网络数据安全管理条例
中华人民共和国国务院 · 国务院令第790号
《网络安全法》《数据安全法》《个人信息保护法》三法之下第一部综合性行政法规，把三法中偏原则的条款变成可执行动作。对出海 AI 企业最关键的六处：（1）第十条，网络产品服务风险涉及危害国家安全、公共利益的须在 24 小时内报告；（2）第十二条，向其他处理者提供或委托处理个人信息和重要数据的处理情况记录至少保存 3 年；（3）第十九条，提供生成式人工智能服务的须加强训练数据与训练数据处理活动的安全管理；（4）第二十六条，境外处理者依 PIPL 第五十三条设立的境内机构或代表须向设区的市级网信部门报送；（5）第二十八条，处理 1000 万人以上个人信息的须适用重要数据处理者的部分义务；（6）第三十五条，以列举方式给出向境外提供个人信息的全部合法条件。
在境内开展网络数据处理活动即适用（第二条）。对 AI 企业的具体触发：训练语料的抓取与清洗（第十八条对自动化工具访问收集网络数据设有评估与不得干扰他人网络服务的要求）、把用户对话与人脸数据交给境外标注供应商（第十二条的合同与 3 年记录）、通过 API 把用户输入送到境外模型（第三十五条）、以及用户规模跨过 1000 万人门槛后的组织化要求（第二十八条、第三十条）。境外注册但面向境内自然人提供服务的主体，同样因第二条第二款被纳入。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、AI 智能体、具身智能与机器人
2024-08-30
国务院第40次常务会议通过
2025-01-01
条例施行
全部 64 条同日施行，包括：24 小时重大风险报告（第十条）、个人信息与重要数据提供/委托记录保存至少 3 年（第十二条）、生成式人工智能训练数据安全管理（第十九条）、个人信息可携带转移（第二十五条）、境外处理者境内机构报送（第二十六条）、1000 万人以上个人信息处理者的加重义务（第二十八条）、重要数据年度风险评估（第三十三条）、数据出境条件清单（第三十五条）。
每条都写明触发条件、需要留存的证据与条款出处
网络数据处理者提供的网络产品、服务应当符合相关国家标准的强制性要求；发现存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，还应当在 24 小时内向有关主管部门报告。
首次达标投入估算：5–12 人日（估算，非承诺）
向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等与接收方约定处理目的、方式、范围以及安全保护义务等，并对接收方履行义务的情况进行监督；相关处理情况记录应当至少保存 3 年。
首次达标投入估算：10–25 人日（估算，非承诺）
提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理，采取有效措施防范和处置网络数据安全风险。在实践中应覆盖语料来源合法性、采集手段合规（第十八条对自动化工具另有评估与不得干扰他人网络服务的要求）、语料中个人信息与敏感信息的清洗、训练与推理环境的访问控制，以及语料库的分类分级。
首次达标投入估算：15–40 人日（估算，非承诺）
中华人民共和国境外网络数据处理者处理境内自然人个人信息，依照《个人信息保护法》第五十三条规定在境内设立专门机构或者指定代表的，应当将有关机构的名称或者代表的姓名、联系方式等报送所在地设区的市级网信部门。
首次达标投入估算：5–15 人日（估算，非承诺）
处理 1000 万人以上个人信息的网络数据处理者，还应当遵守条例第三十条、第三十二条对重要数据处理者的规定：明确网络数据安全负责人和网络数据安全管理机构，由管理层成员担任负责人且有权直接向主管部门报告；管理机构负责制度与应急预案、定期风险监测评估与演练培训、受理投诉举报；因合并、分立、解散、破产等可能影响数据安全的，须向省级以上主管部门报告处置方案与接收方信息。
首次达标投入估算：15–35 人日（估算，非承诺）
向境外提供个人信息须符合第三十五条八项条件之一：通过数据出境安全评估；经专业机构进行个人信息保护认证；符合个人信息出境标准合同规定；为订立、履行个人作为一方当事人的合同确需；按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理确需；为履行法定职责或法定义务确需；紧急情况下为保护自然人生命健康和财产安全确需；以及法律、行政法规或国家网信部门规定的其他条件。重要数据出境则一律适用第三十七条：确需向境外提供的应当通过数据出境安全评估。
首次达标投入估算：10–30 人日（估算，非承诺）
以制定个人信息处理规则的方式告知的，规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、清晰易懂。对符合条件的个人信息转移请求，应当为个人指定的其他网络数据处理者访问、获取有关个人信息提供途径。因自动化采集技术无法避免采集到非必要个人信息或未依法取得同意的个人信息，以及个人注销账号的，应当删除或匿名化；法定保存期限未届满或技术上难以实现删除的，应当停止除存储和必要安全保护之外的处理。
首次达标投入估算：8–20 人日（估算，非承诺）
第五十五条：违反第十二条、第十六条至第二十条、第二十二条、第四十条第一款和第二款、第四十一条、第四十二条的，责令改正、警告、没收违法所得；拒不改正或情节严重的处 100 万元以下罚款，可责令暂停相关业务、停业整顿、吊销许可证或营业执照，对责任人处 1 万元以上 10 万元以下。第五十六条：违反第十三条（国家安全审查）的，可并处 10 万元以上 100 万元以下；拒不改正或情节严重的处 100 万元以上 1000 万元以下，对责任人处 10 万元以上 100 万元以下。第五十七条：违反重要数据相关条款的，可并处 5 万元以上 50 万元以下；拒不改正或造成大量数据泄露等严重后果的处 50 万元以上 200 万元以下。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。