使用即可入账。但是在入表后其财务报告能否被审计机构认可，以及在数据资产后续的金融应用时能否被资产评估机构和金融机构认可，必然会遇到“合法拥有或控制”的确认问题，不可避免要遇到数据权属问题。在目前“数据二十条”初步形成三权分置的思路下，如何判断和确认是否形成三权中某一种权利，权利是否有瑕疵，实践中将是非常谨慎复杂的问题。
确权的过程中除了权利性质的判断，还涉及企业数据的来源合规、企业数据治理的合规。尤其是数据来源的合规非常重要，数据来源的各种渠道均需进行评估分析，穿透审查数据来源并留存相关审查记录，需要求数据提供者提供相应合规证明、出具承诺或以通过合同方式尽可能约定相关权利，确保数据来源合法可追溯。因此，未来企业在将数据资产入表时，有必要自行或委托第三方对数据资源开展法律尽调。
（二）数据处理可记录、数据资产可计量
根据《暂行规定》，拟入表的数据资产需要能够准确计量其历史成本。这就要求企业在将数据资源确认为资产计入资产负债表时，尤其是对于企业自行开发的数据资源确认为资产时，企业需要明确形成该资产所投入的成本。此时，企业自身需具有能够在技术上记录与该资产形成有关的全部投入的能力，以证明投入成本的合理性，以及拟入表资产确系企业通过明确的处理行为所获得。
（三）信息披露问题
《暂行规定》后，数据资产入表作为影响极深的新事物，涉及巨大的商业利益，需稳步推进，数据资产入表将经历一个过程。而在数据资产基础上的金融业务亦需注意此点，例如对于数据资产质押融资、数据信托等数据资产管理、数据资产证券化、企业并购和IPO等业务中，对于数据资产如何科学合理认定也将是挑战。
对于数据资产入表的风险与挑战，我们理解《暂行规定》除了在附则中规定暂行规定施行前已经费用化计入损益的数据资源相关支出不再调整，主要是通过加强信息披露的方式加以积极稳妥解决，创新性地采取“强制披露加自愿披露”方式，围绕各方的信息需求重点，一方面细化会计准则要求披露的信息，另一方面鼓励引导企业持续加强自愿披露，向利益相关方提供更多与发挥数据资源价值有关的信息。
首先，明确和细化根据会计准则要求应当披露的信息，如要求企业在编制资产负债表时，应当根据重要性原则并结合本企业的实际情况，在“存货”项目和“无形资产”项目下增设“其中：数据资源”项目；企业应当按照相关企业会计准则及本规定等，在会计报表附注中对数据资源相关会计信息进行披露；企业对数据资源进行评估且评估结果对企业财务报表具有重要影响的，应当披露评估依据的信息来源，评估结论成立的假设前提和限制条件，评估方法的选择，各重要参数的来源、分析、比较与测算过程等信息。
其次，规定企业可以根据实际情况，自愿披露数据资源（含未作为无形资产或存货确认的数据资源）相关信息，鼓励引导企业向利益相关方提供更多与发挥数据资源价值有关的信息，例如数据资源的应用场景或业务模式、对企业创造价值的影响方式；用于形成相关数据资源的原始数据的类型、规模、来源、权属、质量等信息；数据资源的应用情况，包括数据资源相关产品或服务等的运营应用、作价出资、流通交易、服务计费方式等情况；重大交易事项中涉及的数据资源对该交易事项的影响及风险分析；数据资源转让、许可或应用所涉及的地域限制、领域限制及法律法规限制等权利限制等。根据《暂行规定》，目前数据资产的账面价值均以成本法计量，这仍有可能无法反映企业相关数据资源的真实价值。因此，充分把握《暂行规定》赋予企业自愿披露相关信息的权利，对相关数据资产的具体情况进行真实、准确的披露，对体现企业的数据资产优势有着重要意义。
（四）将数据资源确认为“存货”时对“出售”的判断问题
目前，场内场外的数据产品交易虽名为数据交易，但是审视具体的合同，鲜见以“交易”“买卖”“出售”为合同义务履行的行为界定，而基本上均为“数据许可协议”“技术服务协议”。这种情况的出现主要是因为数据的权属以及边界不清，企业想避免出现“交易”“买卖”这些敏感词语。但是根据财政部《暂行规定》，在将数据资源记入“存货”时，条件是“日常活动中持有、最终目的用于出售”，目前的“数据许可协议”“技术服务协议”是否会被认为符合“出售”的性质，可能会影响“存货”的记账。因此未来的数据交易协议对数据交易合同中交易行为的约定提出了挑战，需要在合同设计时以数据产品交易（买卖）法律关系来界定合同供需双方的权利义务。
附：国内数据领域和数据交易相关法律法规
效力级别 | 规范名称 |
总体布局 | 关于构建数据基础制度更好发挥数据要素作用的意见 |
法律 | 中华人民共和国民法典 |
中华人民共和国刑法（2020修正） | |
中华人民共和国网络安全法 | |
中华人民共和国电子商务法 | |
中华人民共和国数据安全法 | |
中华人民共和国消费者权益保护法 | |
全国人民代表大会常务委员会关于加强网络信息保护的决定 | |
中华人民共和国电子签名法（2019修正） | |
中华人民共和国密码法 | |
中华人民共和国未成年人保护法 | |
中华人民共和国反垄断法（2022修订） | |
中华人民共和国行政处罚法（2021修订） | |
中华人民共和国基本医疗卫生与健康促进法 | |
中华人民共和国国家情报法（2018年修订） | |
中华人民共和国广告法（2021修正） | |
中华人民共和国测绘法（2017修订） | |
中华人民共和国反间谍法（2023修订） | |
中华人民共和国反电信网络诈骗法 | |
中华人民共和国个人信息保护法 | |
行政法规 | 关键信息基础设施安全保护条例 |
互联网信息服务管理办法（2011年） | |
证券公司监督管理条例（修订草案征求意见稿）（2023年） | |
证券公司风险处置条例 | |
信息网络传播权保护条例 | |
中华人民共和国计算机信息网络国际联网管理暂行规定 | |
计算机信息网络国际联网安全保护管理办法 | |
征信业管理条例 | |
部门规章及规范性文件 | 信息安全技术公共及商用服务信息系统个人信息保护指南 |
企业数据资源相关会计处理暂行规定（2024年实施） | |
规范和促进数据跨境流动规定（征求意见稿）（2023年） | |
互联网广告管理办法（2023年） | |
银行保险机构消费者权益保护管理办法（2023年） | |
数据出境安全评估办法 | |
网信部门行政执法程序规定（2023年） | |
个人信息出境标准合同办法（2023年） | |
寄递服务用户个人信息安全管理规定（2023年） | |
银行保险监管统计管理办法（2023年） | |
网络安全审查办法 | |
部门规章及规范性文件 | 医疗卫生机构网络安全管理办法 |
个人信息保护认证实施规则 | |
网络安全标准实践指南——个人信息跨境处理活动安全认证规范 | |
网络安全标准实践指南—个人信息跨境处理活动安全认证规范V2.0 | |
证券期货业网络和信息安全管理办法 | |
证券基金经营机构信息技术管理办法（2021修订） | |
个人信息出境标准合同办法（2023年） | |
互联网信息服务算法推荐管理规定 | |
证券期货业网络和信息安全管理办法（2023年） | |
互联网信息服务深度合成管理规定（2023年） | |
关于开展境内金融信息服务报备工作的通知 | |
数据安全管理认证实施规则 | |
个人信息保护认证实施规则（2023年） | |
生成式人工智能服务管理暂行办法（2023年） | |
征信业务管理办法 | |
网络信息内容生态治理规定 | |
金融基础设施监督管理办法（征求意见稿） | |
移动互联网应用程序信息服务管理规定 | |
互联网用户账号信息管理规定 | |
数据出境安全评估申报指南（第一版） | |
化妆品网络经营监督管理办法（2023年） | |
互联网跟帖评论服务管理规定 | |
网络产品安全漏洞收集平台备案管理办法 | |
未成年人网络保护条例（2024年实施） | |
移动互联网应用程序信息服务管理规定 | |
中共中央 国务院关于构建更加完善的要素市场化配置体制机制的意见 | |
国家发展改革委办公厅 银保监会办公厅关于加强信用信息共享应用推进融资信用服务平台网络建设的通知 | |
个人信息和重要数据出境安全评估办法（征求意见稿） | |
网络交易监督管理办法 | |
网络数据安全管理条例（征求意见稿） | |
互联网宗教信息服务管理办法 | |
国家发展改革委等部门关于推动平台经济规范健康持续发展的若干意见 | |
电信和互联网用户个人信息保护规定 | |
互联网个人信息安全保护指南 | |
互联网个人信息安全保护指引（征求意见稿） | |
科学数据管理办法 | |
银行业金融机构数据治理指引 | |
信息安全技术网络安全等级保护实施指南 | |
部门规章及规范性文件 | 儿童个人信息网络保护规定 |
个人金融信息保护技术规范 | |
中国人民银行金融消费者权益保护实施办法 | |
信息安全技术个人信息安全规范 | |
中国人民银行金融消费者权益保护实施办法 | |
常见类型移动互联网应用程序必要个人信息范围规定 | |
信息技术 安全技术 生物特征识别信息的保护要求（征求意见稿） | |
通信网络安全防护管理办法 | |
信息安全技术 个人信息告知同意指南（征求意见稿） | |
网络安全标准实践指南-移动互联网应用程序（App）收集使用个人信息自评估指南（2020年） | |
数据安全管理办法（征求意见稿） | |
证券期货业网络安全管理办法（征求意见稿） | |
信息安全技术 个人信息去标识化效果分级评估规范（征求意见稿） | |
工业和信息化部关于加强车联网卡实名登记管理的通知 | |
证券期货业信息安全保障管理办法 | |
工业和信息化部关于工业大数据发展的指导意见 | |
证券期货业网络安全事件报告与调查处理办法（2021年） | |
关于防范金融直播营销有关风险的提示 | |
关于进一步规范金融营销宣传行为的通知 | |
金融信息服务管理规定 | |
证券期货业信息系统安全等级保护测评要求（试行） | |
证券公司信息技术管理规范 | |
证券公司租用第三方网络平台开展证券业务活动管理规定（试行）（征求意见稿）（2020年） | |
金融产品网络营销管理办法（征求意见稿）（2021年） | |
证券公司交易信息系统外部接入管理暂行规定（征求意见稿）（2019年） | |
关于进一步规范移动智能终端应用软件预置行为的通告 | |
工业和信息化领域数据安全管理办法（试行） | |
电力行业网络安全管理办法 | |
电力行业网络安全等级保护管理办法 | |
信息安全技术 网络数据分类分级要求（征求意见稿） | |
互联网弹窗信息推送服务管理规定 | |
移动互联网应用程序个人信息保护管理暂行规定（征求意见稿） | |
工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知 | |
中央网信办、工业和信息化部、公安部、市场监管总局关于开展APP违法违规收集使用个人信息专项治理的公告 | |
APP违法违规收集使用个人信息行为认定方法 | |
部门规章及规范性文件 | 中小企业数字化赋能专项行动方案 |
工业和信息化部、国家互联网信息办公室、公安部关于印发网络产品安全漏洞管理规定的通知 | |
工业和信息化部办公厅关于做好疫情防控期间信息通信行业网络安全保障工作的通知 | |
工业和信息化部办公厅关于印发车联网网络安全和数据安全标准体系建设指南的通知 | |
工业和信息化部关于开展APP侵害用户权益专项整治工作的通知 | |
加强工业互联网安全工作的指导意见 | |
电信和互联网行业提升网络数据安全保护能力专项行动方案 | |
工业和信息化部关于开展互联网信息服务备案用户真实身份信息电子化核验试点工作的通知 | |
公共互联网网络安全突发事件应急预案 | |
公共互联网网络安全威胁监测与处置办法 | |
工业控制系统信息安全防护能力评估工作管理办法 | |
工业控制系统信息安全事件应急管理工作指南 | |
金融消费者权益保护实施办法 | |
工业和信息化部关于规范电信服务协议有关事项的通知 | |
工业和信息化部关于进一步防范和打击通讯信息诈骗工作的实施意见 | |
互联网信息安全管理系统使用及运行维护管理办法（试行） | |
工业和信息化部关于加强电信和互联网行业网络安全工作的指导意见 | |
工业和信息化部关于加强互联网域名系统安全保障工作的通知 | |
通信网络安全防护管理办法 | |
关于加强互联网信息服务算法综合治理的指导意见 | |
汽车数据安全管理若干规定（试行） | |
网络安全审查办法 | |
网络信息内容生态治理规定 | |
区块链信息服务管理规定 | |
互联网新闻信息服务管理规定 | |
网络音视频信息服务管理规定 | |
云计算服务安全评估办法 | |
具有舆论属性或社会动员能力的互联网信息服务安全评估规定 | |
互联网新闻信息服务单位内容管理从业人员管理办法 | |
互联网群组信息服务管理规定 | |
关于加强网络直播规范管理工作的指导意见 | |
关于加强国家网络安全标准化工作的若干意见 | |
关于加强党政机关网站安全管理的通知 | |
互联网信息服务算法推荐管理规定 | |
直播电子商务平台管理与服务规范（征求意见稿） | |
个人信息和重要数据出境安全评估办法（征求意见稿） | |
部门规章及规范性文件 | 公共安全行业标准（年度） |
贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见 | |
公安机关互联网安全监督检查规定 | |
检察机关办理侵犯公民个人信息案件指引 | |
网络安全等级保护测评机构管理办法 | |
工业领域重要数据和核心数据识别规则（草案） | |
数据资产评估指导意见（2023年） | |
网络安全等级保护条例（征求意见稿） | |
地方性法规 与 地方政府规章 | 重庆市政务数据资源管理暂行办法 |
重庆市数据条例 | |
中山市政务数据管理办法 | |
浙江省数字经济促进条例 | |
浙江省公共数据条例 | |
浙江省公共数据开放与安全管理暂行办法 | |
浙江省公共数据和电子政务管理办法 | |
浙江省地理空间数据交换和共享管理办法 | |
杭州市公共数据授权运营实施方案（试行）（征求意见稿）（2023年） | |
无锡市公共数据管理办法 | |
苏州市数据条例（2023年） | |
天津市促进大数据发展应用条例 | |
辽宁省大数据发展条例 | |
沈阳市政务数据资源共享开放条例 | |
沈阳市数字经济促进条例（草案） | |
深圳经济特区信息化建设条例（2019年修订版） | |
深圳经济特区数据条例 | |
深圳市首席数据官制度试点实施方案 | |
深圳市数据产权登记管理暂行办法（2023年） | |
深圳市数据交易管理暂行办法（2023年） | |
深圳市数据商和数据流通交易第三方服务机构管理暂行办法（2023年） | |
北京市数字经济促进条例 | |
上海市数据条例 | |
上海市公共数据开放暂行办法 | |
上海市公共数据和一网通办管理办法 | |
上海市促进城市数字化转型的若干政策措施 | |
上海市信息基础设施管理办法（2023年） | |
上海市公共数据共享实施办法（试行）（2023年） | |
上海市公共数据开放实施细则 | |
上海市政务云管理暂行办法 | |
上海市数据交易场所管理实施暂行办法 | |
上海市公共场所人脸识别分级分类应用规范（征求意见稿） | |
地方性法规 与 地方政府规章 | 上海市人工智能标准化工作导则（征求意见稿） |
山西省政务数据资产管理试行办法 | |
山西省政务数据管理与应用办法 | |
山西省大数据发展应用促进条例 | |
山西省大数据发展应用条例 | |
山西省数字经济促进条例 | |
陕西省大数据条例 | |
山东省健康医疗大数据管理办法 | |
山东省电子政务和政务数据管理办法 | |
山东省大数据发展促进条例 | |
山东省公共数据开放办法 | |
辽宁省大数据发展条例 | |
宁夏回族自治区政务数据资源共享管理办法 | |
宁波市公共数据安全管理暂行规定 | |
南京市政务数据管理暂行办法 | |
江西省地理信息数据管理办法 | |
江苏省数字经济促进条例 | |
江苏省公共数据管理办法 | |
济南市公共数据管理办法 | |
吉林省促进大数据发展应用条例 | |
湖南省地理空间数据管理办法 | |
湖南省网络安全和信息化条例 | |
湖南省社会信用条例 | |
河南省数字经济促进条例 | |
河南省网络安全条例 | |
湖北省政务数据资源应用与管理办法 | |
海南省大数据开发应用条例 | |
海南省大数据管理局管理暂行办法 | |
贵州省政府数据共享开放条例 | |
贵州省大数据发展应用促进条例 | |
贵州省大数据安全保障条例 | |
贵阳市大数据安全管理条例 | |
贵阳市政府数据资源管理办法 | |
贵阳市政府数据共享开放实施办法 | |
贵阳市政府数据共享开放考核暂行办法 | |
四川省数据条例 | |
广东省数字经济促进条例 | |
广州市国资委监管企业数据安全合规管理指南（试行2021年版） | |
广东省公共数据安全管理办法（二次征求意见稿） | |
福建省政务数据管理办法 | |
福建省大数据发展条例 | |
厦门经济特区数据条例 | |
地方性法规 与 地方政府规章 | 成都市公共数据管理应用规定 |
北京国际大数据交易所设立工作实施方案 | |
北京市关于加快建设全球数字经济标杆城市的实施方案 | |
北京市数字经济促进条例 | |
天津市数据交易管理暂行办法 | |
西藏自治区网络信息安全管理条例（2023年） | |
新疆维吾尔自治区公共数据管理办法（试行）（2023年） | |
安徽省政务数据资源管理办法 | |
安徽省信息化促进条例 | |
安徽省大数据发展条例 | |
国家、行业及团体标准 | 网络安全实践指南 移动互联网应用基本业务功能必要信息规范 |
信息安全技术 移动互联网应用程序（App）收集个人信息基本要求 | |
信息安全技术 政务网站系统安全指南 | |
信息安全技术 个人信息跨境传输认证要求（征求意见稿） | |
信息安全技术 智能家居通用安全规范 | |
信息安全技术 网络安全等级保护基本要求 | |
信息安全技术 个人信息安全影响评估指南 | |
信息安全技术 信息安全风险评估方法 | |
信息安全技术 移动互联网应用程序（App）收集个人信息基本要求 | |
信息安全技术 网络数据处理安全要求 | |
信息安全技术 重要数据识别规则（征求意见稿） | |
信息安全技术 移动智能终端的移动互联网 应用程序(App)个人信息处理活动管理指南（征求意见稿） | |
信息安全技术 个人信息告知同意指南（征求意见稿） | |
网络安全标准实践指南 移动互联网应用程序（App）个人信息安全防范指引（征求意见稿） | |
网络安全标准实践指南 移动互联网应用程序（App）收集使用个人信息自评估指南 | |
信息安全技术 网络数据处理安全规范（征求意见稿） | |
网络安全标准实践指南一移动互联网应用程序（App）中的第三方软件开发工具包（SDK）安全指引（征求意见稿） | |
信息安全技术 移动互联网应用程序（APP）个人信息安全测评规范（征求意见稿） | |
信息安全技术个人信息去标识化效果分级评估规范（征求意见稿） | |
个人金融信息保护技术规范 | |
产品质量信息系统 信息分类与共享交换 | |
信息安全技术 重要数据识别指南（征求意见稿） | |
信息安全技术移动互联网应用程序（App）生命周期安全管理指南（征求意见稿） | |
国家、行业及团体标准 | 信息安全技术 健康医疗数据安全指南 |
信息安全技术 移动智能终端个人信息保护技术要求 | |
个人信息处理法律合规性评估指引 | |
信息安全技术 数据出境安全评估指南 | |
信息技术 移动设备生物特征识别 | |
网络安全标准实践指南 网络数据分类分级指引 | |
网络安全标准实践指南 移动互联网应用程序（App）系统权限申请使用指引（征求意见稿） | |
网络安全标准实践指南 移动互联网应用程序（App）个人信息保护常见问题及处置指南 | |
移动智能终端的App个人信息处理活动管理指南（征求意见稿） | |
互联网广告 匿名化实施指南 | |
互联网广告 发布审核规程 | |
移动互联网应用程序广告行为规范 | |
互联网广告 受众测量技术要求 | |
互联网广告场景下IP地址地理信息技术要求 | |
金融业数据能力建设指引 | |
证券期货业数据安全管理与保护指引 | |
证券期货业信息技术服务连续性管理指南 | |
证券公司客户信息交换规范 | |
证券经营机构投资者适当性管理投资者评估数据要求 | |
金融数据安全 数据生命周期安全规范 | |
证券期货业数据分类分级指引 | |
信息安全技术 信息安全控制 | |
数据安全合规评估方法 | |
数据安全和个人信息保护社会责任指南 | |
企业信用监管档案数据项规范 | |
地理信息应急数据规范 | |
信息安全技术 互联网信息服务安全通用要求 | |
信息安全技术 生物特征识别信息保护基本要求 | |
信息技术服务 数据资产 管理要求 | |
公共信用信息基础数据项规范 | |
信息安全技术 人脸识别数据安全要求 | |
信息安全技术 信息安全风险评估方法 | |
信息安全技术 网络数据处理安全要求 | |
证券期货业机构内部接口 证券交易 | |
证券业登记结算核心术语 | |
证券期货业数据安全管理与保护指引 | |
证券期货业信息技术服务连续性管理指南 | |
场外通用传输接口 | |
证券公司客户信息交换规范 | |
证券经营机构投资者适当性管理 投资者评估数据要求 | |
国家、行业及团体标准 | 信息安全技术 关键信息基础设施网络安全应急体系框架（征求意见稿） |
信息安全技术 网络安全信息报送指南（征求意见稿） | |
信息技术 大数据 数据资产价值评估（征求意见稿） | |
金融场景隐私保护计算平台 技术要求与测试方法 | |
基于区块链的机构电子签约系统要求 | |
移动互联网应用程序SDK安全技术要求及测试方法 | |
信息安全技术 互联网平台及产品服务隐私协议要求（征求意见稿） | |
信息安全技术 个人信息安全规范 |