Token 业务的监管要求及合规风险

然而，喧嚣之下，不少从业者对 Token 业务的监管政策仍然缺乏系统性认知。单纯知道业务较为敏感，在合规风险落地时，可能会缺少体系化的处置应对机制，本文将系统性梳理token业务的业态以及对应的监管体系，帮助从业者更好的应对潜在的风险，减少业务停摆的可能。

01.

业态梳理：Token 业务到底在做什么

要谈监管，首先需要厘清 Token 业务的实际形态。目前市场上主流的 Token 业务，大致可以分为四类。

一是数字商品交易平台模式。经营者搭建平台，向用户出售各类数字 Token，用户可用于解锁平台内的 AI 模型调用权益、内容生成服务或其他增值功能。这是目前最常见的商业模式，也是监管关注最密切的领域。

二是 API 分发与转售模式。经营者从上游供应商处批量采购 Token 或模型调用额度，再以零售或批发的方式向第三方转售，从中赚取差价。这一模式在 B 端服务中尤为普遍。

三是本地化部署与定制服务。经营者将大模型部署在用户侧或特定场景中，提供定制化的 Token 调用解决方案，并按调用量或服务期限收费。

四是境外 Token 的分销代理。经营者直接或间接引入境外生成的 Token，在境内进行分发、销售或提供调用接口。此类业务涉及跨境数据流动与外汇管制问题，合规风险尤为突出。

上述四类模式，其核心本质均属于以互联网为载体、以信息内容或服务为标的的经营活动。这一定性，决定了监管的归属。

02.

监管归属：Token 业务属于什么电信业务

针对 Token 类业务，目前主要存在两种监管——电信业务监管（许可、计量、转售、互联互通、用户申诉等业务行业层面，由工业和信息化部及各地通信管理局主管）和网信监管（算法备案、深度合成、生成内容、数据安全、个人信息等内容与网络安全层面，由国家网信办及各地网信办主管）。

根据《电信业务分类目录（2015 年版，2019 修订）》，Token 业务的监管归属可分为三类。

（一）信息服务业务（ICP 许可证）——Token 业务的监管主轴

《电信业务分类目录》将"信息服务业务（仅限互联网信息服务）"列为第二类增值电信业务，业务编号 B25，俗称 ICP 许可证。

Token 业务若通过互联网向用户递送数字 Token，或提供模型调用、内容生成等服务，本质上属于信息发布平台和递送服务。无论商业模式如何包装，只要经营者向用户提供的核心价值是"Token"这一数字商品，都难逃 ICP 许可证的监管要求。

此外，若 Token 业务涉及生成式人工智能服务，还需根据《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》完成算法备案。这是 ICP 许可之外的额外合规义务。

（二）在线数据处理与交易处理业务（EDI 许可证）——特定场景适用

若 Token 业务的核心场景是为企业提供批量数据处理、交易类智能分析、行业数据加工等事务处理服务，则可能被认定为 EDI 业务，业务编号 B21，需办理 EDI 许可证。

但 EDI 的适用范围相对有限。市场主流的 To C 类 Token 交易平台，仍以 ICP 许可为主。

（三）互联网数据中心业务（IDC 许可证）——算力底座的监管要求

对于自建算力底座、为大模型训练和推理提供服务器托管、GPU 算力租赁服务的经营者，其底层基础设施服务属于 IDC 业务，业务编号 B11，需办理 IDC 许可证。

需要特别指出的是，Token 业务本身不等同于 IDC 业务。判断是否需要 IDC 许可证，取决于经营者是否实际运营算力基础设施，而非其销售的 Token 是否基于某类模型。

03.

核心监管要求：Token 业务的合规门槛

明确了业务分类，对应的监管要求便一目了然。

（一）ICP 许可证：Token 业务的"通行证"

根据《电信条例》（国务院令第 291 号，2016 年修订）、《互联网信息服务管理办法》（国务院令第 292 号），从事经营性互联网信息服务，必须取得 ICP 许可证。

⚠️ 行政处罚风险：未取得 ICP 许可擅自经营的，主管部门可责令限期改正，没收违法所得，处违法所得 3 倍以上 5 倍以下的罚款；没有违法所得或违法所得不足 5 万元的，处 10 万元以上 100 万元以下的罚款；情节严重的，责令关闭网站。

对于 Token 业务而言，"经营性"的认定标准已无争议——无论规模大小，只要向用户收费，就属于经营活动。无证经营，不是合规瑕疵，而是根本性违法。

（二）算法备案：生成式 AI 服务的附加义务

若 Token 业务提供的服务涉及生成式人工智能（如大模型对话、文生图、文生视频等），即便已取得 ICP 许可证，仍需根据《生成式人工智能服务管理暂行办法》完成算法备案。备案的主体是算法本身，服务提供者需对算法安全性、生成内容合法性承担主体责任。

截至 2024 年 12 月底，全国累计完成生成式人工智能服务备案 302 款——这是国家网信办公开发布的备案清单口径。需要提醒经营者注意，OpenAI ChatGPT、Anthropic Claude、Google Gemini 等境外大模型均不在备案清单中。

（三）转售境外 Token：高风险合规雷区

部分 Token 业务经营者，从境外供应商处采购 Token 或在境外注册账号获取 Token 后，在境内进行转售、分销或提供调用接口。此类业务存在多重合规风险。

其一，电信业务经营资质问题。若境外 Token 的提供方不具备中国境内的 ICP 或 EDI 许可资质，境内经营者的转售行为可能被认定为"为无证经营提供便利"，存在共同违法风险。

其二，跨境数据传输问题。Token 的生成与调用涉及用户数据的跨境流动。《数据安全法》、《个人信息保护法》对数据出境有严格规定，未完成数据出境安全评估，或未采用认证、标准合同等合规路径的，面临行政处罚风险。

其三，外汇管制问题。跨境 Token 交易涉及外汇收支，需符合国家外汇管理规定。未经批准擅自开展跨境互联网相关服务收付汇，可能触犯外汇管理法规。

其四，内容安全责任问题。无论 Token 的来源地在哪里，境内经营者对其所提供的 Token 调用服务所生成的内容，仍需承担内容安全的主体责任。若境外模型生成的内容涉及中国法律法规禁止传播的信息，境内分销商难辞其咎。

04.

合规风险：经营者的现实困境

从实务角度观察，Token 业务的合规现状并不乐观。

风险一：无证经营普遍存在。相当数量的 Token 交易平台在未取得 ICP 许可证的情况下即开展经营，有的是因为不了解监管要求，有的则是刻意规避监管。无论哪种情况，风险都已实际形成。

风险二：许可证与实际业务不匹配。部分经营者持有 ICP 许可证，但其业务实质已涉及 EDI 或 IDC 的范畴；反之亦然。许可证与业务实质的不匹配，同样构成违规。

风险三：算法备案滞后。生成式 AI 服务提供者的算法备案推进速度，远低于市场实际开展此类服务的速度。部分经营者存在侥幸心理，以"先开展业务、再补办备案"的思路运营，一旦监管收紧，将面临被动。

风险四：境外 Token 转售的灰产化倾向。部分转售境外 Token 的业务，已出现明显的灰产化特征——包括但不限于通过境内主体间接代理、刻意模糊业务边界、利用境外主体规避监管等。此类业务的经营者，已不仅是合规风险，而是直接的违法风险。

05.

结语

Token 业务的监管框架，本质上是监管体系在数字经济新业态中的自然延伸。监管的逻辑是清晰的——只要从事经营性互联网信息服务，就需要相应的许可；只要提供生成式 AI 服务，就需要完成算法备案。

对于企业经营者而言，Token 业务合规的底线并不复杂。跨界带货、灰产转售的短期收益，永远抵不过监管清算的长期代价。

业务可以跑在前面，合规不能落在后面。

📌 更多相关内容，关注主页查看~