基于GPT API开发的软硬件产品的合规风险分析

随着OpenAI提供的ChatGPT产品在国内爆火，目前国内很多企业都已开始研究基于ChatGPT引擎为用户提供AIGC内容。ChatGPT背后的运营公司OpenAI也非常贴心的提供了GPT-3.5、GPT-4等模型的API供开发者调用，笔者预计国内接下来会有很多基于GPT-3.5、GPT-4模型的产品在国内上线，这些产品可能是GPT智能音箱、GPT智能玩偶、GPT问答小程序、GPT写作助手（及其各类马甲）……。

GPT-4产品介绍：

概念介绍

概念	翻译	解释
Prompt	提示	指的是用户输入的信息
Completion	答复	指的是用户输入Prompt之后，模型反馈的答复结果
Token	词元	GPT采用Token作为运算的最小单元，我理解类似于英文的词根，例如hamburger被分解为ham、bur、ger三个Token，根据统计，输入的一段话中1 Token大约等于0.75 words
Model	模型	用于处理用户输入信息的模型，包括GPT-4，GPT-3.5等

GPT-4定价策略：

其中GPT-4提供了8K和32K的模型，其区别为8K模型输出的最大Token数量为8K，而32K模型的最大Token数量为32K，因此32K模型的定价会贵一点。从定价策略来看，GPT-4对于用户输入提示和答复输出均进行收费。对于一个简单对话，如果用户输入Prompt的是20个Token，得到的Completion是10个Token，则用户需要支付这30个Token的账单，开发者的支付成本为0.0012美元，因此预估1美元可以进行800次左右的简单对话。根据目前国内ChatGPT马甲的收费策略，类似10块钱/20次对话，GPT类产品还是具有比较高的盈利空间。

那么国内厂商提供基于OpenAI的GPT-4 API开发的软硬件产品（简称GPT类产品）是否存在合规风险呢？为了解答这个问题，笔者详细的阅读了GPT开发者文档以及相关的用户协议、隐私政策，并根据国内的相关法律法规做出如下分析。

一、OpenAI的政策问题：

OpenAI公司在官网上提供了很多的政策文件，包括用户协议、使用政策、隐私政策、插件政策……，如果国内公司需要使用GPT-4的API，核心可能需要关注使用政策和用户协议两块。具体的合规要点我已经总结为如下表格：

Open AI政策文件	链接	合规要点	不合规后果
使用政策Usage Policies	https://openai.com/policies/usage-policies	1、不能用于非法活动 2、不能用于有害儿童的内容 3、不能用于生成暴力内容 4、不能用来产生病毒软件 5、不能用于武器制造 6、不能用于赌博 7、不能用于抄袭等欺骗行为 8、不能用来生成成人内容 9、不能用来做政治竞选或游说 10、不能侵犯其他人的隐私 11、不能用于政府的高风险决策 12、在医疗、金融、法律领域，必须向用户提供免责声明，说明AI正在使用并且表明答复可能存在缺陷 13、不能用于模拟人工对话，必须向使用者说明对方是和AI在对话	如果OpenAI发现产品或使用不符合这些政策，可能会要求产品进行必要的更改。屡次或严重违规可能会导致进一步的行动，包括暂停或终止帐户。
用户协议Terms of use	https://openai.com/policies	1、不能用于侵犯其他人的权利 2、不能用于反向工程 3、不能用于开发和OpenAI竞争的模型 4、不能使用自动程序从GPT进行数据抓取 5、不能表示是服务所生成的内容由人类生成 6、在没有OpenAI的同意下，不能转卖API Keys 7、只能在OpenAI开放服务的地方使用（https://platform.openai.com/docs/supported-countries） 8、未经同意，不能使用OpenAI的Logo和商标	停止相关服务或在美国加州法院诉讼

二、国内监管问题：

1、ICP证照合规：GPT-4提供服务为根据用户输入的内容提供对应的答复信息，明显属于增值电信业务的范畴，如果想进入中国市场，则需要办理增值电信业务许可证（ICP证），如果未办理ICP证可能属于非法经营。根据《互联网信息服务管理办法》，对于未取得ICP许可证而非法经营，可以处罚违法所得的3-5倍的罚款并责令关闭网站。

2、内容监管合规：中国大陆对于互联网信息的管理是非常严格的，而GPT-4作为美国公司训练的模型，其产品并不受中国大陆的法律法规的限制，因此其输出的结果可能不符合中国大陆法律对于互联网信息的管理要求，例如目前国内已经有针对AI生成内容的管理规定《互联网信息服务深度合成管理规定》。因此在GPT类产品上，建议进行一定的关键词过滤，以规范GPT-4模型输出的结果。

3、网络安全合规：众所周知，Open AI目前是不在中国境内提供服务的。如果在国内需要提供GPT的服务，一般需要购买境外的服务器，然后将服务部署在境外服务器上，并通过境外服务器发送请求给GPT服务器，网络结构如下图所示。

根据《中华人民共和国计算机信息网络国际联网管理暂行规定》以及实施办法的规定，“我国境内的计算机信息网络直接进行国际联网，必须使用邮电部国家公用电信网提供的国际出入口信道；任何单位、个人不得自行建立或使用其他信道进行国际联网”。通过境外服务器对GPT-4的服务进行转接，是否符合国内的相关规定，可能存在一定的争议。一种说法是境外服务器的购买和设立都是通过合法渠道，且从中国服务器到境外服务器的连接时使用合法的信道进行，而境外服务器和GPT服务器的连接属于B2B的商业行为，不存在违法行为。另一种说法是，境外服务器的转发模式也属于自行建立信道进行国际联网，也属于违法行为。

4、数据出境合规：如果用户输入GPT类产品的Prompt中带有个人信息或其他敏感信息，而运营GPT类产品的企业将该敏感信息直接转发到GPT服务器，可能会涉及到数据出境的问题。根据《数据出境安全评估办法》的规定，可能需要向国家网信部门申报数据出境安全评估。因此，如果相关产品实际上不涉及处理敏感信息，建议在输入框明确提示用户不要输入个人信息等敏感信息。

三、知识产权问题：

根据OpenAI的用户协议（https://openai.com/policies/terms-of-use）第3条（Content），用户对于输入的Input享有所有权，且OpenAI将服务输出的Output的所有权及利益转让给用户，并要求用户对Input和Output的内容承担法律责任。因为GPT类产品是通过大模型对于已有的语料进行训练，输出的内容可能会和互联网上享有著作权的语料有一定的相似，如果在国内提供GPT类产品，可能会被第三方主张知识产权侵权。

四、总结和建议：

基于上述分析，目前GPT类产品可能存在OpenAI政策合规、国内监管合规、知识产权合规三大块问题。如果企业确有必要提供GPT类型的产品，提供以下三点合规建议：

1、考虑到内容输出的风险，建议企业明确表明该内容由AI生成，并提醒用户AI生成的内容可能存在瑕疵；

2、由于OpenAI在用户协议里面明确了不能在非服务开放的地点使用，虽然通过境外服务器进行内容转发，仍需要关注OpenAI的封号风险；

3、在初期可采用试运营方式上线并随时关注监管的动态以调整运营策略，有条件的公司时也可以和监管机构保持良性沟通，为监管机构后续的管理规范提供一些案例和建议。