团 体 标 准
T/TAF 287.4—2025
生成式人工智能产品和服务用户权益保护要求 第 4 部分：用户数据处理
Requirements for user rights protection of generative artificial intelligence products and services—Part 4：User data processing
2025-07-07 发布 2025-07-07 实施
电信终端产业协会 发布
前 言
本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。
本文件是T/TAF 287《生成式人工智能产品和服务用户权益保护要求》的第4部分。T/TAF 287已发布以下部分：
——第1部分：总则;
——第2部分：服务协议;
——第3部分：服务公示;
——第4部分：用户数据处理;
——第6部分：服务保障能力;
——第7部分：应急处置措施。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由电信终端产业协会(TAF)提出并归口。
本文件起草单位：中国信息通信研究院、北京快手科技有限公司、阿里巴巴 (中国)有限公司、OPPO广东移动通信有限公司、科大讯飞股份有限公司、北京小桔科技有限公司、蚂蚁科技集团股份有限公司、维沃移动通信有限公司、荣耀终端股份有限公司、北京象信智安科技有限公司、高通无线通信技术(中国)有限公司、北京三星通信技术研究有限公司、珠海市魅族科技有限公司、上海声网科技有限公司、中国联合网络通信有限公司、北京抖音信息服务有限公司、华为终端有限公司、北京卡路里科技有限公司、北京三快科技在线有限公司、北京微梦创科网络技术有限公司、新华三技术有限公司、友盟同欣(北京)科技有限公司、阿里巴巴(北京)软件服务有限公司、百度在线网络技术(北京)有限公司、上海合合信息科技股份有限公司、贝壳找房(北京)科技有限公司、南德认证检测(中国)有限公司深圳分公司、广州视睿电子科技有限公司、深圳依时货拉拉科技有限公司、深圳市和讯华谷信息技术有限公司、厦门美图之家科技有限公司。
本文件主要起草人：屈蕾蕾、武林娜、王淞鹤、王艳红、宋恺、陈鑫爱、常浩伦、李可心、桑明臣、李京典、汪海、邓佑军、谷晨、落红卫、黄天宁、李根、李天烁、王士进、高建清、杜云、周飞、顾世鸿、李腾、林冠辰、孙铁、许锐、黄如鑫、李荣、郭建领、王磊、周辰、朱玲凤、吴越、钱雷、赵盈洁、姚一楠、刘觅、杜蕾、高震、李实、曹昉赫、吴斌、任资政、邹庆、李辰淑、赵晓娜、王江胜、李培、贾紫薇、刘艾婧、孔令昊、廖超豪、王超、陈岩、黄蓉、周世乐、尹志超、瞿菲、白雷、张洪龙、陈光炎、姚菲、马超、陈劲松、陈晓旭、李美婷。
引 言
国家网信办联合工信部等7部门共同发布《生成式人工智能服务管理暂行办法》(以下简称《办法》)，这是我国首次针对生成式人工智能研发及服务作出明确规定。《办法》中在用户权益保护方面提出了知情同意、依法承担责任、及时响应用户权利等基本性安全要求，目前生成式人工智能产品和服务使更新演变速度快、辐射用户群体多、应用范围广，为加强生成式人工智能产品或服务的用户权益保护能力，需进一步细化用户权益保护要求。因此，按照预研一批、储备一批、发布一批标准计划，计划制定《生成式人工智能产品和服务用户权益保护要求》系列标准，本文件聚焦于面向消费者生成式人工智能产品和服务，提出用户权益保护要求。T/TAF 287拟由7个部分构成：
——生成式人工智能产品和服务用户权益保护要求 第1部分：总则;
——生成式人工智能产品和服务用户权益保护要求 第2部分：服务协议;
——生成式人工智能产品和服务用户权益保护要求 第3部分：服务公示;
——生成式人工智能产品和服务用户权益保护要求 第4部分：用户数据处理;
——生成式人工智能产品和服务用户权益保护要求 第5部分：个人权利响应;
——生成式人工智能产品和服务用户权益保护要求 第6部分：服务保障能力;
——生成式人工智能产品和服务用户权益保护要求 第7部分：应急处置措施。
1 范围
本文件规定了生成式人工智能产品和服务用户权益保护中用户数据处理应满足的要求，主要涉及数据收集、数据传输与存储、数据使用、结果输出等阶段。
本文件适用于指导生成式人工智能产品和服务提供者对用户权益保障能力的设计、研发和评估，同时适用于监管机构、第三方测评机构对生成式人工智能产品和服务的用户权益保护情况进行监督、评估与认证。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 35273—2020 信息安全技术 个人信息安全规范
T/TAF 268.6—2025 生成式人工智能个人信息保护技术要求 第6部分：输出阶段管理
T/TAF 287.1—2025 生成式人工智能产品和服务用户权益保护要求 第1部分：总则
3 术语和定义
下列术语和定义适用于本文件。
3.1
个人信息 personal information
个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的信息。
[来源: 《中华人民共和国个人信息保护法》]
3.2
生成式人工智能 generative artificial intelligence
具有文本、图片、音频、视频等内容生成能力的模型及相关技术。
3.3
生成式人工智能产品和服务 generative artificial intelligence products and services
利用生成式人工智能技术，向公众提供生成文本、图片、音频、视频等内容的产品和服务。
3.4
生成式人工智能产品和服务提供者 generative artificial intelligence service provider
利用生成人工智能技术提供生成式人工智能产品或服务的组织、个人，简称“服务提供者”。
3.5
用户数据 user data
生成式人工智能提供服务的过程中，所处理的与使用者相关的数据，主要包括使用者输入的信息、使用记录、生成内容等，不包括用户注册信息、交易信息等其他与服务无直接关系的数据。
4 概述
在生成式人工智能产品和服务与使用者进行交互的过程中，会涉及与用户相关的数据，主要包括使用者输入的信息，使用者在使用生成式人工智能产品和服务过程中形成的使用记录，以及生成式人工智能的生成内容等。在用户数据收集、数据传输与存储、数据使用、结果输出等过程中，提供者应综合运用管理和技术措施，充分实现对用户数据和用户权益的保护。
5 用户数据处理要求
5.1 数据收集
数据收集相关要求包括：
a) 当数据收集过程涉及个人信息时，提供者应遵守GB/T 35273—2020 第5.1、5.2、5.4节的相关要求;
b) 若非服务所必需，提供者不应主动要求使用者提供或通过自动化方式获得个人敏感信息，包括但不限于银行账户、个人生物识别信息、征信信息等。
5.2 数据传输与存储
数据传输与存储相关要求包括：
a) 当数据传输与存储过程涉及个人信息时，提供者应遵守GB/T 35273—2020 第6章的相关要求。
b) 提供者传输、存储使用者的输入信息、使用记录时，不应超出应用场景的实际需要;
c) 提供者应加强数据传输与存储过程中的安全防护，根据相关数据分类分级管理要求采取差异化的安全防护措施;
d) 若能够从输入信息、使用记录中识别使用者身份，提供者应对相应数据进行删除或匿名化处理，以下情况除外：
1)提供服务所必需且已征得使用者授权同意;
2)为履行法定职责或者法定义务所必需;
3)法律、行政法规规定的其他情形。
5.3 数据使用
数据使用相关要求包括：
a) 当数据使用过程涉及个人信息时，提供者应遵守GB/T 35273-2020 第7章的相关要求;
b) 若将使用者的输入信息、使用记录用于生成式人工智能模型迭代优化，提供者应明确告知使用者相关情况并征得使用者的明示同意。同时，应为使用者提供相应的撤销同意方式或关闭其相关信息用于训练的方式;
c) 若向第三方共享、提供使用者的输入信息、使用记录，提供者应征得使用者的明示同意，法律法规另有规定的情形除外。
5.4 结果输出
结果输出相关要求包括：
a) 涉及个人信息的生成内容时，应符合 T/TAF 268.6—2025 中 6.2 节的相关要求;
b) 提供者识别出生成内容包含银行账户、个人生物识别信息、征信信息等敏感个人信息时，应根据具体情况采取去标识化等处理，而后再行输出。
参 考 文 献
[1] 《生成式人工智能服务管理暂行办法》
评论