安全评估报告的核心不在"写"，而在"做"：对照《人工智能拟人化互动服务管理暂行办法》第二十三条的八项评估内容，将制度、技术、运营、证据四层落地材料整理成文，确认触发第二十二条情形后，向所在地省级网信部门提交。材料齐，报告成立；材料缺，报告空泛。

谁需要提交安全评估报告？

先判断服务性质。据《人工智能拟人化互动服务管理暂行办法》，拟人化互动服务是指利用人工智能技术，向境内公众提供模拟自然人人格特征、思维模式和沟通风格的持续性情感互动服务。判断是否适用，关键看三点：是否利用人工智能技术、是否模拟自然人特征、是否构成持续性情感互动。

再对照触发情形。据《办法》第二十二条，具有下列情形之一的，拟人化互动服务提供者应当开展安全评估，并向所在地省级网信部门提交评估报告：

触发情形	具体说明
上线或增设功能	上线拟人化互动服务，或者增设拟人化互动服务相关功能
重大技术变化	使用新技术、新应用，导致拟人化互动服务发生重大变化
用户规模达标	注册用户100万以上，或者月活跃用户10万以上
潜在安全风险	存在可能影响国家安全、公共利益等安全风险
其他规定情形	国家网信部门和有关部门规定的其他情形

同时要注意适用范围边界：据《办法》相关规定，智能客服、知识问答、工作助手、学习教育、科学研究等不涉及持续性情感互动的服务不适用。若服务形态向"陪伴型、人格化"演进，加入了持续性情感互动元素，就需要重新评估适用性；边界难判断时建议从严把握，并提前与属地网信部门沟通。

安全评估到底评估什么？

据《办法》第二十三条，安全评估重点评估八项内容，可以归入四个维度：

维度	重点评估内容
安全保障	① 安全保障措施建设情况；② 训练数据处理情况
用户保护	③ 用户极端情境的识别、应急处置、干预管理等情况；⑤ 未成年人、老年人等网络保护措施建设情况
规模与运营	④ 用户规模、使用时长、年龄结构等情况；⑥ 用户申诉和公众投诉、举报受理、处置情况
问题整改	⑦ 自行发现或者网信等有关主管部门通报的重大安全风险问题整改情况；⑧ 其他应当重点评估的内容

写报告时不要堆砌材料，而要逐项回应：每一项评估内容，都给出"做了什么—怎么做的—效果如何—记录在哪"的完整链路。例如第⑤项未成年人保护，不能只写"制定了未成年人保护规则"，还要说明未成年人身份如何识别、有哪些差异化保护措施、规则是否落地执行。监管要看到的是落地情况，而不是制度文本。

报告材料怎么组织？四层清单一次讲清

据企业公开分享的合规落地方法论，报告材料可以按"制度—技术—运营—证据"四层组织，每层回答一个问题：有没有规矩、有没有能力、有没有执行、有没有痕迹。

制度清单——有章可循。 包括安全管理制度、算法审核制度、科技伦理审查制度、个人信息保护制度、未成年人保护规则、应急处置预案、投诉举报规则、重大风险整改机制。

技术清单——有技可防。 包括输入输出内容安全识别、Prompt注入和越狱攻击防护、上下文风险判断、情绪与依赖风险预警、极端情境识别、未成年人身份识别、生成内容标识、数据加密和访问控制。

运营清单——有人在做。 包括人工复核、样本抽检、7×24小时风险监测、举报回流、灰度发布、版本升级评估、紧急事件响应、重大风险复盘。

证据清单——确实做过。 包括测试报告、评估记录、审核日志、应急演练记录、用户授权记录、监护人同意记录、投诉处理记录、整改闭环材料。

四层清单的关系可以理解为：制度清单定规则，技术清单给能力，运营清单保执行，证据清单留痕迹。前三层是"做"，第四层是"证"——没有证据，前三层在评估中都无法被认定。

评估报告提交给谁、流程怎么走？

据《办法》第二十二条，评估报告的提交对象是所在地省级网信部门。落地流程可以概括为四步：

1. 确认触发情形：对照第二十二条的五类情形，判断本次评估由哪一情形触发，是上线新增、重大变化、规模达标，还是风险触发；
2. 对照八项内容自查：按第二十三条逐项盘点现状，找出差距和薄弱环节；
3. 归拢四层材料：把制度、技术、运营、证据四层材料按评估内容分类整理，形成报告底稿；
4. 提交报告并持续跟踪：完成报告后向所在地省级网信部门提交，并跟踪后续整改。

需要说明的是，安全评估只是合规链条中的一环。据企业公开分享的合规落地经验，大模型备案、安全评估、算法机制审核、内容安全评测是四类不同但相关的合规事项，触发条件、评估内容、主管流程各有差异，建议在项目规划阶段统筹梳理、分别跟进，避免临近上线时重复返工。

典型误区：制度有了，记录没有

据企业公开分享的落地经验，拟人化互动服务合规落地中高频出现的问题是"制度有了，但记录没有"。监管关注的不只是企业有没有制度，还包括近一段时间内有没有评审纪要、应急演练记录、算法审核记录、样本抽检记录、投诉处理记录等落地证据。

常见误区	正确做法
只建制度，不留记录	制度落地即留痕，评审、演练、抽检、投诉处理均形成书面记录
记录做一次就停	按周期持续沉淀，保持记录的连续性和时效性
把报告当一次性材料	把报告当成对产品安全边界、数据治理机制、用户保护能力和风险处置流程的系统梳理，随产品迭代持续更新

自评估报告不是一次性合规材料。产品功能在迭代、用户规模在增长、技术方案在变化，报告所反映的安全边界、数据治理机制、用户保护能力和风险处置流程也应随之更新；把它当成"交一次就结束"的作业，下次触发评估情形时往往要重新补课。

安全评估的高频问题有哪些？

Q1：智能客服、知识问答类服务需要做安全评估吗？

据《办法》相关规定，智能客服、知识问答、工作助手、学习教育、科学研究等不涉及持续性情感互动的服务不适用；若产品加入人格化、陪伴式的持续性情感互动元素，则需重新评估适用性。

Q2：安全评估和大模型备案是一回事吗？

不是一回事。据企业公开分享的合规落地经验，大模型备案、安全评估、算法机制审核、内容安全评测是四类不同但相关的合规事项，各自的触发条件、评估内容和主管流程不同，需要分别推进，不能互相替代。

Q3：用户规模没达标，是不是就不用评估了？

规模达标只是触发情形之一。据《办法》第二十二条，上线服务或增设功能、使用新技术导致重大变化、存在可能影响国家安全或公共利益的安全风险等情形，同样触发评估义务。规模未达标，也可能因为其他情形需要提交评估报告。

安全评估报告不是终点，而是产品在安全边界内持续服务用户的基础。如果希望在安全评估与备案环节少走弯路，网易智企·易盾在大模型备案、安全评估、算法机制审核、内容安全评测方面积累了实践经验，可提供从技术能力建设到报告材料组织的支撑，点击了解易盾大模型备案咨询服务。