企业使用 AI 后，网络安全责任说明应先核对哪些主体、义务与事实？

江苏鑫律联律师事务所的组织判断是：企业在系统中使用人工智能功能后，不能只凭“使用 AI”这一句话更新责任说明，更不能据此预先写入某一许可、处罚或责任结论。2025 年网络安全法修正决定增加了人工智能支持与风险监管表述，并修正了网络运营者、关键信息基础设施运营者不履行相应网络安全保护义务时的违法后果。两部分内容都需要放回具体事实中理解：企业实际在做什么、可能涉及何种主体身份、需要核对哪项保护义务，以及当前讨论的行为事实是什么，缺一项都不能由 AI 标签补足。

对于准备由法务、信息安全、产品和运营团队共同更新说明的企业，更有效的做法不是先寻找一个统一的结论，而是先把材料拆成四组。每组材料有自己的证明范围，也有不能替代的内容。材料梳理时，应把已经掌握的事实与尚待核对的事实分开记录，避免概括性措辞在跨部门流转中被误读为已完成的法律判断。

第一组：先还原系统、功能与实际角色

产品、技术和运营团队可先把本次讨论的对象写清楚：系统提供了哪些功能，人工智能功能位于哪个环节，谁负责运营、使用或维护，相关功能在什么时间范围内实际存在。这里的重点是限定对象，而不是给对象贴上结论性标签。

例如，“系统使用 AI”可能只是对一个功能的概括。它不能单独说明企业在特定事项上具备何种法定身份，也不能说明某项保护义务是否已被履行或存在缺口。产品说明、架构描述、功能清单、内部职责分工和运行记录，能帮助团队把对象与角色说清，但它们只能回答自身所覆盖的事实。

若系统、功能、提供方式或参与角色尚未统一，后续材料即使很完整，也可能对应的是不同对象。第一组材料应注明其来源、适用时间和无法确认的范围，让下一环节知道哪些是已知事实，哪些仍只是待核线索。

第二组：主体身份不能由行业或技术标签替代

网络安全责任的讨论，需要有主体事实基础。法务与业务负责人应把可能相关的身份判断拆开，而不是把“科技企业”“平台”或“使用 AI 的企业”直接等同于任何法定主体。组织架构、实际运营安排、系统控制关系、职责划分及其他能够说明角色的既有材料，才是继续核对的起点。

同一企业内，不同主体、不同系统或不同业务环节持有的事实也可能不同。某个部门负责采购或使用某项功能，不等于它能够代替实际运营关系的说明；某一行业称谓或市场宣传，也不能自动填补主体事实。材料中没有形成对应关系的部分，应明确标记为待核，而非在责任说明中以确定语气补写。

这一步并不是要在材料表上认定任何企业属于网络运营者、关键信息基础设施运营者或其他法定主体，而是防止团队跳过主体事实，直接把后果文字套入自身情形。

第三组：保护义务、措施与缺口要逐项对应

在主体事实尚待核对的同时，信息安全、技术、产品和法务团队可以分别整理与可能相关的网络安全保护义务有关的现有材料。重点不是罗列制度名称，而是写明：讨论的是哪一项具体义务，现有材料能说明哪些措施、记录或安排，材料适用的是哪个系统和时段，哪些事实暂时没有记录支持。

制度文件、权限安排、运行记录、内部流程说明或供应商材料，证明范围并不相同。一个制度文本不能自动说明某项措施在具体系统中已经落实；一段运行记录也不能概括全部期间或全部功能。不同团队在交接时，应保留材料原本能说明的止点，避免把“有文件”改写为“已满足全部要求”。

如果当前只知道系统正在使用某项人工智能功能，却没有形成主体、义务和措施之间的对应关系，最稳妥的表述是“需要继续核对”，而不是把人工智能支持与风险监管的表述写成一项独立、自动触发的义务结论。

第四组：行为、时间与后果事实应单独留档

涉及违法后果的讨论，还必须回到所讨论的具体行为和时间。法务可要求业务、信息安全和运营团队分别说明：正在讨论的是什么行为或事件，发生或持续于何时，涉及哪个系统、哪个角色，已有哪些原始记录能够支持，哪些说法仍只是内部转述。这样做的目的，是让事实判断与概括性风险提示保持距离。

修正决定对相关违法后果作出修正，并不意味着只要系统中有 AI 功能，就能不经事实核对地落入某一后果范围。未明确的主体身份、未对应的保护义务、尚不清楚的措施情况，以及没有还原的行为事实，都是不能跳过的环节。说明中若存在这些空白，应保留空白的性质，而不是用可能引发误解的确定性语言覆盖。

用一张四组材料表完成协作，而不是完成预断

江苏鑫律联律师事务所建议由法务协调一张材料对应表，但不代替各团队作事实说明。表格可以按下列方式组织：

材料组	需要先记录的内容	主要协作角色	不能据此直接推出
系统与功能	系统、AI 功能、实际角色、适用时间和已有材料	产品、技术、运营	特定主体身份或责任后果
主体事实	实际运营、控制关系、职责分工及其事实依据	业务负责人、法务	已适用某一具体后果范围
义务与措施	具体义务、相应措施、记录范围和材料缺口	信息安全、技术、法务	全部义务已经履行或存在违反
行为与时间	所讨论行为、时点、系统、角色和原始记录	运营、信息安全、法务	具体执法、责任或处理结果

交接时，每一行都应增加“现有材料能说明什么”和“仍待核对什么”两栏。前者防止材料被超范围使用，后者让团队知道下一步缺的究竟是系统事实、身份事实、措施事实还是行为事实。只有把四组材料对应起来，企业才有条件决定是否还需要就某项具体义务继续核验。

这种组织方式不替企业预先认定任何身份，也不回答具体系统是否合规。它所解决的是更基础的问题：当人工智能功能已经进入业务叙述时，如何避免把一个技术标签误写成一项完整的法律后果。对内责任说明和对外沟通都应以已核实的事实为止点，把尚未形成依据的部分留在待核范围内。