AI 政策简报｜网信办发布《大型个人信息处理者个人信息保护规定》征求意见稿：1000万人门槛，9月7日截止 (2026)

一句话判断

国家互联网信息办公室 8 月 7 日发布《大型个人信息处理者个人信息保护规定（征求意见稿）》，把处理 1000 万人以上自然人个人信息、提供重要网络服务或对国家安全和社会运行有重要影响的个人信息处理者纳入统一认定框架。它目前只是征求意见稿，尚未生效；公众反馈截止 2026 年 9 月 7 日。1

对 DeepSeek、MiniMax、Kimi 等 AI 公司，以及同时经营多种个人信息业务的平台，真正需要先回答的问题不是「是否被点名」，而是：自身处理的自然人个人信息是否达到门槛，业务是否属于重要网络服务，处理活动是否具有规定所说的重大影响。草案没有列出企业名单，也没有把「AI 公司」自动等同于大型个人信息处理者。1

先记住两个日期

日期或状态	已确认内容	企业动作
2026 年 9 月 7 日	对草案的公众意见反馈截止；可通过邮件或信函提交。1	法务、隐私、安全和产品团队在截止日前形成逐条意见，尤其核对数据中心、跨境、自动化决策和监督委员会要求。
目前	草案第五十条的施行日期仍为空白，因此没有可执行的统一生效日。1	不要把草案义务写成现行新规；可以按草案要求做差距盘点和预算预案。
被认定后	30 个工作日内报送负责人和数据中心信息；6 个月内成立个人信息保护监督委员会。1	提前确认责任人、数据中心管理机构和外部合规审计资源，避免正式认定后才启动组织建设。

谁会进入「大型个人信息处理者」范围

草案采用三项条件综合认定：

处理 1000 万人以上自然人的个人信息；
提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；
个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。1

处理超过 1000 万人个人信息、并自评认为符合后两项条件的处理者，应通过所在地省级网信部门向国家网信部门申报。省级以上网信部门、电信主管部门、公安机关等也可以督促未主动申报的处理者申报；最终由国家网信部门会同有关部门研究确定清单并向社会公告。1

因此，AI 公司应把「用户数」和「是否属于重要网络服务」分开评估。模型调用量、注册用户量、聊天记录规模、SDK 收集范围、未成年人使用情况和平台内第三方服务，都会影响实际个人信息处理边界；但草案没有说明某家 AI 公司已经达到门槛，也没有在本次通知中公布认定名单。

草案新增的合规组织要求

1. 公开规则要从一段隐私政策变成结构化清单

大型个人信息处理者的公开个人信息处理规则，至少要逐项写清：负责人姓名和联系方式；每项功能收集和使用个人信息的目的、方式、种类、权限名称与调用频度；处理敏感个人信息的必要性及对个人权益的影响；嵌入 SDK 的名称、包名、版本、主要功能、运营者和处理规则入口；个人信息接收方；保存期限及到期后的处理方式；查阅、复制、转移、更正、删除、限制处理、拒绝处理、注销账号和撤回同意的渠道。1

这会直接改变 AI 产品的隐私文档和发布流程：模型对话、个性化推荐、客服、营销、SDK 和第三方插件不能再只共用一段概括性描述，产品功能变更也要同步更新告知内容。

2. 境内运营收集的数据原则上要存境内

草案要求大型个人信息处理者将在中国境内运营中收集和产生的个人信息存储在境内，并要求数据中心设在境内、其管理机构法定代表人或实际控制人具有中国国籍且符合国家政策标准。确需出境的，应按规定办理数据出境安全评估、标准合同或个人信息保护认证等手续，并评估境外接收方；接收方无法履行保护义务时，应暂停提供。1

对使用境外云、境外客服、跨境模型运维或全球统一日志系统的 AI 公司，优先盘点的不是服务器所在城市，而是数据从采集、推理、日志、人工复核到故障排查的完整流向，以及每个受托方实际能接触到哪些字段。

3. 负责人要能介入决策，并可向监管部门报告

大型个人信息处理者应指定一名管理层成员担任个人信息保护负责人并公开联系方式。负责人要组织风险监测、影响评估、合规审计和应急演练，参与个人信息处理事项决策；企业无正当理由不处理其合规意见，或处理结果违反法律法规的，负责人可以直接向所在地省级网信部门报告。发生泄露、篡改、丢失或其他可能造成大规模权益受损的重大违法情形时，负责人还应立即组织补救并向有关部门报告。1

这不是单纯新增一个隐私岗位。企业需要明确负责人能看到哪些产品评审、数据架构和安全事件材料，以及合规意见被业务否决时如何留下记录、升级和报告。

AI 产品和平台最容易踩到的条款

自动化决策与敏感信息功能：上线前评估，完成后 15 个工作日内备案

涉及自动化决策、敏感个人信息处理，且可能对个人权益产生重大影响的产品、服务或功能，草案要求在上线前开展个人信息保护影响评估，并在评估完成后的 15 个工作日内通过所在地省级网信部门向国家网信部门备案。评估内容包括处理目的和方式是否必要、权限调用频率和数据精度是否达到最低限度、对个人权益的影响与安全风险，以及避免自动化决策精确定位特定个人的措施。1

对 AI 产品来说，推荐排序、用户画像、风控、内容审核、情感识别、未成年人模式和人工复核，不宜再由产品团队分别判断是否「只是功能优化」。应把它们纳入同一套上线前评估清单。

个性化推荐：关闭、停止使用、删除标签要形成闭环

大型个人信息处理者通过自动化决策进行信息推送或商业营销时，应提供易理解、易访问和易操作的个性化推荐关闭选项；用户关闭后，应停止将相关个人信息用于个性化推荐，并提供删除针对其个人特征的用户标签等功能。1

用户权利和删除请求：部分期限已经写成工作日

草案提出，符合《网络数据安全管理条例》条件的个人信息转移请求，在完成身份和请求验证后，原则上应在 30 个工作日内以通用或机器可读格式处理；因请求复杂需要延长的，可以在合理、必要情况下再延长 30 个工作日。个人请求删除的，不能删除时应在 15 个工作日内答复。1

企业应先测一次真实响应能力：能否定位一个人的跨产品数据，能否区分模型训练数据、对话日志、推荐标签和备份，能否在删除或撤回同意后停止继续处理，而不是只在隐私政策中写「用户可以申请」。

平台治理和外部监督会成为固定成本

如果大型个人信息处理者提供网络平台服务，它要明确平台内产品或服务提供者处理个人信息的规范、权限和保护义务；发现严重违法处理个人信息的，应立即采取停止提供服务等措施，并向省级以上网信部门等报告。企业还要每年上半年发布上一年度个人信息保护社会责任报告。1

被认定后 6 个月内，还要成立主要由外部成员组成的个人信息保护监督委员会：成员为单数且不少于 7 名，外部成员占比不低于三分之二，委员会至少每 6 个月召开一次定期会议。监督范围包括平台规则、敏感和未成年人信息、影响评估、合规审计、安全事件、数据出境、自动化决策以及负责人履职情况。1

这项设计的影响在于，隐私合规不再只是一条法务审核线，而会增加外部成员遴选、独立性审查、津贴、会议记录和董事会处理监督意见等持续成本。

监管后果：草案没有另列罚款金额，但执法入口更完整

草案没有为这套规定单列新的罚款数额。大型个人信息处理者、个人信息保护负责人、第三方专业机构或数据中心管理机构违法处理个人信息，或者未履行保护义务的，由网信、电信、公安等部门依照《个人信息保护法》《治安管理处罚法》《网络数据安全管理条例》等处理；构成犯罪的，依法追究刑事责任。1

监管部门可以现场检查、约谈、要求整改、督促解散监督委员会。未按要求整改或未达到整改要求的，还可以要求大型个人信息处理者采取向第三方数据中心托管个人信息等措施保障安全。换句话说，草案的增量不只是「多一份报告」，还包括组织、数据中心、平台治理和监督机制都可能成为检查对象。1

企业现在应做的四件事

先算清门槛。 按自然人维度盘点注册、登录、对话、支付、客服、推荐和 SDK 数据，形成可复核的处理人数、数据种类和业务影响记录，不要只用 DAU 或下载量代替个人信息处理规模。
画出 AI 数据流。 把训练、推理、日志、人工审核、客服、监控、备份、境外运维和第三方插件放在同一张图上，标出敏感信息、未成年人信息和跨境节点。
把上线评估前移。 对自动化决策、画像、推荐、敏感信息处理和未成年人功能建立上线前影响评估、15 个工作日备案提醒、年度风险评估和两年一次合规审计的待办链条。1
在 9 月 7 日前决定是否提交意见。 重点核对 1000 万人认定口径、重要网络服务判断、境内数据中心要求、跨境例外、监督委员会成本和草案与现有数据出境规则的衔接，并把每条意见对应到具体条文。

结论

8 月 7 日这份文件还不是立即生效的 AI 专门法，也没有公布 DeepSeek、MiniMax、Kimi 或其他公司的认定名单。它先把大型个人信息处理者的边界、申报入口、境内存储、自动化决策评估、负责人和外部监督委员会写成了一套可执行的组织框架。企业最紧迫的日期是 9 月 7 日征求意见截止；最值得现在开始准备的，是一次能经得起监管复核的数据规模、数据流和产品功能盘点。1

References

1
国家互联网信息办公室：关于《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见的通知cac.gov.cn