算法备案流程

安全与风控

讲清算法备案的办理流程与材料准备,帮 AI 产品负责人判断自己要不要办、先准备什么、卡在哪一步。

产品要上线,法务或客户突然问一句「算法备案办了吗」,多数技术负责人第一反应是懵的:这跟 ICP 备案是不是一回事、我这个功能算不算、材料谁来签字。这篇按「先判断适用范围、再备材料、最后走流程」的顺序讲,并说明哪些情况其实不用办。

产品马上要上线,法务或客户突然在群里问一句「算法备案办了吗」,多数技术负责人的第一反应是懵的:这跟 ICP 备案是不是一回事?我这个功能到底算不算?材料该谁来签字?其实这件事拆开看就是三步——先判断自己要不要办,再把材料攒齐,最后按顺序把流程走完。怕的是顺序搞反,先跑去填系统,回头发现材料根本对不上产品。

这篇按「判断适用范围、准备材料、推进流程、绕开卡点」的顺序讲一遍,每一节都给你能直接动手的动作。需要说明的是,各地口径和表单细节会调整,具体以主管部门最新通知为准,站内也有整理好的工具目录和指南入口可以对照,别拿一份几年前流出来的旧模板硬套。

先判断:你的产品到底要不要办

第一步不是写材料,是划范围。判断标准看两点:服务是否面向公众提供,算法是否属于生成合成、个性化推送、排序精选、检索过滤、调度决策这类范畴。两条都满足,一般就跑不掉;只是内部自用、纯离线跑在自己服务器上不对外输出的系统,通常不按对外服务口径办。这里说的是「通常」,边界模糊的别自己拍板。

业务形态一般是否需要办判断依据
面向公众的生成/推荐功能通常需要服务对不特定用户开放,算法影响信息呈现
企业内部效率工具一般不需要使用者限于内部员工,不对外提供服务
纯离线、未上线的预研项目通常不需要尚未面向公众提供,功能未实际运行
对外接口但由客户自己调用的能力需要具体看看最终是否面向公众、是否产生对外影响

容易踩的坑是把「算法备案」和「大模型上线备案」「安全评估」当成同一件事,其实是几条并行的线,材料有交集但不通用,别拿一张表当全部。存疑时按最保守口径准备,同时把业务形态压成一句话说明,方便和主管部门沟通时不来回绕。

  • 先列出产品里所有涉及「自动决策、内容生成、内容推荐」的功能点,逐个标注是否对外
  • 把每个功能写成「用户输入什么、系统做什么、输出给谁」三句话,后面写材料直接用
  • 确认公司内部谁是对接人,别等到提交时才发现没人负责跟进
  • 对拿不准的功能,先按需要办准备,同时保留自己的判断说明

材料清单:哪些现在就能动手攒

材料分四类,别混着写。主体资质类、算法说明类、安全机制类、签字盖章类各管各的。最容易拖时间的是最后一步——文件在谁手上、谁签字、谁盖章。提前把这张责任表定下来,比材料本身难得多。

主体资质类
营业执照、法人信息、算法安全责任人及其联系方式,重点确认这个人愿意长期挂名
算法说明类
功能描述、应用场景、数据来源、运行机制,用业务语言写,别堆技术黑话
安全机制类
内容审核、日志留存、应急处置、用户申诉入口,每一条都要对应到产品里真实存在的功能
责任分工表
谁提供、谁签字、谁盖章,逐项落到人名,避免临交前找不到人
  1. 先固定算法安全责任人找一位愿意长期挂名的同事,确认联系方式稳定可用,这个人后续变更、检查都会用到
  2. 再写算法说明按功能点逐个写,每个控制在「输入—处理—输出」三句话能讲完的长度,写完自己读一遍,读不懂就重写
  3. 然后对齐安全机制把内容审核、日志留存、应急处置、申诉入口这几项逐一去产品里点一遍,有就写、没有就先做再写
  4. 最后定签字盖章把每份材料标注由谁提供、谁签字、谁盖章,列成表格盯着推进

安全机制这一块最容易被看成走形式,其实是后续检查的对照依据。写得很全但产品里没有,后面会对不上,写了就要做。反过来,产品里已经做了但材料里没写,也是白做。

办理流程:从填报到通过的推进顺序

流程本身不复杂,复杂的是来回改。常见做法是先在内部把材料彻底定稿,再登录填报系统一次性提交,反复改表比一次填全慢得多。提交后重点盯补正通知,补正通常集中在两类:算法描述过于笼统、安全机制与产品实际不符。

  • 内部评审通过、材料定稿后再提交,别拿半成品去试系统
  • 提交后每天看一次通知,补正有时间窗口,别让它压箱底
  • 补正意见要逐条回复,不要合并成一段笼统说明
  • 通过后把备案号、填报账号、材料版本统一归档到一个固定位置
  • 算法实质变更、功能下线或主体信息变化时,按规则做变更或注销,不要放着不管

还有一点容易忽略:备案通过不是终点。算法做了实质性改动、功能下线、主体信息变化,都可能触发变更或注销义务。判断标准是「对外提供的算法服务有没有发生实质变化」,有就按规则走一遍,别等被问到才补。

常见卡点与不适用的情况

卡点基本集中在两处。第一处是把技术文档直接交上去,审核看不懂你的算法到底在干什么;解决办法是用业务语言,按「用户输入什么、系统做什么、输出给谁」三句话讲清,术语堆得再多也不加分。第二处是安全机制写得比产品实际做的还全,这项后续检查会对照,虚写等于给自己挖坑。

卡点表现怎么处理
算法描述太笼统交的是技术文档,看不出业务逻辑改写成「输入—处理—输出」三句话
安全机制与产品不符材料写了审核和申诉,产品里点不到先补齐功能再写,或如实删掉
材料找不到签字人临交前发现关键文件没人能签提前列责任表,逐项盯到人
照抄旧模板沿用多年前的表格和口径以主管部门最新通知为准,旧模板只作参考

不适用的情况也说清楚:纯内部工具、不对公众提供服务的离线系统、以及仅做技术预研还没有上线的项目,通常不必按对外服务口径办。注意「通常」两个字,业务形态一旦变化,比如从内部工具改成对外开放,判断就要重新做一遍。

先判断要不要办,再决定怎么攒材料——顺序反了,材料写得再漂亮也是白写。

如果你还想知道自己的技术选型在不同服务商之间的实际花费和响应表现,可以到站内价格追踪和速度测试页面核对当时的数字,再结合备案要求一起评估,避免备案办完了发现落地成本超预算。

下一步把备案需要的资质、算法说明、安全机制材料对照站内工具目录和指南中心理一遍,再决定哪些现在就动手、哪些可以先放一放。

常见问题

算法备案和 ICP 备案是一回事吗?

不是。ICP 备案管的是网站或应用能不能对外提供互联网信息服务,算法备案管的是你用算法对外提供服务这件事本身。两个可以同时存在,也可能只需要其中一个,取决于业务形态。拿不准时把产品功能和用户范围写清楚,分别对照两边的适用范围判断。

没有自己的模型,只是调第三方 API,还需要备案吗?

关键看你是否以自己名义对外提供算法服务。多数情况下,只要服务入口、用户协议和内容责任在你这边,就仍属于备案主体范围;如果只是企业内部调用、不面向公众输出结果,通常不在范围内。边界模糊的建议先按需办准备材料,再和主管部门确认。

材料准备大概要多久,能提前做什么?

时间取决于主体资料齐不齐、算法描述改几轮。能提前做的是三件事:定下算法安全责任人、把产品现有的内容审核与日志留存功能整理成可核对的说明、把所有证照和联系人信息收进一个文件夹。真正提交后的等待期不受你控制,别把它排进上线关键路径。

本文依据各平台公开文档与官方公告整理,只做中文归纳;具体做法、参数与限制以官方文档为准。