内网部署的大模型
可以处理哪些材料
在内网部署大模型之后，容易形成这样的看法：部署在内网，数据不出组织，内部材料都可以交给它处理。这个看法并不完整：内网部署解决的是数据的去向，不改变系统的保密属性。
AI 观察与判断
驭火LAB
先说判断：部署在内网（非涉密网络）的大模型，属于非涉密信息系统，不能存储或者处理国家秘密。依据是《中华人民共和国保守国家秘密法》（以下简称保密法）的两条规定：
- 第三十条：存储、处理国家秘密的计算机信息系统，即涉密信息系统，按照涉密程度实行分级保护，经检查合格后，方可投入使用。
- 第三十一条第（三）项：不得使用非涉密信息系统、非涉密信息设备存储或者处理国家秘密。
一套系统能不能处理国家秘密，看它是否作为涉密信息系统经过检查合格，不能只看它部署在哪里、是否连接互联网。有的单位也把涉密网络称作“内网”；本文所说的“内网”，指单位的办公网络，不是经检查合格的涉密信息系统。工作秘密、商业秘密和个人信息，也各有管理要求。
四个常见误解
误解一：部署在内网，就可以处理涉密材料
错在哪里：把“数据存放在哪里”当成了“系统能不能处理国家秘密”。后者取决于系统是否作为涉密信息系统经过检查合格，内网大模型没有经过这道程序。
应当怎样做：在使用规范里写明本系统不得存储、处理国家秘密。确需用大模型处理涉密材料的，应当作为涉密信息系统按规定建设，经检查合格后方可使用，请先与单位保密管理部门沟通。
误解二：模型不联网，就没有泄密风险
错在哪里：不联网，切断的只是经互联网传出组织这一条途径。还有几条途径容易被忽视：
- 无权查看某份文件的人，通过提问看到其中的内容（见误解三）；
- 调用记录，即系统保存的提问、回答和所用文件的记录，汇集了大量内部内容；
- 外部机构运维时，运维人员可能接触知识库和调用记录；
- 生成的内容被转发，或者未经审核对外发布。
此外，“内网”未必与互联网完全隔离，系统也可能在线更新或者远程维护，要逐项确认。
应当怎样做：把这些途径逐一列入上线前后的检查，见后文的清单。
误解三：接进知识库的文件，
谁都可以问
错在哪里：知识库，即接入系统、供模型检索作答的内部文件。模型回答问题时，通常先从中检索相关段落，再据此作答。检索如果不按提问人的权限过滤，只限少数人查看的文件接入之后，任何能使用系统的人都可能通过提问看到其中的内容。
应当怎样做：接入之前逐份确认查看范围，检索按提问人的权限过滤；暂时做不到的，只接入全员都可以查看的文件。需要区分查看范围的材料，也不用于训练或微调模型（微调，即用自己的材料对模型作补充训练），因为写进模型的内容，无法再按人员设置权限。
误解四：个人信息只在内部流转，
不用另作处理
错在哪里：《中华人民共和国个人信息保护法》（以下简称个人信息保护法）的要求，不以信息离开组织为前提。第五十一条要求个人信息处理者实行分类管理，采取加密、去标识化等安全技术措施，合理确定操作权限；在内网系统中处理职工、客户或服务对象的信息，同样适用。敏感个人信息，例如医疗健康、金融账户、行踪轨迹等信息，按第二十八条，只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理。
应当怎样做：任务不需要识别到具体个人的，先去标识化，即处理到不借助额外信息就无法识别具体个人，例如用代号替换姓名、删去证件号码，代号与姓名的对照表另行保管。需要识别到个人的任务，只由有相应权限的人员办理。
一张判断表：
哪类材料，可以交给哪类系统
表中的“互联网上的公共 AI 服务”，指组织以外的机构运营的在线服务，包括职工以个人账号使用的情形；“内网部署的大模型”，包括预装了模型的一体机。
| 材料类别 | 互联网上的 公共 AI 服务 | 内网部署的 大模型 | 经检查合格的 涉密信息系统 |
|---|---|---|---|
| 公开资料 | 可以 | 可以 | 按系统管理规定办理 |
| 一般内部资料 | 按组织规定办理 | 可以，按访问权限使用 | 按系统管理规定办理 |
| 工作秘密 | 按单位规定办理 | 按单位规定办理 | 按系统管理规定办理 |
| 商业秘密和 未公开的经营信息 | 按组织规定办理 | 按组织规定办理 | 按系统管理规定办理 |
| 个人信息 | 去标识化后按规定办理 | 按规定办理；不需要识别到个人的，先去标识化 | 按系统管理规定办理 |
| 敏感个人信息 | 不可以 | 确有必要的，按规定办理并严格保护 | 按系统管理规定办理 |
| 国家秘密 | 不可以 | 不可以 | 可以，在系统的涉密程度和知悉范围内按规定办理 |
表中的依据和适用条件：
- 公开资料：“可以”指材料本身；提问里带进的组织内部情况，按其类别判断。
- 一般内部资料：例如内部通知、会议安排。能否提交公共服务，由组织在使用规范中写明。
- 工作秘密：保密法第六十四条规定，不属于国家秘密但泄露后会造成一定不利影响的事项，适用工作秘密管理办法采取必要的保护措施。具体范围以单位规定为准；规定没有明确允许的，我们建议不提交公共服务。
- 商业秘密和未公开的经营信息：例如未公开的财务数据、投标报价，按组织的管理规定办理。
- 个人信息：去标识化以后，借助对照表仍能识别到个人，所以还要看组织是否允许。交给外部服务、属于委托处理的，应当按个人信息保护法第二十一条与服务方作出约定；职工以个人账号使用的公共服务，没有这样的约定。
- 敏感个人信息：第二十八条要求采取严格保护措施。材料提交给公共服务以后，存储和使用不在组织控制之内，难以落实这一要求。
- 国家秘密：前两类系统都是非涉密信息系统，适用保密法第三十一条第（三）项。涉密信息系统中的大模型，同样要按知悉范围控制检索：第二十一条规定，国家秘密的知悉范围限定在最小范围。
组织签约使用的云端大模型服务不在表中。它同样是非涉密信息系统，国家秘密不可以交给它；其他材料，按合同约定和组织规定办理。
这张表是通用做法，具体以单位保密管理部门的认定为准；涉及个人信息的，同时听取法务部门的意见。
拿到一份材料，按五步判断
按顺序逐项确认，遇到“是”，按对应的办法处理：
- 有没有国家秘密标志？没有标志的，是否属于本单位应当定密（即确定为国家秘密）的事项？保密法第二十二条要求国家秘密载体和涉及国家秘密的电子文件作出国家秘密标志，所以先看标志。是，只在经检查合格的涉密信息系统中处理。尚未标注密级的涉密文件草稿、从涉密文件中摘录的内容，先按国家秘密对待，请保密管理部门确认。
- 是否属于单位规定的工作秘密？是，按单位的工作秘密管理规定，确定能否交给内网大模型、由哪些岗位处理；规定没有明确允许的，建议不提交公共服务。
- 是否含有个人信息？是否属于敏感个人信息？任务不需要识别到个人的，先去标识化；需要识别的，只在内网系统中由有权限的人员处理。敏感个人信息，先确认确有必要，再采取严格保护措施，不提交公共服务。
- 是否属于商业秘密或未公开的经营信息？是，按组织的管理规定，确定可以交给哪类系统、哪些人可以查询。
- 处理结果是否对外发布？是，发布前按组织的审核流程审核，除了核对事实和口径，还要检查结果里有没有带出前四步涉及的内容。
五步都是“否”的，属于公开资料或一般内部资料，按组织的使用规范使用，结果照常核对。一份材料同时属于几类的，按其中要求更严的一类办理；从材料中摘录、概括出的内容，按原材料的类别对待。
示例：人事部门要用内网大模型汇总培训需求，汇总表列有职工姓名、工号、岗位和需求。前两步都是“否”。第三步，汇总用不到姓名和工号，先删去；按岗位就能识别到个人的，合并为更大的类别；附带的体检情况属于敏感个人信息，与任务无关，也删去。后两步都是“否”。这样处理之后，可以按使用规范交给内网大模型。
材料分区的通用做法，见《哪些材料可以交给 AI：先用三个问题分区，再核对五类信息》。
上线前后，组织要落实的事项
下面的清单，可以由信息化部门和保密管理部门一起逐项确认，结果留存备查。系统已经上线的，您可以首先落实“写明系统属性”一项，其余逐项补齐。
上线前
- 写明系统属性：在使用规范中写明本系统为非涉密信息系统，不得存储、处理国家秘密，并告知每一位使用者，防止有人把涉密材料交给它。
- 查清网络连接和运维方式：确认系统是否与互联网隔离，是否在线更新、远程维护，哪些人能接触知识库和调用记录。“数据不出组织”要逐项核实。
- 按岗位设置访问权限：谁能使用、能用哪些知识库和功能，与岗位职责对应，因为各岗位本来能接触的材料就不同。
- 清理后再接入知识库：删去过期版本、草稿和无关的个人信息，逐份确认查看范围；检索按提问人的权限过滤，否则无权查看的人可能通过提问看到内容。
- 划定训练和微调所用的材料：需要区分查看范围的材料不用于训练或微调，因为写进模型的内容无法再按人员设置权限。
- 与外部运维方订立约定：运维中会接触个人信息、属于委托处理的，按个人信息保护法第二十一条约定处理的目的、期限、方式和保护措施等；同时签订保密协议，明确外部人员能接触哪些数据。
- 写成使用规范：写明本系统能处理哪些材料、不能处理哪些，难以判断时找谁，使用者在提交之前就能作出判断。
上线后
- 留存调用记录：记录谁在什么时间提问、调用了哪些文件，并限定查阅人员。出了问题可以追溯；记录本身汇集了大量提问内容，也要保护。
- 个人信息先去标识化：不需要识别到个人的任务，提交之前先处理。
- 输出照常核对，对外发布前审核：模型会出错，回答也可能带出知识库里的内部内容。
- 定期检查：权限是否随人员调整及时更新，知识库里有没有不应接入的文件，调用记录有无异常，因为人员和文件都在变化。
材料判断清楚、交给系统处理时，怎样交办和验收，见《给 AI 交办工作的四步：判定、拆解、指令、验收》。