企业使用数字人的合规自查清单

见过太多这样的情况：数字人项目上线三个月，做得挺顺，某天收到一封律师函或者一条平台处罚通知，整个团队停下来救火。翻回去看，问题往往不在技术，而在最开始那几个没人问的问题——素材是哪来的、授权覆盖了什么、数据存在哪、出了问题谁对接。这篇给一张能逐条打勾的表，十二项，做完大概半小时，但能挡掉大部分常见的坑。

素材与授权，先把地基打牢

这一组是出事最多的地方，四项。第一，形象来源是否清晰：是原创建模、购买的模板，还是真人克隆，三种情况的授权要求完全不同。第二，真人形象是否拿到书面授权，且范围覆盖实际用途，注意用于内部培训和用于公开投放是两回事。第三，声音是否单独授权，很多人只签了肖像，忘了声音。第四，训练素材本身是否合法，包括拍摄者、背景音乐、画面里的第三方元素。这四项里任何一项答不上来，后面的工作都建在沙子上。

内容与标识，别在发布环节翻车

这一组四项。第五，脚本是否有审核流程，涉及功效、数据、对比的表述有没有依据。第六，AI生成内容是否按要求标识，显式和隐式两条都做到了没有。第七，是否有内容禁区清单，明确哪些话题不由数字人来讲。第八，发布账号的资质是否齐全，特殊行业有没有对应的许可。这一组的特点是，问题往往在执行层被忽略，因为一线人员只关心能不能发出去，没人关心发出去之后会不会被追。建议把审核做成一张必填表，没填完不给发，比开会强调有效得多。

数据与技术，把敏感信息管住

这一组两项，但分量很重。第九，人脸、声纹等生物识别信息是否做了单独告知与同意，是否遵循最小必要，训练完成后原始素材怎么处理有没有写清楚。第十，数据存储与访问权限是否可控，包括加密、权限名单、保存期限、删除机制，以及外部供应商的数据处理约定。这两项在项目初期容易被当成技术细节甩给IT，但真出问题时，它往往是监管最先问的部分。数据这一块的原则很简单：能不存就不存，必须存就管住谁能看。

运营与应急，出事时不至于乱

最后两项。第十一项，是否有明确的责任人与对外接口，出了投诉、举报、媒体询问，谁来回应、按什么口径回应。第十二项，是否有应急预案，包括发现违规内容后多久下线、如何留存证据、如何通知合作方。这两项最容易被当成形式主义，但它们的价值恰恰在出问题的那几个小时里体现——有预案的团队在止损，没预案的团队在开会。预案不用写得很长，一页纸就够，关键是每个人知道自己的那一步。补一句实操建议：把这三件事变成两个人名，一个管技术下线，一个管对外说话，别写成部门名称，部门里没人认领。

怎么用这张表

建议不要让一个人填完。素材和授权由法务或行政确认，内容和标识由运营确认，数据和技术由IT确认，最后由负责人签字。填完之后，把不合格的项按风险排序，先处理涉及真人形象和生物识别数据的那几项，因为它们一旦出问题，代价最难挽回。另外，这张表不是一次性作业，建议每季度或者每次上新形象、新场景时重跑一遍。法规和平台规则都在变，去年合规的做法今年未必还合规，遇到具体判断以现行法规和主管部门口径为准。

最后一句：合规这件事，成本永远在事前最低。把这张表打印出来，贴在项目组看得见的地方，每上线一个新形象就过一遍——半小时的检查，换的是不用在半夜回律师消息。