法规与执行控制

监管越来越要求组织说明：AI 系统是否在授权范围内行事、能否被监督和干预、是否留下记录。多数要求针对的是 AI 系统和组织本身；而智能体的动作在业务系统中生效的那一刻，处在 AI 规则和业务运营规则之间。本页说明赫库斯的产品可以在哪些方面提供帮助。本页不构成法律意见，任何产品都不能单独让组织满足合规要求。

一、个人信息与数据

1.《中华人民共和国个人信息保护法》：最小必要与自动化决策。

要求：收集个人信息应当限于实现处理目的的最小范围。利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正；通过自动化决策作出对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出决定。（第六条、第二十四条）

赫库斯能帮什么：模型和智能体只拿到任务需要的个人信息，真实值只在业务流程需要的地方使用；每个动作为什么执行、为什么被拦下，都有记录，便于说明。

2.《中华人民共和国个人信息保护法》：影响评估与处理记录。

要求：处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录；评估报告和处理情况记录应当至少保存三年。（第五十五条、第五十六条）

赫库斯能帮什么：每一次真实值的使用和拒绝都有记录，记录中不保存真实值；记录留在你自己的环境中。

3.《中华人民共和国数据安全法》：分类分级与全流程管理。

要求：国家对数据实行分类分级保护；开展数据处理活动应当建立健全全流程数据安全管理制度，采取相应的技术措施和其他必要措施，保障数据安全。（第二十一条、第二十七条）

赫库斯数据使用授权系统能帮什么：敏感数据在进入模型之前被替换为受保护引用，并按目的地和用途决定真实值给不给。

4.《网络数据安全管理条例》（国务院令第 790 号，2025 年 1 月 1 日起施行）。

要求：网络数据处理者应当在网络安全等级保护的基础上，建立健全网络数据安全管理制度，采取访问控制等技术措施；委托他人处理个人信息和重要数据的，应当约定处理目的、方式、范围和安全保护义务，相关处理情况记录至少保存 3 年。（第九条、第十二条）

赫库斯能帮什么：产品按设计运行在你的环境中，我们不提供保存你原始数据的托管服务；按设计，智能体只能按任务取得数据，不能把数据访问权转交给别人。

二、网络安全与人工智能

5.《中华人民共和国网络安全法》（2025 年修正，2026 年 1 月 1 日起施行）。

要求：修正后新增人工智能条款，提出完善人工智能伦理规范、加强风险监测评估和安全监管。网络运营者按网络安全等级保护制度，采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。

赫库斯能帮什么：智能体动作的放行、拦下和发送记录留在你的环境中，可以纳入你自己的日志和审计体系。

6.《人工智能科技伦理审查与服务办法（试行）》（工业和信息化部等十部门，2026 年 3 月印发）。

要求：可能带来科技伦理风险的人工智能科学研究、技术开发等活动，应当开展伦理审查。审查重点之一是"可控可信"，包括是否能够保障使用者控制、指导和干预模型、系统的基本操作；另一项是"责任可追溯"，包括是否有日志管理等措施，保障全链路可追踪。面向存在安全、人身健康风险等场景、具有高度自主能力的自动化决策系统的研发，列入需要专家复核的活动。（第二条、第十五条、附件）

赫库斯能帮什么：智能体的动作在生效之前可以被拦下或暂停；每个动作为什么执行、为什么被拦下，都有记录，可以追溯。