AICMM 生成式人工智能安全合规应用能力评估

评估标准

本评估依据团体标准 T/ZGCMCA 028-2025《企业人工智能应用能力成熟度模型与评估》的评估框架，特别是其中“治理合规度”维度的要求，以及团体标准 T/ZGCMCA 029-2025《企业人工智能服务能力成熟度模型及评估》的安全保障能力域框架，执行企业标准 Q/AICMM S325-2026《生成式人工智能安全合规应用能力评估规范》。

本文件作为 T/ZGCMCA 028-2025 在生成式AI安全合规领域的专项实施规范，从 数据合规管理能力、内容安全管理能力、标识与透明度管理能力、日志与审计管理能力、组织与制度保障能力 五个维度，对采购、接入或在业务中使用生成式AI产品的各类企业进行综合评估。

评估重点考察企业在数据合规、内容安全、标识管理、日志审计、组织制度等方面的管理能力，帮助企业满足《生成式人工智能服务管理暂行办法》《互联网信息服务深度合成管理规定》等法规要求。已通过 GEO 服务能力评估的企业，可将本评估作为其内部治理能力的配套证明。

评估基本信息

评估依据T/ZGCMCA 028-2025

执行标准Q/AICMM S325-2026

评估对象生成式AI使用方企业

评估维度五大维度

等级体系L1 至 L5

审核方式远程审核为主

证书有效期3 年，每年年审

适用对象

生成式AI使用方企业

采购、接入或在业务中使用生成式AI产品（包括但不限于大语言模型、多模态生成模型等）的各类企业，在本标准中亦称“甲方企业”。

覆盖行业

信息技术、金融服务、工业制造、医疗健康、教育文化、营销零售、交通运输、能源电力、政务服务等使用生成式AI的各类行业。

典型应用场景

内部运营（文案撰写、代码辅助、数据分析）、对外服务（智能客服、内容生成、决策支持）等，覆盖生成式AI在业务中的各类使用场景。

评估流程

1

评估申请

提交申报材料

2

材料初审

形式审查

3

正式评估

资料评审 + 远程评估

4

结果复核

3名以上专家复核

5

定级授证

颁发证书并公示

核心评价维度

数据合规管理能力

个人信息保护：告知义务与最小必要原则
数据分级分类：差异化使用管理措施
数据授权使用：审批流程与权限管理
数据跨境传输：出境安全评估要求
训练数据合规：自建或微调模型的数据合规审查

内容安全管理能力

输入过滤机制：用户输入内容过滤与审核
输出审核机制：生成内容审核机制
敏感内容识别：政治敏感、暴力、色情、虚假信息识别
内容安全应急：安全事件应急响应与处置机制

标识与透明度管理能力

深度合成标识：按《深度合成管理规定》要求标识
生成式AI标识：按《生成式AI服务管理暂行办法》标识
用户告知：告知用户使用生成式AI及内容特性
标识规范：标识方式、位置、内容合规性

日志与审计管理能力

日志留存：依法留存日志，不少于6个月
日志内容：完整记录输入、输出、时间、操作人员
日志保护：防止日志被篡改、删除或泄露

组织与制度保障能力

制度建设：安全合规管理制度体系建设
组织保障：技术、法务、风控部门权责分工
人员培训：员工安全合规培训
科技伦理：伦理审查机制建立
持续改进：安全合规管理的持续改进机制

评估等级 · 五级体系

L5 引领级：安全合规管理行业标杆，可输出最佳实践
L4 创新级：量化管理能力，形成行业影响力
L3 融合级：完整安全合规管理体系，有制度有执行有记录
L2 规范级：基本安全合规管理制度，执行有初步成效
L1 初始级：已意识到安全合规要求，未成系统化

评估等级体系

L5 引领级

安全合规管理达到行业标杆水平，形成可对外输出的最佳实践。参与标准制定，输出管理经验。

L4 创新级

安全合规管理体系成熟运行，具备量化管理能力，形成行业影响力。安全合规数据可度量，参与行业标准制定。

L3 融合级

建立了较为完整的安全合规管理体系，各项措施有制度、有执行、有记录。安全合规管理覆盖全流程，可追溯。

L2 规范级

建立了基本的安全合规管理制度，但执行层面存在不足。制定了基本的数据合规和内容审核制度，有初步执行记录。

L1 初始级

企业已意识到安全合规要求，但尚未建立系统化的管理制度和措施。安全合规依赖个人自觉。

证书查询

输入证书编号，验证生成式AI安全合规应用能力评估证书真伪及年检状态