发改委要 AI 公司主动上报安全事件，这是义务吗？

还不是。国家发展改革委 11 月 3 日把「主动上报安全事件和漏洞信息」列进了 AI 安全治理的工作清单，但用的词是「推动」，没有配套的罚则、时限和定义。真正能让它变成义务的人工智能综合性立法，目前仍在起草。

这次表态的分量在于方向：上报原本是企业自行决定的事，现在进入了国家规划部门的治理议程。离开发者必须照办，还差一部法律或一份部门规章。

王若蒙列出的四项工作，哪一项落到企业头上

据北京日报报道，发改委创新和高技术发展司副司长王若蒙在当天的「十五五」系列发布会上讲了四方面工作：

• 健全规则体系：加快人工智能基础性综合性立法，建立覆盖全生命周期的安全标准和伦理准则，制度实施情况周期性评估；
• 优化监管环境：合理设置过渡期，建设面向不同领域的「监管沙盒」，健全申请、测试、使用、退出机制；
• 明确多方责任：推动开发者经营者及时披露安全风险，主动上报安全事件和漏洞信息；
• 应对社会影响：就业替代风险监测预警，模型训练师、数据标注员等新职业纳入国家职业分类体系。

新华财经的稿件记录了同样的立法表述。第一项与南都转述的国务院 5 月年度立法计划基本一致；第三项是这次直接对企业提出的要求，讲得最具体。

立法排到哪一步：人大连续三年列为预备审议

据南方都市报 5 月 11 日的对照，《国务院 2026 年度立法工作计划》写的是「加快推进人工智能健康发展综合性立法」，比 2025 年的「推进人工智能健康发展立法工作」更明确。

全国人大常委会同日公布的年度计划，则把人工智能健康发展的立法项目放在「预备审议项目」里。南都指出，2024 年和 2025 年的计划也是这样排的。预备审议的意思是有关方面抓紧调研起草，视情安排审议，没有承诺年内上会。

所以发改委说「加快」，指的是国务院一侧的起草进度。法律文本何时提交人大审议，这次发布会没有给出日期。

现有的上报规则管得到 AI 事故吗

有人会说，上报义务早就有了。国家网信办的《国家网络安全事件报告管理办法》2025 年 11 月 1 日起施行，提供网络服务的 AI 公司属于网络运营者，必须照章报告。

这个反驳对了一半。办法确有罚则，一般网络运营者遇到较大以上事件，最迟 4 小时内向省级网信部门报告，迟报、瞒报从重处罚。但它的分级门槛看的是系统和数据损害，例如：

级别	门槛举例
较大	泄露 100 万人以上个人信息，或直接损失 500 万元以上
重大	泄露 1000 万人以上个人信息，或直接损失 2000 万元以上

表里的条件都围绕宕机、泄露和金钱损失。模型被越狱后教人作恶、智能体越权操作、输出深度伪造内容，多数很难对上分级指南里的这些条件。

我们接受「AI 公司已受现有办法约束」这一点，不接受「新提法只是重申」。发改委点名的「漏洞信息」和「安全风险披露」，指向的是模型本身的问题，现有办法没有为它设定义和时限。这是分析推断，依据是办法第十二条对网络安全事件的定义只涵盖网络和信息系统受到的危害。

外界读成全面护栏，原文更像一张路线图

Bloomberg Law 的报道把这次表态描述为防范 AI 失控的最全面指引之一。按原文，王若蒙讲的是方向和工作重点，没有公布条文、生效日期或执行机关。

我们的判断是：在综合性立法或专门规章出台前，AI 开发者主动上报仍取决于企业意愿。如果接下来出现针对 AI 安全事件的分级标准、上报时限或罚则，无论来自立法还是网信办的部门规章，这个判断就要改写。