百宸观点 | 你的 Agent 到底受哪套规矩管？（上篇）

先说结论：三个问题，一条主线

一条主线：大模型合规管"说了什么"，Agent 合规还要管"做了什么"。 内容错了可以删，动作错了往往收不回来。

六个问题，先看看你中了几个

以下均为假设的教学场景，只用于说明典型问题。

1. "我们的 Agent 会自动给客户发跟进邮件。有一次把报价单发错对象，客户说从来没授权我们自动发，这算谁的？"

2."Agent 接了支付接口，能直接下单付款。权限我们写的是'完成采购任务'，没细到金额、供应商和品类。"

3. "用户在我们平台创建 Agent，发布到智能体广场，别人用他的 Agent 生成了侵权内容。平台管到什么程度？"

4. "我们给一家制造企业私有化部署 Agent，只在他们内网跑，用户就是客户自己的员工。这种情况要不要备案？"

5. "Agent 调了第三方 MCP 工具，工具返回的数据里带客户个人信息。出了事是工具方、我们、还是客户担责？"

6."我们做了个陪伴型 Agent，用户里有一部分是高中生。除了备案，还要做什么？"

如果你对任何一个问题的答案是"大致可控"，往下读。

误区一：Agent 只是工具，它做的事等于用户做的事

这句话一半对。工具定位没问题——现行民法把民事主体限定为自然人、法人和非法人组织，《民法典》第二条调整的正是这三类平等主体之间的人身关系和财产关系[2]。Agent 不在其中，它不能独立享有权利、承担义务，也不能自己当被告。

但"是工具"不等于"后果自动归用户"。责任要分层落。

第一层，合同对谁生效。Agent 自动下单，先看是谁在表达意思：使用者借自动信息系统直接下单，还是平台受托以使用者名义行为，还是平台以自己名义交易。《电子商务法》第四十八条明确，当事人使用自动信息系统订立或者履行合同的行为，对使用该系统的当事人发生法律效力[3]。这一条解决的是自动系统缔约的效力归属，代理问题仍要另行判断。

第二层，有没有授权外观。邮件签名、发件地址、话术、历史往来，都可能让相对人相信对方有权代表。表见代理还要看相对人是否不知情且无过失，举证责任另有分配规则[4]。单一的发件地址只是其中一项判断事实。

第三层，平台自己的义务。权限怎么设计、提示够不够、出事能不能中止和回溯——这些是平台自己的行为，不因为"指令是用户下的"就转移。

所以产品说明里那句"生成内容仅供参考、操作后果由用户承担"，作用是合同安排的一部分；最终责任仍按法律关系与实际行为判断。

误区二：内部用、私有化交付，就不用管备案了

这一点基本成立，但只解决"备案"这一件事。

《生成式人工智能服务管理暂行办法》第二条第三款把适用范围限定在"向境内公众提供生成式人工智能服务"。行业组织、企业、教育和科研机构、公共文化机构、有关专业机构等仅在内部研发、应用相关技术时，通常落入排除范围[5]。

判断"是不是面向公众"，看三个事实。

一是实际服务对象和开放方式。收费与否、部署在哪、用户是不是客户自己的员工、有没有合作伙伴和试用用户、账号边界在哪——都是判断事实。私有化合同要和真实使用范围对得上。定向企业服务采用多租户架构时，仍按对象是否特定、入口是否受控下结论。

二是开放入口的状态。开放注册、公网入口、应用商店分发，是很强的事实信号。同一套 Agent 服务多家企业，结论取决于客户是否预先特定、访问是否受控。

三是排除的只是这个办法的适用范围。等保、个人信息保护、数据安全、商业秘密、合同规则照常适用。内部 Agent 一样要做权限管理、记录管理和数据分级。

实践中常见的一种误判：客户说"我们只在内网用"，但产品留了一个公网试用入口给潜在客户体验。这个入口一旦存在，"内部"的结论就站不住了。

误区三：Agent 有新规了，照着文件做就行

2026 年确实出了 Agent 相关的文件，但它们的性质差别很大。混着用，结论往往落在两个极端——要么过度合规，要么根本没合规。

第一，《智能体规范应用与创新发展实施意见》是政策文件，不是规章。2026 年 5 月 8 日由网信办、发改委、工信部联合印发，把智能体定义为"具备自主感知、记忆、决策、交互与执行能力的智能系统"[6]。文件里最有实操价值的是三句话：厘清"仅限用户本人决策、需由用户授权决策、智能体自主决策"三种方式的边界和所需权限；确保用户对智能体自主决策享有知情权和最终决策权；智能体执行操作不得超出用户授权范围。这三句话足以支撑产品设计，但不能直接作为处罚依据。

第二，草案只是观察窗口。2026 年 7 月，《互联网信息服务管理办法（修订草案征求意见稿）》再次公开征求意见，拟设"智能信息服务"专节，把人工智能应用、算法推送、智能体服务与分发纳入监管[7]。截至本文写作时仍在草案阶段。它可以用来判断方向——监管注意力正从内容转向行为——但具体义务仍以现行规则为准。

第三，推荐性国标看场景。GB/T 45654 平时是参考；一旦被法规引用、写进合同，或被属地作为备案材料要求，就变成实际约束。强制性国标 GB 45438 则要在适用范围内执行，它是《标识办法》的技术落地方法之一[8]。

误区四：Agent 系统一律要过等保三级

"AI 产品一律三级"这句话流传很广，但它把定级这件事说反了。

等保定级看的是系统被破坏后的危害程度——对国家、社会秩序、公共利益，以及对公民、法人和其他组织合法权益的危害。产品叫什么名字、用不用大模型、用户有多少，都是判断事实，不是结论。

操作是四步：自主定级、备案、建设整改、等级测评。按照《信息安全等级保护管理办法》，第二级以上信息系统都应备案，第三级系统每年至少测评一次[9]。

行业另有专门要求的会叠加。比如用于互联网诊疗的省级监管平台和医疗机构平台，依法有第三级及以上的要求。用户规模、数据敏感性、行业属性都是定级时的事实，最终等级由法定定级要素决定。

所以对外表述要跟定级、备案、测评的结论和实际安全措施对得上。写"三级等保"很容易，扛不住问。

四类身份：先认领，再叠加

讲完误区，回到入口那个问题：你是谁。

Agent 的身份不是一个选项，而是几个维度叠起来的——对象与部署（内部、私有化、面向公众）是一个维度，功能（是否拟人化互动）是另一个维度，角色（自己提供服务，还是做分发平台）是第三个维度。

第四行值得单独说。《人工智能拟人化互动服务管理暂行办法》是五部门第 21 号令，2026 年 4 月 10 日公布、7 月 15 日施行，管的正是"模拟自然人人格特征、思维模式和沟通风格的持续性情感互动服务"[10]。它的第二条第三款把智能客服、知识问答、工作助手、学习教育、科学研究排除在外——这条排除为绝大多数任务型 Agent 划出了清晰边界。

判断看功能实质，不看产品名称。如果产品会主动召回用户、使用亲昵称谓、依据历史对话固化人格、靠签到和纪念日维持关系，被认定拟人化互动的可能性就很高。

还有两层义务容易漏。行业层：金融按证券投顾、基金投顾、支付、金融信息、新闻等具体业务分别适用资质和行为规则；医疗要分开看软件是否按医疗器械管理、机构和医师资质、具体诊疗行为。分发层：智能体广场、Agent 商店可能同时是服务提供者、内容传播服务提供者或应用分发平台，取决于它是否统一接入模型、控制对话界面、审核内容、托管运行[11]。

"由开发者负责"这句话，只能作为内部责任分配的一部分。

律师观察：两条正在形成的线

以下为笔者基于 2024—2026 年产业、司法与监管动态的个人观察，仅供参考。

第一，监管注意力正从内容转向行为。修订草案拟设的"智能信息服务"专节、实施意见提出的三种决策方式，指向的是同一件事：越权操作、授权控制、可追溯性。这三项现在更适合作为前瞻性风险控制，统一的处罚依据仍要回到现行法律规范。

第二，拟人化与任务型会继续分流。排除条款把智能客服、知识问答、工作助手、教育科研划在专项监管之外，资源会加速向企业级任务型 Agent 集中。做 C 端角色的团队需要接受一个现实：情感陪伴是受专门监管的赛道，要按专项规则设计产品。

Agent 的合规难点，从来不在"要不要备案"这一步。难在它同时是工具、是产品、是渠道，还是别人产品的运行场所——先把身份认领清楚，后面的手续才有意义。

作者介绍