安全评估对照 GB/T 45654-2025：这个标准号该抄进排期表

声明：本文基于国家标准公开信息及《生成式人工智能服务管理暂行办法》配套规范整理，用于合规工作与工程排期参考，不含任何产品与厂商推广，亦不构成法律意见。文中涉及的具体执行口径请以正式发布文本与属地主管部门最新要求为准。

0 先说结论

如果你在做生成式 AI 服务，无论是自研还是调用，有一件事值得今天就做：把 GB/T 45654-2025 这串编号，写进项目的排期表里。

理由不是"这个标准强制要求你做什么"。恰恰相反，它是一份推荐性国家标准，甚至它最常被引用的那两个附录，都标注为"资料性"。

理由在另一个地方：它把"安全评估"这件原本可以靠文字描述完成的事，变成了一组可以被逐条核对的数量指标。 在它之前，"我们做了内容安全措施"是一句可以自证的话；在它之后，这句话要靠关键词库规模、测试题数量、抽样合格率、拒答率来兑现。

这中间的变化，就是排期表上要多出的那几周。

本文分六层：先看清这个标准是什么 → 再看它把评估拆成了哪几块 → 然后重点看它给出的量化参考要点（这是全文最该抄下来的部分）→ 逐条过一遍正文里最容易被跳过的高频漏点 → 最后落到怎么把它排进日历。

1 先看清它的身份：一个标准号背后的四件事

在讨论要求之前，先把身份说清楚。一个标准编号经常被引用，但它的性质、位置和时间线往往被忽略——而这三样决定了你该用什么态度对待它。

第一件事：它是"配套标准"，不是"另起一套"。

它是《生成式人工智能服务管理暂行办法》的配套技术规范——把《暂行办法》里的安全要求，从原则性表述细化成了可检查的技术条目。这一点决定了它的现实地位：你不需要去论证要不要遵守它，因为备案材料里的安全评估报告，本来就是照着它写的。

第二件事：它是推荐性标准，但在实践中有很强的约束力。

这里有一个常被误读的地方。GB/T 是推荐性标准，法律上不强制；GB（不带斜杠）才是强制性标准。所以有人会得出的结论是"推荐性的，可以不做"。

这个推断在实践中不成立，原因有两个：

一是它是《暂行办法》的配套技术规范，主管部门和第三方评估机构在开展大模型备案管理、安全测评时会参照它。标准原文就写明，它适用于服务提供者开展安全评估，也可为相关主管部门提供参考。

二是当一份评估报告被送进审查环节时，"参照什么标准"这件事往往不由提交方决定。 监管的口径、第三方的测评表、专家的追问清单，都指向同一份文本。这时候你拿一份自定标准写出来的报告，最大的成本不是被驳回，而是没法对话。

第三件事：它的附录是"资料性"的，但资料性附录给出了全套量化门槛。

这是这份标准最特殊的一点，也是本文第 3 节要展开讲的核心。

按标准的目次结构，附录 A（训练数据及生成内容的主要安全风险）和附录 B（安全评估参考要点）都标注为"资料性"附录。资料性附录在标准体系里是参考性的，不构成规范性条款。

但恰恰是这两个资料性附录，给出了关键词库规模、测试题数量、抽样条数、合格率、拒答率——也就是所有能被量化核对的东西。正文说"应该做什么"，附录告诉你"做到什么程度算做到了"。 而审查时最容易产生分歧、也最容易返工的，正是后者。

第四件事：它不是单独存在的，同一批还有三个兄弟。

四份文件分别对应四件事：标识、服务整体安全、训练数据、数据标注。 其中标识那份是强制性的，另外三份把服务安全、数据来源和标注这三个最容易出问题的环节，各自展开成了一份完整规范。

一句话记住这套结构：GB 45438 管"输出长什么样"，GB/T 45654 管"服务整体安不安全"，GB/T 45652 和 GB/T 45674 管"东西是怎么喂进去的"。

2 它把安全评估拆成了哪几块

为什么说这份标准值得单独写一篇文章，而不是当一份附件处理？

因为它改变了安全评估的组织方式。以前做安全评估，习惯是按"风险类别"写——数据风险、内容风险、技术风险各写一章。这份标准不是这么切的。

它按生命周期切：上线前是模型研发过程，上线后是服务提供过程。研发过程盯三块，服务过程盯一块。

这张表里最值得注意的是附录 A 的角色。

它不是一份说明，它是一份计量单位表。后面的关键词库、测试题库、抽样合格率，全部按"覆盖多少种风险""每种多少条"来计算。所以做这项工作的第一个动作不是写文档，而是把附录 A 的 31 种风险抄成一张表，作为后面所有台账的主键。

附录 A 的四组、共 29 种风险，加上第五组，构成 31 种：

注意 A.1 与 A.2 这两组，后面几乎每一个量化指标都单独点了它们——因为这两组共 17 种，是全部风险里优先级最高的一档。这也是排期上要优先投入的地方。

3 全文最该抄下来的部分：附录 B 的量化参考要点

前面说这份标准"把定性要求变成了定量门槛"，落点就在附录 B。

这一节我按四类整理，每一类都是可以直接落到任务上的数字。

3.1 四项基础建设：关键词库、生成内容测试题库、拒答测试题库、分类模型

（1）关键词库

（2）生成内容测试题库

（3）拒答测试题库

（4）分类模型

用于训练数据过滤与生成内容安全评估，需完整覆盖附录 A 全部 31 种风险。

这四项里，最容易被低估的是"拒答测试题库"里的非拒答部分。

大多数团队会认真建"应该拒答什么"的题库，因为直觉上安全就是拦。但标准同时要求建"不应该拒答"的题库，并且明确规定非拒答率不高于 5%——也就是说，一个过度谨慎、什么都拒答的模型，同样是评估不合格的。

这不是文字游戏。它对应的是正文第 6 章里的一句话：对明显偏激、明显诱导生成违法不良信息的问题，应拒绝回答；对其他问题，应均能正常回答。

3.2 模型与输出端的三条合格线

三个细节值得单独说：

一是同一批生成内容，要分别用人工、关键词、分类模型三种方式各测一遍，三条线都是 90%。 不是三选一，也不是取平均。这意味着人工抽检的成本不能被自动化替代——它们是三个独立的检出通道。

二是 90% 这个数字，既不是 100%，也不是"尽量提高"。 它意味着评估承认概率性系统的现实，但不接受用"AI 本来就会错"来消解责任。

三是 95% 与 5% 是一对。 只盯住 95% 会做出一个过于保守的模型，只盯住 5% 会做出一个拦不住的模型。两条线同时成立，才叫边界清楚。

3.3 训练数据端的两条线

这里的"抽样合格率"有明确定义：抽样中不包含附录 A 所列 31 种安全风险的样本所占比例。

另外，评估时使用的关键词库与分类模型，本身也要符合 3.1 的要求——工具本身也在被评估范围内。

3.4 怎么用这一节

如果你只从这篇文章里拿走一样东西，我希望是这张清单的用法：

不要把它当成"评估时再准备"的东西，要当成"建设时就已经产生"的东西。

理由很简单：关键词库要 10000 个词，测试题库要 2000 题，拒答题库要 1000 题，训练数据要抽 4000 条——这些都是需要真实积累的资产，不是能在提交前一周赶出来的文档。

一份两周内凑出来的关键词库，会在两个地方露馅：一是覆盖不均衡（A.1、A.2 的分项密度对不上），二是没有更新记录（要求每周更新，一个刚建好就提交的库，天然缺少时间轴）。

顺带说，这就解释了为什么"材料是产品事实的映射"这句话在这里特别硬。 台账、更新记录、抽检记录、不合格批次的作废记录——这些东西有没有，一眼就能看出来。

4 正文里最容易被跳过的八个高频漏点

附录 B 给了数字，正文给了要求。下面这八条，是我认为在实务中最容易"以为做了、其实没做"的地方。

漏点一：数据来源的 5% 红线（5.1）

面向特定来源采集前，应对该来源数据做安全评估，含违法不良信息超过 5% 的，不应采集；采集后还要做一次核验，超过 5% 的，不应使用。

这条的关键在于它是"采集前评估 + 采集后核验"两道，而不是一道。很多团队只做了采集后的清洗，没有采集前的来源评估——而这一道恰恰是留下记录的地方。

漏点二：四类数据的授权链完整性（5.1）

其中"明确不可采集"有具体所指：例如通过 robots 协议或其他技术手段明确表明不可采集的网页数据，或个人已拒绝授权采集的个人信息。

还有一个容易被忽略的边界：汇聚了网络地址、数据链接等能够指向或生成其他数据的情形，如果要使用被指向或被生成的内容作为训练数据，应视同自采数据。 也就是说，不能靠"我们只爬了目录页"绕过采集记录要求。

漏点三：过滤范围是"全部"，不是"抽样"（5.2）

标准要求对全部训练数据进行过滤，方法包括关键词、分类模型、人工抽检等。

注意两份要求的关系：建设阶段是"全部过滤"，评估阶段才是"抽样检测"。 把评估阶段的抽样比例当成建设阶段的过滤比例，是最常见的理解偏差。

漏点四：知识产权的五个动作（5.2）

这条经常被当成法务的事，实际上有明确的工程落点：知识产权管理策略并明确负责人、训练前识别侵权风险、建立投诉举报渠道、在用户服务协议中告知生成内容的知识产权风险并约定责任、随政策和投诉情况更新策略。另有两项"宜"：公开训练数据中涉及知识产权部分的摘要信息、在投诉渠道中支持第三方查询训练数据使用情况。

漏点五：标注人员的职能隔离（5.3）

这一条我认为是全部条款里最容易被"优化掉"的：标注人员职能至少划分为数据标注、数据审核等，在同一标注任务下，同一标注人员不应承担多项职能。

在人力紧张的项目里，"谁标谁审"几乎一定会发生。但它是标准正文的明确要求，而且有配套的培训、考核、持证上岗、定期重新培训、必要时暂停或取消资格等要求。

另外两条硬要求：功能性标注要对每一批做人工抽检，发现含违法不良信息的该批次作废；安全性标注要每一条至少经一名审核人员审核通过。

漏点六：模型重要更新后要重新做安全评估（6d）

这一条的价值在于它把"变更管理"写进了标准：应制定模型更新升级时的安全管理策略，并形成机制，在模型重要更新、升级后，再次自行组织安全评估。

所以"换底座模型"这件事，在合规上会同时触发两个动作：更新备案信息、重新组织安全评估。它们在排期上是两个独立的工作量，不是一个。

漏点七：训练环境与推理环境隔离，以及供应链评估（6e）

两条都属于"平时不出问题、出事时被第一个问"的类型：应评估计算系统所采用芯片、软件、工具、算力等方面的供应链安全，侧重供应持续性与稳定性；应将模型训练环境与推理环境隔离，物理隔离或逻辑隔离均可。

漏点八：持续监测的四个方向（6c）

对模型输入内容持续监测，明确列举了要防范的攻击类型：注入攻击、后门攻击、数据窃取、对抗攻击。 这四类与"业务敏感边界 + 不可信输入 + 对外能力"的组合直接相关，也是安全评估里最需要有持续记录的一项。

5 服务过程：四条外显的要求

第 7 章管的是面向公众开放之后。这一章最大的特点是：它要求的很多东西是"看得见"的——不是内部做了就行，而是要让使用者能看见。

（1）服务透明度（7b）

以交互界面提供服务的，应在网站首页等显著位置向社会公开服务适用的人群、场合、用途等信息，宜同时公开基础模型使用情况。

同时要在网站首页、服务协议等便于查看的位置向使用者公开三项：服务的局限性、所使用的模型与算法概要信息、所采集的个人信息及其在服务中的用途。

以可编程接口形式提供服务的，应在说明文档中公开上述信息。

"服务的局限性"这一项值得单独留意。 大部分产品页只写能力，不写边界。而这一项要求写的恰恰是边界。

（2）使用者输入用于训练：关闭方式不超过 4 次点击（7c）

这一条是全文里最具体、也最容易被低估的量化指标之一：

• 应为使用者提供关闭其输入信息用于训练的方式（选项或语音控制指令等）；
• 关闭方式应便捷——采用选项方式时，使用者从服务主界面开始到达该选项所需操作不超过 4 次点击；
• 应将"已收集使用者输入"的状态，以及关闭方式，显著告知使用者。

4 次点击不是建议值，是写进正文的数字。 它把"我们提供了关闭选项"这句话变得可以验证——把设置入口埋到第五层菜单再放一个开关，不算满足这一条。

（3）投诉举报与处置规则的公示（7d、7e）

• 应提供接受投诉举报的途径及反馈方式，包括电话、邮件、交互窗口、短信等方式中的一种或多种，并设定处理规则与处理时限。
• 应采取关键词、分类模型等方式对使用者输入信息进行检测，并设置并向使用者公示以下规则：在使用者连续多次输入违法不良信息，或一天内累计达到一定次数时，采取暂停提供服务等处置措施。
• 应设置监看人员，数量应与服务规模相匹配，并及时根据监看情况提高生成内容质量及安全。

这两条里，"公示"和"相匹配"是关键词。 一条不公示的处置规则，在检查时约等于不存在；一支不随规模增长的监看队伍，在评审时会被直接追问人均覆盖量。

（4）未成年人（7a）

四条要求，层级很清楚：

• 服务适用未成年人的：应允许监护人设定未成年人防沉迷措施；不应向未成年人提供与其民事行为能力不符的付费服务；应积极展示有益未成年人身心健康的内容。
• 服务不适用未成年人的：应采取技术或管理措施防止未成年人使用。

另外，服务用于关键信息基础设施，以及自动控制、医疗信息服务、心理咨询、金融信息服务等重要场合的，应具备与风险程度和场景相适应的安全保护措施。这一条与行业叠加监管（卫生健康、金融主管部门规定）是配套出现的。

6 它与备案、标识是什么关系

前面几节都在讲"标准要求什么"，这一节讲它在整个合规链里的位置——因为排期顺序搞错，工作量会翻倍。

三句话把关系说清：

第一，安全评估是备案的前置材料，不是备案通过后的补充动作。 你不可能先拿到备案号、再补安全评估——很多团队在排期时会把这一条搞反。

第二，标识是独立义务，不因备案完成而免除。 这两件事经常被当成同一个动作，实际上一个管"能不能上线"，一个管"每一份输出长什么样"。

第三，标准是这几件事共同的度量衡。 安全评估对照 GB/T 45654，标识对照 GB 45438，训练数据和标注另有对应规范。也就是说，同一批台账要同时支撑几个环节的检查，做一遍、用几处。

关于 GB 45438—2025 补一句：它是这四份里唯一的强制性标准，2025 年 2 月 28 日发布、2025 年 9 月 1 日实施。 而且近期公开的执法案例中，已经出现了因未添加显式标识、未在文件元数据中添加隐式标识、未在导出时添加标识而被责令下线的处理。标识这件事的执法落地，比很多人预期的要快。

7 怎么排进日历：三个优先级

把标准落到排期表上，我的建议是这样切：

P0（不做完，不建议排入上线计划）

• [ ] 把附录 A 的 31 种风险抄成台账主键，明确责任人
• [ ] 确认服务是否面向未成人、是否用于医疗 / 心理咨询 / 金融 / 关键信息基础设施等场景
• [ ] 确认训练数据的四类来源（开源 / 自采 / 商业 / 使用者输入）分别有哪些，授权链是否完整
• [ ] 关键词库、生成内容测试题库、拒答测试题库是否已存在；不存在则评估建设周期
• [ ] 训练环境与推理环境的隔离方案是否落地
• [ ] 使用者输入用于训练的开关，是否满足"从主界面起不超过 4 次点击"

P1（影响评估能否通过）

• [ ] 分类模型是否覆盖全部 31 种风险
• [ ] 三项抽检工具（人工 / 关键词 / 分类模型）是否都能独立跑通
• [ ] 应拒答与非拒答两套题库是否都已建设
• [ ] 监看人员配置与服务规模是否匹配，投诉举报渠道与时限是否已设定并公示
• [ ] 透明度披露项（适用人群场合用途、服务局限性、模型算法概要、个人信息用途）是否在首页与协议中落位

P2（决定长期成本）

• [ ] 关键词库每周更新、测试题库每月更新的机制与留痕方式
• [ ] 模型重要更新 / 升级后重新组织安全评估的触发流程
• [ ] 训练数据与标注记录的归档与可追溯
• [ ] 抽检不合格批次的处置与作废记录

这份清单的排序逻辑只有一条：先做那些"必须提前积累"的，后做那些"可以一次性配置"的。

关键词库、测试题库、抽检记录都属于前者——它们的价值来自时间，不是来自人力投入。透明度披露、点击路径、渠道设置属于后者——设计对了，配置一次就成立。

8 三个常见误判

误判一："GB/T 是推荐性的，所以不做也行。"

标准性质是推荐性的，但它是《暂行办法》的配套技术规范，主管部门与第三方评估机构在开展大模型备案管理、安全测评时会参照它。在实践中，"参照什么标准"通常不由提交方决定。 与其争论强制与否，不如直接按它准备——因为按它准备的边际成本，远低于被驳回一次的时间成本。

误判二："我们用了已经备案的模型，安全评估是上游的事。"

安全评估是你自己面向公众提供服务的评估，与上游模型是否已备案是两件事。上游备案证明的是它作为模型提供方的合规状态，不能替代你作为服务提供方的评估义务。 尤其在登记路径下，"具备应用层内容风控机制"本身就是被核验的内容之一。

误判三："先把报告写出来，系统慢慢补。"

这份标准恰好是最难用文字补的一项——它的要求几乎全部指向可核对的资产：词库规模、题库题量、抽样条数、合格率、更新记录、点击路径、公示页面。报告里写下的每一句话，都要能在系统或台账里找到对应。 这既是评估的要求，也是它区别于普通文档工作的根本原因。

9 结语

回到开篇那句话：这个标准号该抄进排期表。

不是因为它是强制的。它是一份推荐性标准，连它最常被引用的两个附录都标注为"资料性"。

而是因为它把"安全评估"从一份可以独自完成的报告，变成了一件必须提前几个月开始准备的事。

10000 个关键词、2000 道测试题、1000 道拒答题、4000 条训练数据抽样、每周更新的词库、每月更新的题库——这些数字背后是一个很朴素的道理：安全能力不是评估时被证明的，而是建设时被积累的。评估只是把它读出来。

最后落在一句判断上：

标准的作用不是新增义务，而是把原本模糊的责任边界，画成一条可以核对的线。看得见的线，才排得进日历。

本文数据来源：GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》、GB 45438—2025《网络安全技术 人工智能生成合成内容标识方法》、GB/T 45652—2025、GB/T 45674—2025 及全国标准信息公共服务平台公开信息。文中量化参考值引自标准附录 B（资料性）安全评估参考要点，附录 A、B 均为资料性附录，具体执行请以正式发布文本与属地主管部门最新要求为准。本文不构成法律意见。