数字虚拟人合规解读（上）：定义、主体与身份生成

原创

季润节
季润节

赛博研究院

2026年6月26日 13:33
上海

在小说阅读器读本章

去阅读

提示：本文为系列解读上篇，聚焦数字虚拟人的法律定义、主体框架与身份生成阶段合规要求。运营管理阶段合规要求与各主体合规Checklist详见下篇。

当虚拟主播的声音、面容都几乎与真人无异时，屏幕前的观众往往难以分辨真假。从“复活”已故明星到一键生成数字人，AI正在批量制造具有外貌、声音乃至交互能力的“数字替身”，风险也随之从“信息被获取”升级为“身份被模拟”。

2026年4月3日，国家网信办发布了《数字虚拟人信息服务管理办法（征求意见稿）》（下称“《办法》”），面向社会公开征求意见。这意味着中国AI治理正从通用原则转向针对具体风险形态的分类规制。本文从数据合规视角切入，梳理数字虚拟人产业链各主体的合规义务与风险边界。

一、界定边界：数字虚拟人的法律定义与场景分层****

1.1法律定义与核心要素

《数字虚拟人信息服务管理办法（征求意见稿）》第25条将数字虚拟人定义为：

存在于非物理世界，利用图形学、数字图像处理或者人工智能等技术，借助真人驱动或者计算驱动，模拟人类外貌，具备声音、行为、交互能力或者性格等特征的虚拟数字形象。

在实务中，我们可以从两个维度对其进行拆解，以精准识别合规风险：

维度一：两种驱动方式，决定数据合规的核心焦点

按照驱动方式，条文将数字虚拟人分为真人驱动型数字虚拟人与计算驱动型数字虚拟人，两者虽同属数字虚拟人，但数据来源、运行逻辑和合规风险截然不同：

换言之，真人驱动型更像“真人戴着数字面具工作”，计算驱动型则更接近“算法创造出的数字替身”。

两种模式最大的区别在于数据使用方式不同：真人驱动主要依赖实时输入的数据，而计算驱动则更多依赖训练和建模阶段的数据处理，因此后者往往涉及更复杂的数据授权和来源合法性问题。

维度二：交互能力是“可选特征”，而非必备门槛

条文中“具备声音、行为、交互能力或者性格等特征”的表述表明，交互能力并非数字虚拟人的必要条件。一段一次性生成、不可再调用的单向口播视频、单向触发的迎宾/讲解数字人、AI合成新闻主播，只要模拟了人类外貌并具备声音、行为、交互能力或性格等拟人化特征中的至少一项，即落入本《办法》的规制范围。需要注意的是，条文提到面向公众提供服务的数字虚拟人适用本办法，这意味着企业内部使用数字虚拟人的场景，一般不落入《办法》规制范围。

1.2 数字虚拟人的四步生命周期与差异化风险

明确了法律定义与驱动方式分类后，要精准识别并管控风险，需穿透业务表象，审视其背后的数据流转路径。

数字虚拟人的诞生与运行通常遵循一个通用的四步生命周期：数据采集（输入端）→ 建模与身份构建（处理端）→ 内容生成与运营（输出端）→ 撤回与注销（退出端）。在这四个基础环节中，“驱动方式”（真人驱动 vs 计算驱动） 与 “交互能力”（强交互 vs 非交互） 的差异，影响着数据在哪个环节产生何种特定的合规痛点。以下拆解这一通用流程及关键的差异化风险：

1.3数字虚拟人专门监管必要性

与传统的生成式AI（主要处理文本或图像信息）不同，数字虚拟人处理的是 “人的身份”。当AI开始复制一个人的外貌、声音乃至行为特征时，风险便发生了质变：

• 数字身份的迷惑性：形神兼备的虚拟人极易导致用户认知失调，为虚假宣传和诈骗提供温床。

• 人格变现的伦理性：原型自然人的人格特征被转化为可无限复制的数字资产，甚至挑战“逝者复活”的生死边界。

• 责任链条的复杂性：从底层模型、生成平台到最终使用的企业（如MCN、银行），环节众多，极易产生责任真空。

正因如此，《办法》的监管逻辑从单一的“内容治理”，升级为围绕“数字身份”的生成、使用和传播建立全链条治理框架。

1.4数字虚拟人业务形态与合规痛点总览

前述驱动方式与交互能力着眼技术特征，本节业务形态着眼应用场景，二者交叉适用。

上述分类按照业务形态与用户交互方式划分。不同业务形态的数字虚拟人，数据流转路径、用户影响程度和合规义务密度存在显著差异。

例如，非交互型数字虚拟人（如预录制口播视频）虽不涉及实时交互，但仍需履行敏感个人信息单独同意和全程标识义务。交互型数字虚拟人（如AI客服、虚拟陪伴）则需额外承担实时内容监测、用户行为数据保护以及未成年人保护等更严格的义务。

值得注意的是，数字虚拟人并非单一的数据产品，而是典型的复合监管产品。无论哪种业务形态，都可能同时涉及个人信息保护、人格权保护、内容治理以及行业专属监管等多重规则。而数字医生、数字投顾等应用于高敏行业的数字虚拟人，除需满足《办法》的一般要求外，还必须符合医疗、金融等行业的特殊监管规定。数字虚拟人的合规治理并非单纯的数据合规问题，需要从全生命周期视角出发进行分析。

而这一全生命周期视角下的合规义务，最终都必须落实到具体的责任主体身上。此次《办法》对数字虚拟人产业链上的四类主体进行了分层赋责。下文将围绕产业链中的主要参与主体，剖析在不同业务形态下，各方应承担怎样的数据合规风险与治理义务。

*二、数字虚拟人产业链的主体与角色定位*

2.1数字虚拟人监管对象

此次《办法》对数字虚拟人产业链上的四类主体进行分别定义、分层赋责，将技术支持者、服务提供者、服务使用者和传播平台分别纳入监管框架，明确了全链条主体责任。

数字虚拟人运行产业链示意图

数字虚拟人产业链主体角色对照表

2.2《征求意见稿》的重要变化：服务使用者成为独立责任主体

本次《征求意见稿》的一个重要变化，是突破了以往“平台中心”的治理逻辑和“技术中立”的责任豁免迷思，将数字虚拟人服务使用者明确纳入监管框架。至此，技术支持者、服务提供者、服务使用者和传播平台共同构成完整的责任链条，覆盖数字虚拟人全生命周期。对于采购和使用数字虚拟人服务的企业而言，这意味着其不再只是技术服务的接受者，而是数字虚拟人合规责任的重要承担主体。

*三、数字虚拟人全生命周期合规框架：数据采集与身份生成*

3.1 数据收集与授权：从“获取同意”到“证明同意”

无论是计算驱动型的“批量素材采集与清洗”，还是真人驱动型的“持续实时采集”，输入端都是合规风险的源头。当数字虚拟人的生成门槛降低到一张照片即可生成数字分身时，合规实践正在从单纯获取同意延伸至建立可验证的授权机制，即通过身份核验、授权留痕等措施证明授权的真实性和有效性。

（1）敏感个人信息处理的授权要求

《办法》第7条规定，使用自然人敏感个人信息用于建模、形象生成、场景构建等活动的，应当取得自然人的单独同意，并以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、必要性、对个人权益的影响等事项。

数字虚拟人生成过程中，平台通常需要利用照片、视频、语音等素材提取自然人的面部特征、声音特征或动作特征，用以构建能够持续复现该自然人形象和声音的数字身份。这些信息往往涉及人脸、声纹等生物特征信息，不能通过用户协议或隐私政策进行一揽子授权，而应满足敏感个人信息处理的单独同意要求。对于未满十四周岁的未成年人，还应取得监护人的单独同意。

差异化提示：

• 计算驱动型：授权通常发生在建模前的一次性环节，但需特别注意授权范围的明确性（如是否允许商业化使用、是否允许二次训练等）。
• 真人驱动型：由于涉及持续采集生物特征，初始授权能否覆盖运营全周期需明确约定；另须关注真人驱动方隐私保护及劳动权益。

（2）数据来源合法性要求

《办法》第14条进一步要求，数字虚拟人服务提供者和服务使用者应当依照法律、行政法规规定，使用具有合法来源的数据开展相关活动。

即，第7条解决的是“是否同意”的问题，第14条解决的是“数据来源是否合法”的问题。即使获得上传者授权，若数据来自非法爬取、违规抓取、未经许可购买等渠道，仍可能违反第14条。对于计算驱动型数字虚拟人，该要求需按需穿透审查：若服务提供者或服务使用者直接参与底层模型训练或微调，须同时审查训练数据的合法来源与授权链条；若仅调用接口或上传素材，则重点审查业务端输入与生成数据的合法性，底层训练数据的合规责任由接口提供方承担。

（3）从声明授权走向可验证授权

需要注意的是，数字虚拟人治理的难点并不在于“是否存在授权规则”，而在于如何确认上传者真正获得了相关主体的授权。以“上传照片即可生成口播数字人”为例，平台通常只能看到用户上传的照片、视频或声音素材，却难以判断上传者是否为本人，或是否已经取得相关授权。在此背景下，数字虚拟人治理正在从“获得授权”逐步走向“证明授权”。

目前，部分国际数字虚拟人平台已经开始探索可验证授权机制。例如，Synthesia在创建个人数字人时，除要求用户提交照片、视频或音频素材外，还要求额外提交一段验证录制视频（Verification Recording），并通过比对两者中的面部特征、声纹特征等信息，确认上传素材与验证主体属于同一人，从而降低冒用他人身份生成数字虚拟人的风险。

虽然《办法》目前并未要求必须采用此类身份核验机制，但从风险防控角度看，平台仍可通过人脸识别身份验证、授权确认书、授权台账以及授权撤回和注销机制等措施，建立可验证、可追溯的授权链条。需要注意的是，人脸识别、录制验证视频等机制本身同样构成个人信息处理活动，平台应遵循最小必要原则，将相关数据仅用于身份核验和授权确认，并合理设置保存期限，避免进一步用于模型训练或其他无关用途。

Synthesia 通过verification recording获得“证明同意”

3.2建模与身份构建：从数据处理到数字身份生成

与传统数据处理活动不同，数字虚拟人的建模过程不仅涉及个人信息处理，还会进一步形成具有特定外貌、声音甚至行为特征的数字身份。因此，在完成数据收集后，合规审查并未结束，还需要进一步关注数字身份生成和使用的边界。

（1）从个人信息到数字身份：第7条与第8条的双重保护

《办法》第7条重点规范建模过程中对自然人敏感个人信息的处理，要求取得单独同意；第8条则进一步规定，未经特定自然人同意，不得提供足以识别特定自然人身份的数字虚拟人服务。

两条规定关注的重点并不完全相同。第7条主要解决“如何生成”的问题，即是否可以使用相关人脸、声纹等敏感个人信息开展建模活动；第8条则关注“生成谁”的问题，即最终形成的数字身份是否足以识别特定自然人，是否侵害相关人格权益。

因此，实践中须对两者进行独立审查：取得人脸、声纹等素材的处理授权，不等于获得了数字身份的使用授权，必须确保授权范围明确覆盖后续的所有使用场景。

（2）数字身份生成的合规边界

从实务角度看，不同建模场景面临的风险并不相同：

• 使用真人照片、视频或声音生成本人数字分身的，同时涉及第7条和第8条，是监管重点关注的场景；
• 使用真人素材生成无法识别到特定自然人的虚构形象，通常主要涉及第7条关于个人信息处理的要求；
• 即使输入端未直接使用特定自然人的素材（如仅使用文字描述或他人素材），只要生成结果足以识别该特定自然人，第8条仍被独立触发。需注意的是，若输入端使用了任何真实自然人的面部或声纹数据，无论最终生成结果为何，输入端均已触发第7条。

由此，数字虚拟人的合规判断不能仅停留在“是否获得素材授权”，还需要结合最终生成结果是否能够识别到特定自然人进行综合判断。

在建模阶段，服务提供者应当提前明确数字虚拟人的身份类型，并对生成结果开展可识别性评估，避免出现“授权的是数据，生成的却是可识别数字身份”的情况。

（3）多主体协作下的数据流转

实践中，数字虚拟人的身份构建往往并非由单一主体完成，而是涉及服务使用者、服务提供者和技术支持者之间的数据流转与协作。《办法》第16条要求服务提供者与技术支持者、服务使用者签订服务协议，明确数据收集、使用、存储等权利义务。对于涉及个人信息共享、委托处理等场景的，还应遵守《个人信息保护法》相关要求。与此同时，第14条要求相关主体落实数据安全保护责任，防止数据在流转过程中泄露或被不当使用。

至此，从数据素材到数字身份的构建过程已完成，但生成数字虚拟人并非终点，而是常态化合规管理的起点。下篇将聚焦运营与退出阶段的持续合规义务，并为各主体分别提供合规Checklist与实操建议，敬请关注。

文章作者：赛博研究院助理研究员 季润节

关于赛博研究院

上海赛博网络安全产业创新研究院（简称赛博研究院），是上海市级民办非企业机构，成立至今，赛博研究院秉持战略、管理和技术的综合服务模式、致力于成为面向数字经济时代的战略科技智库、服务数据要素市场的专业咨询机构和汇聚数智安全技术的协同创新平台。

赛博研究院立足上海服务全国，是包括上海市委网信办、上海市通管局、上海市经信委、上海市数据局等单位的专业支撑机构，同时承担上海人工智能产业安全专家委员会秘书长单位、上海“浦江护航”数据安全工作委员会秘书长单位、上海数据安全协同创新实验室发起单位等重要功能，并组织“浦江护航”数据安全上海论坛、世界人工智能大会安全高端对话等一系列重要专业会议。

欢迎联络咨询：

邮件：[email protected]；

电话：021-61432693。