本文来自微信公众号： Internet Law Review ，作者：张颖
2026年8月7日，国家网信办发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称“征求意见稿”），将前期两份分别征求意见的“监督委员会规定”和“个人信息保护规定”整合完善，形成统一文本，意见反馈截止时间为2026年9月7日。
如果只做条文释义，我们只会注意到：处理1000万人以上自然人个人信息者需申报认定；自动化决策推送须设置个性化推荐关闭选项；应当采取加密、去标识化、访问控制等措施保障安全等细节问题。
但这些解读遗漏了最关键的问题：这部规定究竟“新”在哪里？它与过去的法律法规有哪些细微但决定性的区别？
要回答这些问题，需要把这部规定放回一个更大的全球图景中去审视。过去一年间，全球AI治理正经历一场深刻的合法性危机：前沿AI企业试图通过“企业自我宪章”约束自身行为，但这种自我立宪在商业与地缘政治压力面前节节败退。当Anthropic的Claude宪章在五角大楼的合同面前沦为“可协商的软性提议”，当谷歌悄然删除AI原则中的反武器条款并因此引发核心人才出走潮，一个根本性的问题浮出水面——AI模型的价值观治理，能否建立在企业自我承诺的沙丘之上？
正是在这一背景下，中国这部新规的出现，给出了一种截然不同的制度回答。它的“新”，体现在三个层面。
一、谁被纳入监管：从“平台守门人”到“个人信息处理者”
2021年《个人信息保护法》第58条首次引入了中国版的“守门人条款”，要求“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”履行特别义务。但这一条款的三个认定标准——重要、巨大、复杂——都是高度抽象的弹性概念，缺乏可操作的量化阈值。
2025年11月，国家网信办发布《大型网络平台个人信息保护规定（征求意见稿）》，第一次给出了明确的认定标准：注册用户5000万以上或者月活跃用户1000万以上。但这一标准仍以“平台”为核心——它规制的对象是互联网平台业态，而AI公司、智能终端厂商、车联网企业等非平台型但处理海量个人信息的主体，是否纳入，并不清晰。
2026年8月的征求意见稿完成了一次关键的范式跃迁。它将主体从“大型网络平台”扩展为“大型个人信息处理者”，认定条件随之调整为：
处理1000万人以上自然人个人信息；
提供涉及个人信息处理的重要网络服务，或者经营范围涵盖多种业务且涉及个人信息处理；
个人信息处理活动对国家安全、经济运行、社会稳定、公共健康和安全等具有重要影响。
这个转变的深层意义在于：认定标准从“用户规模”转向“个人信息处理规模”，意味着只要处理个人信息达到一定规模，无论是否是平台、无论是否有海量用户，都被纳入监管视野。AI模型训练者、智能终端厂商、车联网企业——这些在传统“平台”概念之外的AI时代关键主体，从此有了明确的法律锚点。
二、有效的制衡机制：从“否决权”到“准监管节点”
2025年11月的《大型网络平台个人信息保护规定（征求意见稿）》曾做出一个大胆的制度设计：第五条明确规定，个人信息保护负责人“参与大型网络平台个人信息处理事项相关决策，并对个人信息处理事项具有否决权”。专家解读将其概括为“赋予负责人实质性的决策权与监督权”。
然而，在2026年8月的整合版本中，“否决权”三个字从条文中消失了。取而代之的是一套新的机制组合：
负责人必须由管理层成员担任
对可能对个人权益造成安全风险的处理意见，可以直接向省级以上网信部门报告
明确个人信息保护工作机构，在负责人领导下开展工作
通过合规审计制度，由内部审计或委托专业机构开展审计
第十条要求以“结构化清单形式”逐项列明收集目的、方式、种类、调用权限、SDK详情、接收方信息等
为什么“否决权”被放弃了？
否决权在纸面上看起来很强大，但在公司治理现实中存在结构性困境。让一个拿公司薪水、受公司考核的高管去“否决”公司的经营决策，在制度设计上是自相矛盾的——他既是运动员，又被要求当裁判。
更棘手的是，否决权还可能带来反向风险。如果法律赋予这个个人否决权，他就成了决策链条上的关键环节；一旦出问题，他就是首个被追究刑责和行政处罚的自然人。这让“否决权”从一个“护身符”变成了一个“责任陷阱”。
谷歌在8月5日发生的AI领导层“大洗牌”案例从反面印证了这一困境。当五角大楼协议签署时，DeepMind安全研究科学家Alex Turner撰写了25页的《军事AI红线与监督框架》提交至高层，但“未获实质性评估反馈”；他最终只能选择辞职，并在辞职信中写道：“当谷歌签署这份协议时，我的良知只是告诉我：不行。”在谷歌的组织架构中，Turner不是没有“道德权威”，但他没有法定的否决权，更没有触发外部监管的通道——他唯一的选项是离开。
也因此，新的“征求意见稿”将“个人对抗”的思路，替换成“治理闭环”的设计，这比单纯的否决权更可执行。否决权是“事前对抗”——指望一个人在决策会议上拍桌子；新机制是“事前+事中+事后”的全链条制衡——任职层级保证他在场，直接报告权保证他能触发外部监管，工作机构和审计保证日常执行，透明度硬编码保证外部可审计。
这个转向也意味着，中国监管者意识到了单点否决权在公司治理中的不可执行性。当谷歌的Turner发现限制条款“全是空洞的愿望”却只能辞职时，而中国方案下的负责人可以直接按下上报按钮，让监管力量介入。
三、为何规则中要用”鼓励”——从“硬法穷尽”到“能力激励”
新规中特别值得注意的是，是两个”鼓励”条款：
鼓励使用数据标签标识技术、通过个人信息保护认证等；
鼓励开展个人信息保护相关技术、产品、服务创新，积极参与个人信息保护相关国际标准和规则制定，推动与其他国家、地区之间的规则、标准协调互认。
“鼓励”二字在学理上可称为“鼓励型授权规范”或倡导性规范，在“征求意见稿”中承载着三层具体的治理功能：
第一，技术迭代的方向指引。AI时代个人信息保护的技术路径日新月异，硬法无法预见所有技术方向，所以用”鼓励”为处理者指明国家认可的技术演进方向，让处理者在合规投入时有章可循。
第二，国际规则博弈的主体动员。第六条的“鼓励……积极参与国际标准和规则制定”——这是把个保法第十二条“国家参与国际规则制定”的义务，下沉到关键主体层面的动员。国家层面参与是义务，大型处理者层面参与是”鼓励”——因为处理者掌握着一线技术实践和数据场景，他们是事实上参与国际标准制定的最佳载体。
第三，合规竞争的新赛道宣告。”鼓励”实质上在宣告：个人信息保护合规已经从“满足底线”进入“能力竞争”阶段。谁能把个人信息保护的技术创新做成标准，谁就掌握了规则话语权。
新规的硬约束从未缺席，但”鼓励”二字的出现，是在硬底线之上，为大型处理者指明一条从“合规”走向“竞争力”的进阶路径。
四、尾声：重识个人信息保护的时代意义
将目光从“征求意见稿”的文本细节抬起，投向更广阔的全球图景，一个更深层的命题浮现出来：个人信息保护，不是一项孤立的法律议题，它是数字治理这一宏大命题的缩影；而数字治理，正面临着一个近乎宿命的困境——法律永远追赶不上技术进步，且差距正在加速扩大。
这个困境在美国的实践中得到了最为充分的展现。近年来，美国监管机构对AI科技企业的态度呈现出一种耐人寻味想现象：AI治理的实质责任被默认地交还给了企业内部——由工程师设定原则，由产品线执行原则，由管理层平衡商业利益与伦理承诺。谷歌在近期公布的领导层大改组背后，不过是这一体制性困境的集中爆发：当美国政府的合同摆在面前时，企业自我宪章被悄然改写，内部道德权威在法律上毫无否决权，最终以核心人才的出走和千亿市值的蒸发收场。OpenAI、xAI等头部AI供应商也几乎全部都违背了当初为自己设立的“红线”，唯独Anthropic拒绝签署。
更深层的法理缺陷在于，前沿AI企业的“自我宪章”本质上是一种“立宪风格”而非“立宪实质”。这种自我认证式的治理，在缺乏外部监管或民意监督的正常立宪框架下，注定无法承受商业与地缘政治的真实压力。单纯依赖公司内部治理的数字治理模式，几乎已经走到了它的极限。
中国的AI产业同样面临着技术快速迭代与监管滞后之间的张力，《大型个人信息处理者个人信息保护规定（征求意见稿）》也尚处于征求意见阶段，其最终效果有待实践检验。但它的确在某些关键点上，尝试修正单纯依赖公司内部治理的固有缺陷。这套“外部监管+硬性规定+创新鼓励”的组合，与单纯依赖企业自我立宪的模式形成了鲜明对照——它不试图用一部法律穷尽所有技术细节，也不将治理的全部希望寄托于企业的道德自觉，而是在底线约束与能力激励之间寻找一种动态平衡。
这种平衡未至少提供了一种思路：通过识别关键节点、嵌入制衡机制、引导创新方向，让法律规则不再是追赶者，而成为轨道本身。