AI合规评估会变成常态化审查吗?

11月3日发改委那场发布会，我刷到的时候第一反应是"又来了"，但把通稿读完，感觉这次说的跟以往那些零散规定不太一样。

措辞是加快推进一部覆盖人工智能全生命周期的"基础性、综合性"法律，同时加快数据、算力、算法的规则建设，还要覆盖重点应用领域。这里得先划条线：公开的只有方向和框架，法律条文、适用范围、生效时间一个都没出。所以先别慌——"加快推进立法"不等于"明天就管到你头上"。一部基础性法律从起草、征求意见到审议、生效，周期通常不短。

真正让我在意的是"定期评估合规情况、修订过时条款"这个方向。如果落到细则里，合规的性质就变了：它不再是上线前交一次材料、拿到通过就完事，而是跟着模型迭代一直走下去的持续动作。对开发者来说，这是个挺根本的转变。

常态化之后，实际会卡在哪

我理解大概是三条线。

数据这条最靠前。训练数据的来源、授权和处理方式一旦被纳入更明确的框架，就没法事后补材料了，得在研发流程里前置做合规设计。算力同样进了视野，调度和使用方式可能都要说得清。这两块对同时做基础模型和应用产品的团队尤其麻烦，法务、安全、工程得一起干活，而不是各扫门前雪。

第三条是事件披露，对日常运营的触动最直接。按发布会透露的方向，开发者和运营方要及时公布安全威胁、主动向主管部门报告事件，而不是出事之后自己判断要不要说。这意味着得提前建好上报流程和对外说明机制，临时攒是来不及的。

说句实在的，规则清晰对头部企业未必全是负担——明确的披露义务和评估标准，反而能减少不同地区、不同场景下的合规不确定性。但中小开发者和垂直应用团队要搭一套完整流程，就是实打实的投入，过渡期怎么安排、细则宽严到什么程度，直接决定落地成本。

另外得说一句，外媒报道把DeepSeek、月之暗面、阿里通义千问列进了可能受影响的名单，但这是媒体对监管覆盖面的推断，官方并没有点名。这类信息看看就好，别当成结论。

我自己的做法是：不据此做确定性的合规判断，但可以先回头捋一下自家在数据来源、算力使用、事件响应这三块上有没有明显的窟窿。规则还在路上，准备倒是可以先走一步。