交通运输部《交通运输数据安全管理办法》落地：行业首部数据安全专项规章确立"核心—重要—一般"三级分类，日志最长留存3年并前置AI语料评估

办法确立"核心数据—重要数据—一般数据"三级分类框架，其中一般数据再细分为一般3级、一般2级、一般1级，并规定数据内容、规模、时效性、应用场景或加工方式变化导致原级别不再适用时，数据处理者应及时变更级别，涉及重要数据和核心数据的须在30日内报告。存储环节要求存储重要数据的系统至少满足网络安全等级保护第三级，存储核心数据的至少满足第四级或关键信息基础设施安全保护要求，使用云计算服务存储重要数据的须选择通过安全评估的云服务。

日志与留痕是本办法最具操作性的抓手：网络日志留存不少于6个月；政务应用系统访问、数据库操作以及重要数据安全事件相关日志不少于1年；核心数据安全事件日志，以及向他人提供、委托处理、共同处理个人信息和重要数据的处理情况记录，留存不少于3年。风险评估方面，重要数据、核心数据处理者和1000万人以上个人信息处理者应当每年开展一次并报送报告，一般数据处理者鼓励至少每3年一次，评估报告须至少保存3年并可作为监管检查依据。

针对人工智能，办法第二十一条要求数据处理者在模型算法投入使用前，评估语料库、训练数据及算法的合理性、正当性、可解释性，以及数据利用对相关主体合法权益的影响、伦理风险和防控措施有效性；提供生成式人工智能服务的，应加强训练数据和训练数据处理活动安全管理，强化数据标注质量评估。该条款把AI语料与标注质量纳入行业数据安全监管，在国内行业规章中较为少见。

在共享与委托环节，办法强调数据安全责任不因委托而改变，未经委托方同意，数据接收方不得向他人提供数据，不得加工、训练、挪用数据，不得开展数据关联分析；委托处理重要数据和核心数据的还须核实或评估接收方能力与资质。跨境方面要求遵守国家数据跨境管理规定，不得采取数据拆分等手段规避义务。此外，风险评估、等级测评、关键信息基础设施安全检查、商用密码应用安全性评估中涉及数据安全内容重合的，结果可以互相采信，以减轻企业重复合规负担。