语料标注规则：备案材料里唯一一份"自我约束型"文件

声明：本文基于公开发布的法规条文、国家标准文本与公开的属地备案指引整理，不含任何产品推广，也不构成法律意见。文中涉及的量化值凡标注"实践口径"的，均非全国统一硬标准，具体以属地网信部门答复为准。

0 先说结论

大模型备案要交六份核心材料：备案表、安全评估报告、语料标注规则、拦截关键词列表、评估测试题集、模型服务协议。

多数团队把语料标注规则排在最后写，理由是"这份最虚，写个流程说明就行"。

这个判断值得纠正。它在六份材料里有一个别处没有的属性：

其余五份描述的是结果——你的模型是什么、你的服务长什么样、你的安全能力到什么程度。只有它描述的是过程——你是怎么把这些数据变成可训练语料的。

这个属性带来两个后果。

第一，它的核验方式不同。 模型可以测，服务可以打开看，编号可以去公告里查。而标注过程发生在一个封闭环境里，做过还是没做，外部看不见。所以这份材料的可信度不能靠"写得好"，只能靠"可执行"——它本身要具备让人相信它被真的执行过的特征。

第二，它是六份里唯一的"自我约束型"文件。 你在规则里每写一条要求，等于给自己立了一条义务。写"每条安全性标注数据至少经一名审核人员审核通过"，那审核记录就得拿得出来；写"境外语料占比不超过 30%"，那这个比例就要算得出来。

这引出一个和直觉相反的结论，也是全文的主线：

语料标注规则不是写得越全越好，是写得越准、越拿得出证据越好。规则里的每一条自律承诺，都会变成一个待证义务。

一份写了三十条、其中二十条拿不出记录支撑的规则，比一份只写了十五条、每条都有据可查的规则，风险高得多。

下面按这个判断展开。

1 它在六份材料里的位置

先看这张对照表，比直接讲要求更有用。

第三行是重点。它有两个特殊性。

特殊性一：它是唯一需要"自证执行"的材料。

其他材料都有一个外部的对照物。语料标注规则没有——审核看不到你的标注现场，只能通过规则本身判断三件事：这套规则是否可执行、是否有留痕设计、是否有验收标准。

所以它同时承担两个功能：既是工作依据，也是执行证据的设计图。

特殊性二：它是唯一会约束后续生产行为的材料。

安全评估报告写完就归档了。语料标注规则不是——它要发给标注团队照着干。一旦提交，它就成了一份对外承诺的操作标准。后面生产过程中偏离它，性质上属于"说的和做的不一致"。

这两点合起来，决定了它的写法：每一句话都要能落到一个可记录的动作上，每一个动作都要能落到一份留痕上。

2 法规给的其实是三个动作，不是一份文件

《生成式人工智能服务管理暂行办法》第八条的原文很短，但结构值得拆开看：

在生成式人工智能技术研发过程中进行数据标注的，提供者应当制定符合本办法要求的清晰、具体、可操作的标注规则；开展数据标注质量评估，抽样核验标注内容的准确性；对标注人员进行必要培训，提升尊法守法意识，监督指导标注人员规范开展标注工作。

这一句里有三个并列动作，对应三个不同的对象：

三个词值得单独拎出来：清晰、具体、可操作。

这不是修辞。三个词指向三个不同的失败模式：

• 不清晰——同一句话两个人理解不一样，标注结果必然分散；
• 不具体——只有原则没有示例，标注员遇到具体样本时无从下手；
• 不可操作——要求写得对但落不了地，比如"确保标注客观公正"，没有任何判定方法。

实践里最常出现的是第三种：通篇都是正确的话，但没有一句能指导下一个具体动作。

还有一个容易被忽略的位置：第十九条。它规定主管部门监督检查时，提供者应当按要求对训练数据来源、规模、类型、标注规则、算法机制机理等予以说明。标注规则被明确列入了可被要求说明的事项清单。

这意味着它不是交完就完的附件——它是一项随时可能被要求当面解释的内容。

3 标准落地后的四层框架

2025 年 4 月 25 日发布、11 月 1 日实施的 GB/T 45674—2025《网络安全技术 生成式人工智能数据标注安全规范》，把这套要求做成了工程化的框架。

这份标准实施至今刚满一年。它出现之前，标注规则基本靠各家的实践摸索，检查项不统一；出现之后，"什么算一份合格的规则"第一次有了共同标尺。

它针对四类安全问题——数据被窃取、数据泄露、数据投毒、生成含安全风险的内容——设了四层：

四层之间是递进关系，不是并列的四件事。平台是基础，规则是依据，人员是执行，核验是兜底。任何一层缺失，后面几层都失效——规则写得再好，人员没培训，执行就走样；人员再专业，平台没有日志，做完也证明不了。

这一节的意义在于：它把"语料标注规则"从一份孤立文档，变成了一个四层体系里的第二层。写这份材料时，必须同时考虑它在上下两层上的对应关系——上面的平台能不能留下记录，下面的人员能不能按它执行。

另一个配套标准是 GB/T 45652—2025（预训练和优化训练数据安全规范），管的是数据本身的安全；GB/T 45654—2025（服务安全基本要求）管的是服务整体的安全，它的附录里有语料相关的量化参照。

三份标准的引用关系很清晰：45674 管过程，45652 管原料，45654 管成品。

4 规则必须回答的十件事

GB/T 45674 第 6 章对标注规则提了十项要求。逐条读下来偏技术，我把它转成了十个问题——每个问题对应一个审核会追问的角度。

这十项里，第 2、7、8、10 是最常被漏的，也最值得单独说。

第 2 项：两套规则不是两个章节。 功能性标注和安全性标注的判断对象不同——前者判断"这个回答好不好"，后者判断"这个回答危不危险"。判断标准、示例、审核方式都不一样。合成一份的结果是两头都不够用。

第 7 项：安全风险的范围不限于显而易见的那几类。 常见的漏项是歧视性内容、侵犯他人合法权益（肖像、名誉、隐私、个人信息）、商业违法违规。这几类恰恰是模型最容易在看似正常的提问下踩到的。

第 8 项：拒答也是一门需要写清楚的技术。 "不予回答"和"给出规避风险的正向引导"是两回事。前者体验差且容易误伤，后者才是标准希望的效果。规则里如果不写清"拒绝时该说什么"，标注员只能凭感觉，结果就是同一类风险在不同批次标得完全不一样。

第 10 项：核验方法要能被执行，不能只是一句承诺。 "由项目负责人定期抽查"不是方法，是态度。"每批随机抽取不少于百分之多少，由未参与本批次的人员执行，记录审核人与审核时间"才是方法。

5 功能性标注与安全性标注：两套规则，四种边界

这两类的区别，用一句话能说清：

功能性标注教模型"怎么把事做对"，安全性标注教模型"什么不能做、遇到时怎么说"。

标准里对两者的要求是分开写的，值得对照着看：

有两处容易被忽略。

第一，功能性规则里也必须含安全风险识别。

很多人以为功能性和安全性是井水不犯河水：功能性数据只管答得对不对，安全性数据只管危不危险。但标准明确要求功能性标注规则也要包含安全风险的识别方法和参考示例。

原因不难理解：一对"提示—响应"样本，如果响应里含有风险内容，它作为功能性数据也是不合格的。一条教模型怎么写营销文案的样本，如果文案里含虚假宣传，它既不能当功能性正例，也不能当安全性正例——它只能用作物料里被标注出来的负例。

第二，安全性标注数据宜隔离存储。

这条建议的道理很直接：安全性标注数据的构成，本身就是一批高危内容——里面全是违规样本、攻击性提示、边界案例。它和普通训练数据混在一起，等于把风险样本扩散到了一个不需要它的环境里。

隔离不只是目录分开，还包括访问权限分开：不是所有标注员都需要接触全量安全样本。

6 规则里最缺的一类内容：边界情形与不一致处理

这一节是全文我认为最值得单独说的部分。

翻过一批标注规则之后会发现一个共性：它们都在描述"典型情形怎么标"，几乎没有描述"看不出来的时候怎么办"。

而标注的实际工作量，大部分不在典型情形上。

四类必须写进规则的边缘情形：

第一类：介于两类之间的样本。

一条内容既含有对某群体的刻板描述，又是在引用他人观点进行批评。它算歧视，还是算正当评论？规则里如果没有处理原则，不同标注员必然给出不同结果。

处理办法不是给一个标准答案，而是给一个判定顺序：先看内容是否在事实上主张该描述（而不是引述或反驳），再看是否有明确的批评语境，最后看是否存在更宽的解释空间使该内容可被接受。判定顺序比结论更有用，因为结论只能覆盖已经想到的案例。

第二类：多人标注结果不一致。

这是必然会发生的，不是异常。标准对这个问题给了明确的组织答案：设仲裁角色，由仲裁人员在多人结果不一致或存在争议时给出最终结果。

规则里要写清的是三件事：不一致到什么程度触发仲裁（是二对一，还是任何分歧）、仲裁人是谁（不能是当事人）、裁决结果怎么记录。

第三类：标注错了怎么回滚。

标准要求规则包含"不恰当或错误标注的识别方法及参考示例"，以及及时纠正的能力。这句话的工程含义是：标注结果必须可追溯、可撤销。

如果数据已经进入训练集才发现标错，处置就不只是"改一条标签"，而是评估这条数据对模型的影响。规则里应当写明这条链路——否则前面标错，后面只能认。

第四类：自动化标注与人工标注的边界。

现在不少团队用模型辅助预标注，人工只做修正。这在效率上合理，但规则里必须写清：哪些类型的标注允许自动预标、哪些必须全人工、自动预标的置信度低于多少必须转人工。

否则会出现一种很难解释的状态：一条安全性标注数据，实际上没有经过任何人的判断。

我把这四类归成一句话：规则的专业程度，不看它覆盖了多少典型情形，看它如何处理非典型情形。

典型情形谁都能想到，非典型情形才需要判断力——而判断力恰恰是不能外包给"标注员自己把握"的东西。

7 人员：四个角色不是四个岗位

标准区分了四个角色：标注执行人员、标注审核人员、标注仲裁人员、标注监督人员。

四个角色的职责边界很清楚：

这里有一处必须纠正的误解：四个角色不等于四个岗位。

标准说的是职责分离，不是编制要求。一家十人的团队不可能设四个专职岗位，但可以做到职责分离——同一个人可以在 A 任务里做执行、在 B 任务里做审核，只要不在同一个任务里同时承担两种职责。

真正的硬约束只有两条，而且都是不可协商的：

第一条：同一项标注任务中，标注执行人员和审核人员不应由同一人承担。

第二条：离岗人员、或因安全风险被取消资格的人员，必须同时撤销其标注平台和数据的访问权限。

第二条常被当成形式要求，实际是这套体系里最容易出事的环节。人员流动是常态，权限不收回，前面所有隔离设计都失效——一个已经离岗、且可能对被处理过的人，仍然能访问全量安全样本库。

培训与考核这块，标准列得比多数人以为的细。

培训内容至少覆盖六类：标注规则安全要求、平台或工具使用方法及安全要求、质量与安全性核验方法、标注数据安全管理、典型安全风险场景与案例、人员的遵纪守法意识。

考核内容覆盖五项：法律法规知识、标注规则理解能力、平台工具使用能力、安全风险判定能力、数据安全管理能力。

两个动作是强制的：考核过程要记录并留存文档；合格者给上岗资格，不合格者暂停或取消资格。 另外，定期、或在标注规则发生重大变化时，要组织重新培训考核。

这一条对写规则有直接影响：规则里如果没写培训与考核的安排，就没法回答"你的标注员怎么保证看得懂这份规则"。而这两件事是互为前提的——规则的可操作性，最终要由人员的理解能力来兑现。

8 核验：从抽样到整批作废

核验是这套体系的最后一层，也是最容易写成空话的一层。

标准给了三种核验方式，可以组合使用：

几个关键的量化口径（标准中以"宜"表述，属推荐性）：

• 安全性标注数据的比例宜不低于 3%（安全性标注条数 ÷ 数据集总条数）；
• 每种安全风险的安全性标注数据宜不少于 200 条，且覆盖 GB/T 45654 附录 A 所列的主要风险场景；
• 每条安全性标注数据应至少由一名审核人员审核通过；
• 未通过安全性核验的数据超过安全性标注总量 5% 时，该批次整批作废。

最后一条是这套体系里最锋利的设计。

它的作用不是处罚，是取消"局部修补"这个选项。如果允许逐条修正，那么一批数据里有 20% 不合格，也可以改到合格为止——结果就是"合格率"这个指标失去意义。而整批作废把成本直接压在批次上，逼着组织方把精力放到过程控制，而不是事后补救。

对功能性标注，标准给的是另一套处置：每批次人工抽检；内容不准确的重新标注；含违法不良信息的整批作废。 后一条同样锋利——一条含违法不良信息的样本，污染的不只是它自己，还有与它同批的数据分布。

核验记录要包含四类信息：核验人员、核验时间、核验结果、发现的问题与采取的措施。加上纠正环节的逐条记录——原始人员、纠正人员、原始内容、纠正后内容、时间。

这批记录是"自证执行"的核心证据。 前面的第 1 节说过，标注过程外部看不见，能看见的只有这些痕迹。所以核验记录的设计，实际上决定了这份材料能不能被验证。

9 每一条自律要求都是待证义务

回到主线。这一节把前面的内容转成一张可以直接用的对照表——写规则的时候，逐条问自己"这条我拿得出证据吗"。

这张表的用法很朴素：写一条，就往下填一格；填不出来的，要么补机制，要么改成能做到的表述。

两种处置都是正当的。做不到就写保守一点，比写了做不到要好——因为"写了做不到"会同时触发两个问题：材料与实际不符，以及对外承诺未履行。

这也是为什么第 0 节说"越准越好"。规则不是投标文件，不需要写满。

10 规则什么时候必须改

这份材料的有效期不是永久的，它的失效条件和产品侧的变化是联动的。

有两处经常被忽略。

第一处：规则改版本身要有记录。

版本号、修订日期、修订内容摘要、对应的重新培训——这四项缺一项，规则在执行层面就会出现"有人按旧版标、有人按新版标"的情况。而一旦出现这种情况，整批数据的一致性就无法解释。

第二处：规则修订与备案变更的关系要分清。

语料标注规则是备案材料的一部分。规则发生重大变化时，是否需要同步更新备案信息，取决于变化是否影响到了备案表或安全评估报告中的事实描述——比如数据来源、数据规模、风险清单发生了变化，就属于需要处理的情形。

这一条各地的把握不完全一致。稳妥的做法是：规则改版时同步评估"这次变化对外承诺的描述有没有变"，有变就走变更，没变就留内部记录。

11 常见写法问题

按出现频率排，六个。

一、把规则写成流程说明。

"第一步，标注员登录平台；第二步，接收任务；第三步，按标签体系标注……"——这是操作手册，不是规则。规则要回答的是判断标准：什么情况标成什么，为什么。

二、只有原则，没有示例。

"标注应保证客观性"这句话无法执行。改成"当样本涉及对某群体的描述时，若描述为事实陈述且无数据支撑，标为歧视性内容负例；若为引用他人观点的批评，标为正常样本并在备注中标明语境"——这才是规则。

三、质量指标写成"合格率达标"。

质量指标必须是可测的：抽检比例多少、判定不合格的标准是什么、合格率阈值是多少、超标怎么处置。三项缺一项，这个指标就无法验收。

四、正反例只给正例。

规则的说服力大半来自反例。只告诉标注员"这样标是对的"，不告诉他"这样标是错的、错在哪"，遇到近似样本时依然会错。

五、安全性规则只写"应拒绝"。

前面说过，拒绝的方式本身就是内容。不写清拒绝时该说什么，标注结果的风格会极其分散，模型学到的也会是分散的。

六、应急机制写成"发现问题及时上报"。

上报给谁、多长时间内、什么算"问题"、上报后谁处置、处置结果怎么记——五个要素都没有，这条等于没写。

12 提交前核验清单

按四层框架分组，共 26 项。建议在提交前逐项过一遍，并在每次规则改版后重跑一遍。

A 规则文本本身（9）

• [ ] 标注目标、数据格式、标注方法、质量指标四项齐全，无缺项
• [ ] 功能性标注与安全性标注是两套独立规则，不是一份里的两个章节
• [ ] 两套规则都覆盖了实施与审核两个环节
• [ ] 已按任务类型（文本／图片／音频／视频／三维／时序）说明差异，非单一模板
• [ ] 功能性规则含正反例，且能指导产出真实、准确、客观、多样的数据
• [ ] 功能性规则中已包含安全风险识别方法与示例
• [ ] 安全性规则覆盖主要风险场景，含歧视、侵权、商业违法等易漏类别
• [ ] 已写明涉及风险提示时如何给出正向引导性响应，含示例
• [ ] 已包含不正确标注的识别方法与示例，以及纠正流程

B 边界与不一致（5）

• [ ] 已写明介于两类之间样本的判定顺序，不只给结论
• [ ] 已写明多人结果不一致的触发条件、仲裁人与裁决记录方式
• [ ] 已写明标注错误的回滚路径，含已进入训练集情形的处置
• [ ] 已界定自动化预标的适用范围与转人工的置信度门槛
• [ ] 已写明"看不出来怎么办"的升级路径，而不是要求标注员自行判断

C 人员与平台（7）

• [ ] 四个角色（执行／审核／仲裁／监督）的职责已书面界定
• [ ] 明确同一任务中执行与审核不得为同一人，并有可核对的角色表
• [ ] 培训内容覆盖六类，考核内容覆盖五项，均有记录留存
• [ ] 已建立定期及规则重大变化后的重新培训考核机制
• [ ] 不合格人员的暂停或取消资格流程已写明
• [ ] 离岗及被取消资格人员的权限撤销流程已写明
• [ ] 标注平台的日志能力可支撑数据处理历史的回溯，保留策略已明确

D 核验与留痕（5）

• [ ] 三种核验方式的适用场景已界定，人工核验人员与被核批次独立
• [ ] 安全性标注比例、每类风险样本量的目标值已写明并说明依据
• [ ] 每条安全性标注经审核人员审核的要求有可执行的记录承载
• [ ] 批次不合格的处置规则已写明（重新标注／整批作废）及对应流程
• [ ] 核验记录四要素（人员、时间、结果、问题与措施）与纠正记录逐条可查

13 FAQ

问：语料全是采购或开源获得的，没有自己标注，还要写这份规则吗？

答：要看有没有"数据标注"这个动作。

如果完全不做标注、也不做清洗打标，规则本身可能不适用。但通常至少会有质量筛选和格式整理，那部分如果涉及判断——判定一条数据合不合规、能不能用——实质上仍属标注活动，建议一并写入规则并留痕。

实践口径上，各地对"没有自研语料是否仍需提交该附件"的要求不完全一致，建议直接问属地。

问：规则写多长合适？

答：篇幅不是标准，可执行性是。一份十页、每页都有判定标准和示例的规则，比三十页全是原则的规则更有用。判断方法很简单：把规则交给一个没参与过这个项目的人，让他标十条样本文，如果他不需要来问你，规则就够用。

问：让外包团队做标注，规则由谁制定？

答：制定责任在数据需求方或标注组织方，不能完全交给外包方自行决定。常见做法是自己定规则与验收标准，外包方按规则执行并接受核验。需要留意的是，核验人员与被核批次必须独立——如果用外包方的审核人员核验外包方的标注结果，职责分离这一条在实质上不成立。

问：标注规则要不要写进服务协议或隐私政策？

答：两回事。语料标注规则是提交给监管方的材料，服务协议和隐私政策是对用户的承诺。不需要把规则原文放进协议，但如果协议里提到了语料来源或数据处理方式，两处表述不能互相矛盾。

问：小团队只有两三个人，四个角色怎么落？

答：落的是职责，不是编制。可以一人多角，但同一任务内执行与审核必须分开。如果实在无法内部分离，一个务实做法是把审核环节外置——由第三方或另一个团队承担该批次的审核，并把这一安排写进规则。

问：规则定稿后，实际执行时发现某条不好用，能直接调整吗？

答：可以调整，但要留痕。建议的处置是：记录本次偏离的原因和范围、判断是否需要修订规则、如涉及对外承诺的描述变化则评估是否同步更新备案信息。最不该做的是"私下按新方法做、文件不动"——那样文件与实际脱节，而文件是唯一能被看到的东西。

14 结语

把全文收敛成一句：

语料标注规则不是一份说明书，是一份操作标准加一份验收标准；它要同时让标注员会用、让审核员能判、让监管方信。

这句话解释了它为什么难写。多数材料只需要对一个读者负责，这份要对三类读者负责，而且三类读者的需求是冲突的——标注员要简单明确，审核员要可判可查，监管方要看到体系完整。写规则的过程，本质是在这三者之间找一个平衡点。

如果只从这篇里拿走一个动作，我建议是这个：

把规则里每一条"应当"，逐条改写成"可以被检查的形式"。

"应当由专人审核"改成"每条安全性标注数据由审核人员在平台内签署审核结论，记录审核人与时间"。

"应当定期培训"改成"每季度一次，规则重大变化后 15 日内补充一次，培训与考核记录留存两年"。

改写完之后你会发现两件事：有些条款根本没法被检查（那就应该删掉或改写）；有些条款改写之后发现做不到（那就应该降低承诺）。

这两件事，正是这份材料真正要做的工作。

附：主要依据

• 《生成式人工智能服务管理暂行办法》第八条（标注规则、质量评估、人员培训）、第十九条（监督检查时的说明义务）
• GB/T 45674—2025《网络安全技术 生成式人工智能数据标注安全规范》（2025-04-25 发布，2025-11-01 实施）
• GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》
• GB/T 45652—2025《网络安全技术 生成式人工智能预训练和优化训练数据安全规范》
• GB/T 42755—2023《人工智能 面向机器学习的数据标注规程》
• 各地网信部门公开的备案材料要求与填报指引

注：GB/T 45674 中，安全性标注比例（3%）与每类风险样本量（200 条）以"宜"表述，属推荐性；而"每条安全性标注经审核人员审核"与"不合格超过 5% 整批作废"为硬性要求。GB/T 45654 的附录 A、B 为资料性附录。本文引用时已尽量保留其性质，具体项目请以正式文本与属地口径为准。