大模型私有化部署的合规要求：从标准到落地

私有化部署常被当成"数据不出门所以最安全"的方案。这个理解只对了一半——数据确实不出门了，但合规义务并没有消失，只是从"供应商的责任"转移到了"你自己的责任"。

2025 年，中国电子商会归口管理的《人工智能大模型私有化部署技术实施与评价指南》团体标准（T/CECC 47-2025）正式发布，这是国内首部针对私有化部署的标准文件。它把原本模糊的"怎么算合规"给出了评价维度。

一、先把责任边界划清

私有化部署后，角色发生了变化：

角色	公有云 API	私有化部署
服务提供者	API 供应商	你（使用方）
数据控制者	共担	你
内容安全责任	供应商为主	你
备案义务	供应商已完成	视情况由你承担

关键判断：如果你私有化部署后又对外提供服务（比如给客户做一个 AI 问答系统），那你就是《生成式人工智能服务管理暂行办法》意义上的"服务提供者"，备案义务落在你身上，不在原模型厂商。

如果只是内部使用、不对外提供，备案义务会轻很多，但数据安全和网络安全的责任依然完整。

二、等保定级：绕不开的第一步

私有化部署通常涉及企业内部系统和数据，需要按《网络安全等级保护条例》定级备案。

• 一般业务系统：通常定二级
• 涉及大量个人信息或重要数据：可能定三级
• 政务、金融、医疗等行业：行业主管部门可能有更高要求

定级之后要做测评。二级系统一般两年一测，三级一年一测。这一步不做，后面所有合规都是空谈。

三、数据分类分级：合规的地基

《数据安全法》要求建立数据分类分级保护制度。私有化部署的模型会接触三类数据，要分别对待：

1. 训练语料：来源是否合法、是否有授权、是否含个人信息
2. 推理输入：用户提问中可能含敏感信息，需要脱敏或加密
3. 输出内容：可能被判定为违法不良信息，需要过滤与留存

实践中最容易出问题的是第二类。很多企业把内部文档、客户资料直接喂给模型做问答，却没意识到这构成了对个人信息的处理，需要单独的合法性基础。

四、模型来源合规：私有化不等于可以用任何模型

这一条常被误解。私有化部署选择模型时，同样要考虑：

• 如果用国内已备案的开源模型（如部分国产开源系列），风险较低
• 如果用境外开源模型，需评估许可协议、数据来源，以及是否涉及出口管制
• 如果对外提供服务，仍需完成相应的登记或备案

一个务实的原则：私有化部署降低的是数据外流风险，不改变模型合法性的判断。

五、内容安全机制：必须有，而且要留痕

《生成式人工智能服务安全基本要求》列了 31 种安全风险，要求建立对应的防护机制。私有化部署方案至少要包含：

• 输入侧：敏感词过滤、意图识别、越狱防护
• 输出侧：违法不良信息过滤、事实性校验
• 留痕：完整记录输入输出，保留期符合行业要求（通常不少于 6 个月）
• 处置：发现违规内容的阻断、上报与回溯流程

这部分工作量大，也是"自建"比"买 API"贵得多的地方——API 供应商帮你做的事，自建后要自己做。

六、实施清单

1. 定级备案：系统定级、公安备案、等保测评
2. 数据盘点：识别训练语料、推理数据、输出数据，做分类分级
3. 模型选型：确认模型许可协议与备案状态
4. 安全机制：输入输出过滤、日志留痕、审计
5. 权限体系：模型访问权限、数据访问权限、管理权限分离
6. 应急预案：模型异常输出、数据泄露、服务中断的处置流程
7. 备案判断：确认是否对外提供服务，据此决定是否需要备案或登记
8. 定期评估：等保复测、数据安全评估、模型效果与安全复评

七、什么情况下私有化真的值得

说句实话：私有化的成本远高于用 API。一套能跑起来的方案，算力、部署、运维、安全合规加起来的投入，通常是 API 年费的数倍到数十倍。

值得做的场景通常只有三种：

1. 数据完全不能出域：军工、部分政务、核心医疗数据
2. 调用量极大：单月 token 消耗达到一定规模后，自建边际成本更低
3. 需要深度定制：必须在自有数据上做微调，且模型权重不能流出

不在这三种情况里的，用 API 通常更划算。合规成本也是一样——API 路径下这些事供应商已经在做了。