客户想入局 AI，却被一堆资质难住了！2026 年企业布局 AI，到底需要哪些合规手续？

关键词：AI 合规资质、大模型备案、算法备案、生成式人工智能、ICP 许可证、AI 智能体、模型 API 聚合平台

一家企业准备进入 AI 行业，计划开发一套智能体平台：用户只需要输入任务，平台就能自动调用大模型，完成办公文档处理、客户线索整理、招投标信息检索、供应商资料审核等工作。

产品规划得很清楚，技术团队也已经开始选型。有人建议直接接入境外大模型 API，有人建议采购国产模型服务，还有人提出，可以把多个模型整合到一个平台里，按照 Token 用量向客户收费。

真正让企业负责人犯难的，却是另外几个问题：

• 自己做的是 AI 应用，究竟要不要办理大模型备案？
• 调用第三方大模型 API，是不是就不需要办理备案？
• 面向企业收费提供 AI 服务，是否需要 ICP 许可证？
• 如果平台同时接入多个模型，按 Token 计费，合规要求会不会不一样？
• AI 自动审核供应商、筛选投标项目，是否还涉及数据安全和算法合规？

这些问题并不是技术团队把产品开发出来之后再考虑就可以了。对于计划在中国大陆开展 AI 业务的企业，合规路径应当从产品设计、模型选型和商业模式规划阶段就开始评估。

近期，类似问题也是企业布局 AI 时需要重点厘清的事项。对于这类客户，众森企服建议先进行业务合规诊断，再根据实际业务模式判断需要办理哪些备案、许可或其他合规手续，而不是一上来就盲目申请资质。

本文就从企业老板、创业者和准备进入 AI 行业的投资人的实际需求出发，系统梳理 AI 智能体、大模型应用、模型 API 聚合平台等常见业务形态涉及的合规事项，并结合相关法律法规，用通俗易懂的方式解释企业为什么要关注这些要求、如何规划落地路径。

先说结论：AI 企业没有一张适用于所有业务的“通用资质清单”。是否需要办理大模型备案、算法备案、ICP 相关手续或增值电信业务经营许可证，必须结合模型来源、服务对象、产品功能、运营模式、数据流向等因素综合判断。

一、企业做 AI，第一步不是办证，而是搞清楚自己究竟在做什么业务

不少企业第一次接触 AI 合规时，会直接问：“做 AI 要办什么资质？”

这个问题看似简单，实际上还缺少几个关键前提。

因为监管判断通常不会只看产品名称，而会进一步关注企业提供什么服务、向谁提供、采用什么技术、如何收费，以及服务实际运行在什么环境中。

1. 先区分四种常见的 AI 商业模式

这些业务可能使用相同的底层大模型，但合规判断并不完全相同。

例如，一家企业采购第三方 AI 服务，只供自己的员工处理内部文件，与另一家企业开发在线 AI 平台、向社会用户开放注册并按月收费，在服务性质和责任边界上就可能存在明显差异。

2. 判断 AI 项目合规路径的五个关键问题

建议企业在产品立项阶段，先把以下问题梳理清楚。

问题一：模型从哪里来？

是企业自主研发、在开源模型基础上进行微调，还是调用境内外第三方模型 API？模型来源不同，授权、数据流向和备案判断可能不同。

问题二：服务提供给谁？

是企业内部员工，还是签约企业客户，抑或任何人都能注册使用的公众服务？用户范围是判断适用规则的重要因素。

问题三：产品具体做什么？

只是检索企业知识库，还是能够生成文本、图片、音视频？是否提供个性化推荐、内容排序、信息过滤或自动调度决策？

问题四：商业模式是什么？

免费试用、软件订阅、项目交付、按 API 调用量计费、Token 转售，还是向用户提供模型接入和算力资源？收费方式会影响业务实质的判断，但收费本身并不能直接决定某张许可证是否适用。

问题五：数据经过哪里？

用户输入是否会发送给境外模型服务商？是否涉及个人信息、商业秘密、重要数据或其他敏感数据？模型供应商是否会保存输入内容并用于训练？

企业把这五个问题回答清楚，后续才能更准确地判断需要办理什么手续、哪些义务需要落实，以及哪些事项应在正式上线前解决。

二、AI 企业常见的备案、登记和许可证，到底有什么区别？

这是企业进入 AI 行业时最容易混淆的知识点。

简单来说，备案、登记、行政许可和日常合规义务不是同一个概念。企业需要根据适用规则分别判断，不能认为办好其中一项，就能替代其他事项。

1. 大模型备案与大模型登记：关注生成式 AI 服务的具体管理要求

企业常说的“大模型备案”，并不是所有使用大模型的企业都必须办理的一张通用许可证。

《生成式人工智能服务管理暂行办法》第二条规定，该办法适用于利用生成式人工智能技术，向中国境内公众提供生成文本、图片、音频、视频等内容的服务；同时也明确，未向境内公众提供生成式人工智能服务的相关研发和应用活动，不适用该办法的规定。

这意味着，判断是否涉及相关备案或登记，首先要看服务实际如何提供，而不是只看企业有没有使用大模型。

通俗地说：

• 企业内部搭建 AI 知识库，供员工处理内部资料，不应仅因为使用了大模型就直接认定必须办理公众生成式 AI 服务备案。
• 企业面向境内公众提供可在线生成文本、图片等内容的服务，就需要重点评估生成式 AI 相关规则的适用性。
• 企业使用第三方模型 API，也不代表自身对外提供服务的合规责任自动消失。

需要注意的是，实践中还可能涉及已备案模型的应用、基于已备案模型的服务登记等不同路径。具体走哪条路径，应结合模型来源、开发和改造程度、服务提供主体、应用方式及主管部门的现行要求进行核实，不能简单地把“调用 API”一概归为登记，也不能把所有自研或微调项目一概归为同一种备案路径。

2. 算法备案：不只是“自研算法”才需要考虑

算法备案也经常被误解。

《互联网信息服务算法推荐管理规定》第二条将算法推荐技术涉及的活动列举为生成合成、个性化推送、排序精选、检索过滤、调度决策等类型。

这与企业对算法的日常理解并不完全相同。

举例来说：

• 电商平台根据用户行为推荐商品；
• 信息平台根据热度对内容排序；
• AI 招投标系统自动筛选、排序和推荐投标机会；
• 企业系统根据业务规则自动分配任务或进行调度。

这些功能并不意味着必然需要办理同一种备案，但如果产品实际使用了相关算法技术，就应当进一步评估是否落入算法推荐管理规则，以及是否满足具有舆论属性或者社会动员能力等相关备案条件。

重点是：使用了算法，不等于必然需要办理算法备案；但也不能因为算法是购买的、开源的或嵌入大模型中的，就直接认定不需要评估。

对于 AI 智能体平台，如果只是按照用户指令调用工具，和平台进一步根据用户行为进行内容推荐、排序或面向用户提供自动化信息分发，合规判断可能不同。应当根据实际功能逐项梳理。

3. ICP 备案与 ICP 经营许可证：两者不能混为一谈

企业准备搭建官网、AI SaaS 平台或在线应用时，常常会问：“是不是要办 ICP？”

首先需要区分两个概念：

• ICP备案：通常涉及非经营性互联网信息服务的备案管理要求，以及相关网站、应用的接入和上线要求。
• ICP 经营许可证：通常指经营性互联网信息服务所涉及的增值电信业务经营许可，具体适用条件应结合业务实质及现行规定判断。

《互联网信息服务管理办法》第四条区分了经营性和非经营性互联网信息服务；第七条规定，从事经营性互联网信息服务，应当向相应电信管理机构申请办理互联网信息服务增值电信业务经营许可证。

通俗地说，企业不能简单认为“有收费就一定要办 ICP 许可证”，也不能认为“只要做的是 AI 软件，就肯定不需要”。

需要结合企业实际提供的服务、平台功能、交易方式、收费对象及电信业务分类等因素判断。

例如：

• 企业仅有官方网站介绍产品，和企业搭建在线平台向用户提供持续的信息服务，业务性质可能不同。
• 企业向客户交付一套内部部署的软件系统，与企业经营面向公众的在线 SaaS 平台，也不能简单等同。
• 企业提供模型 API 接口、信息检索、平台信息发布或其他在线服务，需要根据实际业务结构评估是否涉及相关增值电信业务许可。

4. 为什么有些 AI 平台还需要评估其他电信业务许可证？

除了 ICP 相关手续，部分企业还可能涉及其他增值电信业务类别。例如，在线数据处理与交易处理业务、互联网接入、内容分发或数据中心相关服务等。

但必须强调：不能因为企业涉及 AI、Token 或算力，就直接认定一定需要办理 EDI、IDC 或其他某张许可证。

这些许可证分别对应不同业务类别。企业应根据实际经营内容和《电信业务分类目录》等规定判断，而不是把行业里常见的许可证名称直接套用到自己的业务上。

例如，单纯调用第三方模型 API 与自行建设并向外部客户提供数据中心、互联网接入或其他电信服务，并不是同一种业务。

AI 企业常见合规事项对照表

三、结合 5 类常见 AI 业务，具体应该怎么规划合规路径？

弄清楚基本概念之后，企业最关心的还是实际业务。

以下五类场景，是企业进入 AI 行业时比较值得提前分析的方向。

场景一：开发 AI 智能体平台，需要办理哪些资质？

假设企业准备开发一套 Agent Brain Platform（智能体大脑平台），能够理解用户任务，自动分配子智能体，调用大模型及外部工具，完成文档处理、邮件整理、招投标检索和供应商资料分析。

这类平台至少需要评估四个层面。

第一，模型与生成式 AI 服务。

如果平台使用第三方大模型 API，应核验模型服务商的授权范围、允许的使用场景、数据处理条款，以及平台自身是否向境内公众提供生成式 AI 服务。调用第三方模型不等于可以跳过全部合规判断。

第二，算法功能。

如果系统包含内容推荐、信息排序、检索过滤或自动化调度决策等功能，需要进一步判断相关算法规则是否适用，以及是否满足算法备案等手续的条件。

第三，互联网服务经营要求。

如果平台以在线 SaaS 形式面向客户提供持续服务，应根据实际运营模式判断是否涉及 ICP 备案、经营性互联网信息服务许可或其他增值电信业务许可。

第四，数据与工具调用安全。

智能体可能同时读取客户文件、调用外部 API、执行自动化任务并保存任务记录。因此，应当设计用户授权、最小权限、操作日志、数据脱敏、人工确认和异常回滚机制。

特别是涉及合同、客户资料、投标文件或供应商材料时，不应让智能体在没有必要授权的情况下任意访问、上传或对外发送数据。

建议采用以下基本架构：

1flowchart TD
2    A["用户交互层<br/>Web / 企业客户端 / API 接入"] --> B["智能体编排与权限控制层<br/>任务规划 · 工具调用审批 · 访问权限 · 操作日志"]
3    B --> C["模型服务层<br/>境内模型 / 经授权的第三方 API / 本地部署模型"]
4    B --> D["业务工具层<br/>文档处理 / 检索 / CRM / 招投标工具"]
5    C --> E["安全与合规控制层<br/>数据分类分级 · 内容安全 · 隐私保护 · 生成内容标识 · 审计追踪"]
6    D --> E
Copy

这张架构图表达的核心是：合规不是只在模型接口外面增加一个审核按钮，而是应当贯穿用户接入、任务调度、模型调用、数据处理和最终输出的全过程。

场景二：企业自研、微调或部署垂直领域大模型

企业希望针对法律、医疗、金融、工业、农业等行业开发专用模型时，需要先明确几个不同的概念：

• 自主研发基础模型；
• 基于已有模型开展微调或其他改造；
• 在已备案模型基础上开发应用；
• 使用第三方模型 API 提供垂直行业服务；
• 仅在企业内部部署和使用模型。

这些模式的合规路径不能简单划等号。

例如，一家企业使用开源模型构建内部知识问答系统，和一家企业训练或深度改造模型，再向境内公众提供生成式 AI 服务，在服务性质、模型授权和监管要求方面可能存在不同。

企业在项目启动前，建议完成以下工作：

1. 核验模型授权。 开源不代表没有许可条件。应核对模型许可证对商业使用、修改、再分发、署名及衍生产品的具体要求。
2. 核验训练数据来源。 确保数据来源合法，关注个人信息、商业秘密、版权及其他受保护权益。
3. 明确服务边界。 确定产品是内部自用、向企业客户提供服务，还是面向境内公众开放。
4. 开展安全评估。 根据具体场景评估内容安全、输出可靠性、数据泄露及模型被滥用的风险。
5. 评估相关备案或登记。 根据模型研发方式、应用方式和服务提供主体，确认适用路径。

《生成式人工智能服务管理暂行办法》第七条对训练数据处理活动提出了要求，包括使用具有合法来源的数据和基础模型，并依法处理涉及知识产权和个人信息的事项。

通俗地说，模型能力强不等于模型来源没有问题；模型可以运行，也不等于企业可以不受限制地将其用于任何商业服务。

场景三：开发大模型 API 聚合平台，按 Token 收费，合规重点是什么？

这是近几年 AI 商业化中值得重点评估的一种模式。

企业可能将多个模型服务整合到统一入口，为用户提供模型切换、统一接口、调用量统计、余额管理、Token 计费、企业账号管理等功能。

表面上看，这像是一个普通的软件平台；但实际业务中，企业还需要回答：

• 是否获得模型服务商授权，允许将服务转供第三方用户？
• 用户与谁建立服务合同关系？
• 用户的数据实际发送给谁？
• 模型服务商是否会存储、使用或训练用户输入？
• 企业是单纯提供软件工具，还是实际经营某类互联网信息服务或电信业务？
• 平台是否向境内公众提供生成式 AI 服务？

Token 计费不是独立的许可证类别。 企业不能仅凭“按 Token 收费”就判断必须办理某张许可证，也不能因为只收取软件服务费，就认定不涉及任何电信业务许可要求。

更合理的做法，是把业务拆成几个环节逐项分析。

特别提醒：“模型聚合平台”“MaaS 平台”“Token 平台”是商业描述，不是直接决定许可证类别的法律术语。 应当以企业实际提供的服务为基础，结合现行法规作出判断。

场景四：使用境外大模型 API，或者将模型部署到中国大陆，怎么选？

不少企业在产品开发初期，会在境外大模型 API 和本地化部署之间犹豫。

两种模式并没有绝对的优劣，关键在于企业的业务场景、数据敏感程度、模型授权、服务对象和成本要求。

如果企业处理的是客户合同、员工信息、投标文件或其他敏感业务数据，就不能只根据模型能力和调用价格作出决定。

应当进一步核验：哪些数据会被传出境内、是否存在跨境提供个人信息或重要数据的情形、第三方服务商如何处理输入内容、企业是否具备必要的合同和技术控制措施。

与此同时，本地部署不等于自动免除备案或其他合规义务，境外 API 也不能简单地一概认定不可使用。 应根据具体业务模式和现行规定进行评估。

场景五：AI 招投标与供应商审核工具，容易忽略哪些风险？

假设企业开发一款 AI 招投标助手，可以自动抓取公开招标信息、解析招标文件、生成投标草稿、跟踪截止日期，还能根据供应商提交的材料进行审核和风险评分。

这类产品看似只是企业效率工具，但可能同时涉及多个合规问题。

第一，数据来源是否合法。

公开网页不意味着所有信息都可以不受限制地抓取、存储和商业化使用。企业需要关注网站规则、数据授权、著作权、商业秘密及个人信息等问题。

第二，AI 输出是否可靠。

模型可能错误理解招标条款、遗漏关键时间节点，甚至生成不存在的资质条件。对于投标文件和供应商审核结果，应当设置人工复核机制，避免把模型输出直接当成最终事实。

第三，是否涉及个人信息或自动化决策。

如果系统对自然人进行评价、排序，或者利用个人信息进行自动化决策，需要进一步评估《个人信息保护法》相关要求；如果仅评估企业主体，也仍需关注企业数据来源、评价依据和结果准确性。

第四，是否涉及算法推荐等规则。

如果系统进一步向用户提供个性化项目推荐、排序、检索过滤或其他相关算法服务，需要结合具体功能评估适用规定，不能仅凭“它是企业软件”就排除相关要求。

第五，智能体是否有权执行操作。

如果智能体不仅生成建议，还会自动发送邮件、提交材料、联系供应商或执行交易相关操作，应根据风险设置权限边界。高影响操作应考虑二次确认、授权审批、留痕及回滚机制。

对这类工具，建议采用“AI 辅助 + 人工复核”的模式：AI 负责提高信息处理效率，关键法律判断、资格认定和重大商业决策仍由有权限的人员确认。

四、为什么这些合规事项不能忽视？结合相关法规逐条解读

企业关注合规，并不只是为了拿到一张证书，更是为了确保产品能够按照预期模式持续运营，并降低后续整改、下架、业务中断及数据风险。

以下列出几项与 AI 产品关系较为密切的法规要求。

1. 《生成式人工智能服务管理暂行办法》：先判断是否面向境内公众提供服务

核心条文：第二条

该条规定了办法的适用范围，重点关注利用生成式人工智能技术向中国境内公众提供生成文本、图片、音频、视频等内容的服务；同时明确，未向境内公众提供相关服务的研发和应用活动，不适用该办法的规定。

通俗解读：

企业不能只看自己使用了什么模型，而要看产品实际上向谁提供什么服务。

如果企业只是内部研发或内部使用，与企业运营一个面向境内公众开放的生成式 AI 平台，在适用性判断上可能不同。

但也不能把“企业客户”三个字当作一概排除适用的理由。具体服务对象、服务模式以及其他法律法规要求仍需逐项核实。

企业建议：

在产品立项时形成一份书面说明，至少明确服务对象、模型来源、输出类型、运营主体、用户注册方式和服务部署位置。这些信息将直接影响后续合规评估。

2. 《生成式人工智能服务管理暂行办法》：训练数据和模型来源不能忽视

核心条文：第七条

该条对生成式 AI 训练数据处理活动提出要求，包括使用具有合法来源的数据和基础模型，依法处理涉及知识产权和个人信息的事项。

通俗解读：

不是只要网上能够找到的数据，就可以直接拿来训练模型；也不是只要模型可以下载，就一定可以用于任何商业场景。

例如，企业希望把大量客户合同、供应商资料或公开网站内容用于模型训练，应先确认数据来源、授权范围、个人信息处理依据以及相关合同限制。

企业建议：

建立模型和数据来源清单，记录模型名称、版本、许可证、下载或采购来源、数据来源、授权范围及用途限制。对关键数据集保留必要的授权和审查记录。

3. 《互联网信息服务算法推荐管理规定》：关注算法实际功能，而不是名称

核心条文：第二条

该条列举了生成合成、个性化推送、排序精选、检索过滤、调度决策等算法推荐技术类型。

通俗解读：

企业产品即使叫“AI 助手”“智能搜索”或“业务自动化平台”，也应当看它实际上如何向用户提供信息、如何排序和筛选内容，以及是否使用相关算法技术。

但是否需要履行算法备案手续，还要进一步判断相关备案条件，例如服务是否具有舆论属性或者社会动员能力等。不能仅凭出现某种算法功能就直接下结论。

企业建议：

产品设计阶段就整理算法功能清单，明确每项功能的输入、输出、用途、影响对象和控制措施。必要时开展适用性评估，避免上线后才发现需要补充材料或调整功能。

4. 《互联网信息服务管理办法》：收费模式不能代替业务性质判断

核心条文：第四条、第七条

相关规定区分经营性与非经营性互联网信息服务，并对经营性互联网信息服务的经营许可证作出要求。

通俗解读：

企业不能仅凭“有没有收费”判断是否需要办理 ICP 经营许可证，也不能仅凭“我们是 AI 软件公司”就认定不需要相关许可。

真正需要评估的是企业实际向用户提供什么服务、是否属于相关许可管理范围，以及运营主体、服务内容和收费方式之间的关系。

企业建议：

把网站、App、SaaS 平台、API 接口和数据服务分别列出来，明确每一项业务由谁运营、面向谁、如何收费，再结合现行电信业务分类和许可要求进行判断。

5. 《中华人民共和国个人信息保护法》：客户数据不能随意交给模型处理

核心条文：第十三条

该条规定了处理个人信息的合法性基础，包括取得个人同意、为订立或履行合同所必需、履行法定义务等法定情形。具体适用时还应结合该法其他条款判断。

通俗解读：

企业把客户姓名、电话、邮箱、员工信息或其他可识别自然人的资料输入 AI 系统，并不意味着这些信息就可以任意被第三方模型处理。

企业需要根据实际处理场景，确认合法性基础、处理目的、必要范围、告知义务、访问权限，以及是否涉及向其他个人信息处理者提供数据或跨境提供个人信息。

例如，AI 客服要总结客户沟通记录，企业就应评估是否有合法处理依据、是否需要告知用户、哪些信息应当脱敏，以及模型供应商会如何存储和处理这些数据。

企业建议：

在产品中实施数据最小化、敏感字段脱敏、角色权限控制、日志审计和供应商数据处理条款管理。不要把“模型不会主动泄露信息”当成唯一的安全措施。

6. 《人工智能生成合成内容标识办法》：生成内容还需要关注标识要求

《人工智能生成合成内容标识办法》自 2025 年 9 月 1 日起施行，规定了人工智能生成合成内容的显式标识和隐式标识等要求，并对相关服务提供者和内容传播服务提供者的责任作出安排。

通俗解读：

AI 生成的内容，不只是“生成完能展示给用户”这么简单。符合相关规定适用情形的服务，还应考虑如何对生成合成内容进行标识，如何处理文件元数据，以及用户下载、复制、导出和发布内容时如何落实相应要求。

例如，AI 平台提供图片或视频生成、下载和导出功能时，应评估适用的标识要求，不能在产品开发阶段完全忽略内容标识能力。

企业建议：

在产品设计阶段就预留标识功能，核验生成、下载、导出、传播等环节的技术实现，并结合适用规则和相关强制性国家标准进行检查。

法规要点速查表

说明：以上为企业合规规划的重点法规提示，不构成对任何具体项目的最终适用性结论。实际业务还可能涉及《网络安全法》《互联网信息服务深度合成管理规定》、相关强制性国家标准及行业专项规则。企业应在实施前核验现行有效文本和具体适用条件。

五、AI 项目从想法到合规上线，建议按照这 6 步推进

对企业而言，真正有价值的合规规划，不是简单列出几张证书，而是把业务目标、技术路线、资质要求和上线计划结合起来。

众森企服建议，企业可以按照以下六个阶段推进。

AI 项目合规落地路线图

1. 第一阶段：业务诊断

梳理企业经营主体、产品功能、服务对象、收费方式、模型来源和数据流向，明确实际业务模式。

阶段成果：业务模式说明、产品功能清单、初步风险清单。

2. 第二阶段：模型与技术选型

对比境内模型、境外 API、开源模型和本地化部署方案，核验模型授权、服务条款、数据处理规则和技术成本。

阶段成果：模型选型建议、数据流向图、模型授权核验清单。

3. 第三阶段：合规适用性评估

分别评估生成式 AI、算法、ICP 及其他增值电信业务许可、个人信息保护、数据安全和生成内容标识等事项。

阶段成果：适用性评估表、需办理事项清单、待确认问题清单。

4. 第四阶段：制定资质办理计划

明确办理主体、申请条件、材料要求、先后顺序、相关技术准备和时间安排。

阶段成果：资质办理路线图、材料责任分工表、项目排期。

5. 第五阶段：技术及申报材料准备

根据实际要求，准备主体材料、业务说明、技术文档、安全措施和其他所需材料，并对材料与真实业务的一致性进行检查。

阶段成果：申报材料、整改记录、技术及运营准备清单。

6. 第六阶段：申报推进与上线核验

按适用流程推进申报、跟进反馈、配合整改，并在上线前核验许可、备案、内容治理和数据保护措施是否落实。

阶段成果：办理进度记录、上线核验清单、持续合规维护计划。

需要特别说明的是，上述六个阶段是企业内部项目管理的建议框架，并不意味着所有手续都必须按固定顺序办理。不同事项可能并行推进，也可能因主管部门要求、企业主体条件和技术方案不同而调整。

企业在正式启动前，建议准备哪些材料？

企业可以先建立一份“材料准备总表”，明确每项材料的负责人、来源、完成状态和待确认问题，减少重复准备和后期返工。

六、企业最关心的 7 个 AI 合规问题，一次讲清楚

以下问题适合企业老板、创业者和投资人在项目立项前重点了解。

Q1：只调用第三方大模型 API，是不是就不需要大模型备案？

不一定。

调用第三方 API 并不能单独决定是否需要备案或登记。需要进一步判断企业是否向境内公众提供生成式 AI 服务、模型来源和应用方式，以及适用的现行管理要求。

如果只是企业内部使用第三方工具，与企业将模型能力包装成面向公众的在线服务，不能简单视为同一种情形。

Q2：AI 产品只面向企业客户，不向普通消费者开放，是不是就完全不需要考虑生成式 AI 相关规定？

不能直接这样判断。

《生成式人工智能服务管理暂行办法》第二条对向境内公众提供服务的情形作出规定，也明确了部分未向境内公众提供相关服务的研发和应用活动不适用该办法的规定。具体项目仍需结合实际服务对象、交付模式及其他适用规则判断。

企业客户模式并不意味着可以忽视数据保护、网络安全、合同责任或其他适用要求。

Q3：企业使用开源大模型，还需要关注哪些合规问题？

至少需要关注三类事项：

1. 模型授权：核验商业使用、修改、再分发等条件。
2. 数据来源：确认训练、微调和检索所用数据的合法来源及授权范围。
3. 服务模式：根据实际应用方式和服务对象判断是否涉及备案、许可及其他合规义务。

开源模型不是“没有许可证限制”，更不等于“没有监管要求”。

Q4：大模型 API 聚合平台按 Token 收费，是否必须办理 ICP、EDI 或 IDC 许可证？

不能仅凭 Token 计费就作出结论。

应当先明确平台实际提供的服务：是模型调用工具、软件订阅服务，还是还涉及在线信息服务、交易处理、数据中心或其他电信业务。

随后再依据实际业务性质、服务对象和现行电信业务分类规则，判断是否需要办理相关备案或经营许可。

Q5：AI 智能体只负责调用工具、处理文档，还需要评估算法合规吗？

需要评估，但不代表必然需要办理算法备案。

如果产品包含信息推荐、排序、检索过滤、调度决策等相关功能，应结合《互联网信息服务算法推荐管理规定》及相关备案条件判断。仅仅使用了大模型或智能体框架，并不能直接决定适用结论。

Q6：AI 系统部署在中国大陆服务器上，是不是就没有数据合规问题？

不是。

本地化部署可以帮助企业更直接地控制数据存储和访问环境，但仍然需要关注数据来源、访问权限、处理目的、日志管理、个人信息保护、数据安全及第三方工具调用等问题。

如果本地系统仍会向境外模型 API 发送数据，仍需进一步评估相应的数据流向和跨境合规要求。

Q7：办完备案或取得许可证后，AI 产品就可以放心上线了吗？

不能这样理解。

备案和许可只涉及相应的管理事项，并不意味着产品的所有功能、数据处理活动和运营方式都自动合规。

企业仍需根据适用规则落实内容治理、数据保护、用户权益保护、生成内容标识、模型授权、网络安全和持续运营管理等要求。

真正稳妥的做法，是把资质办理和产品合规建设同步推进，而不是等到产品上线前才集中补手续。

七、写在最后：AI 创业，技术决定上限，合规影响项目能否稳健落地

从 AI 智能体到垂直领域大模型，从大模型 API 聚合到企业级 AI SaaS，人工智能正在为企业带来新的产品形态和商业机会。

但对准备进入 AI 行业的企业来说，项目能否成功，不仅取决于模型能力、产品体验和市场需求，也取决于商业模式是否清晰、模型授权是否完整、数据处理是否合规，以及相关备案和许可要求是否得到正确识别。

我们经常建议企业，在投入大量研发成本之前，先回答三个问题：

• 业务上：产品准备提供什么服务，目标客户是谁，未来如何收费？
• 技术上：选择什么模型，数据会经过哪些系统，权限和安全措施如何设计？
• 合规上：哪些备案、许可或其他义务可能适用，哪些事项需要在上线前完成？

把这三个问题提前梳理清楚，可以帮助企业更合理地安排研发计划、减少重复投入，并降低因业务设计与合规要求不匹配而导致的整改风险。

如果企业目前还不确定自己的 AI 项目究竟需要哪些资质，不必一开始就盲目申请一整套许可证。更合理的方式，是先梳理业务模式和技术架构，再制定与实际业务相匹配的合规方案。

众森企服长期专注互联网资质办理及相关咨询服务，可根据企业实际业务需求，协助梳理合规路径、识别办理事项、准备申报材料并跟进办理流程。