敏感点在哪
图纸、清单、企业定额、历史报价与价格库共同构成成本数据资产，其中企业定额与历史报价的泄露风险高于图纸本身。部署方案要先识别这几类数据的存放位置与可访问人群，再讨论功能与模型选型。
部署三档选择
内网私有化适合成本数据不出场的企业，专有云适合多项目协同，公有云只建议用于不涉密的规则问答。选择依据是数据分级结论，而不是模型效果对比；顺序颠倒的话，做到一半往往要推倒重来。
不用于训练
合同中要写明客户数据不进入模型训练、不用于服务商的产品改进，并约定项目结束后的导出与删除方式。口头承诺在审计中不能作为证据，条款缺位时数据用途实际上不受客户控制，客户事后也无从核查实际用途。
海外项目另算
涉及境外业主、境外分包或境外服务器时，先判断是否构成数据出境，按现行规定评估路径后再确定部署位置。合规判断由客户法务牵头，我方提供数据流向与技术事实，不代替客户做结论，也不对合规路径作背书。
账号与日志谁管
账号按项目开、按人授权，离场与转岗当天回收，禁止共用。日志要能回答谁在什么时候上传了哪份清单、导出了什么，至少保留到项目结算之后，便于抽查。信息部管权限，造价部管可上传的数据范围，两边每季度对一次名单，避免长期挂着没人认领的账号。
适用与不适用
适合谁
- 成本数据敏感、要求不出场的集团与国企。
- 多区域协同、需要统一成本口径的施工企业。
- 有信息安全审查流程与法务支持的采购方。
不适合谁
- 坚持用公开在线工具处理图纸与报价的团队。
- 不做数据分级就要求上线全部功能的需求方。
典型场景
某集团的成本数据分散在区域公司和项目部。信息部先做数据分级，把企业定额与历史报价列为不出场数据，选择内网部署；多项目协同通过内部文件交换完成，供应商远程维护需审批并全程录屏，项目结束时按清单导出并删除。
可执行步骤
- 先做数据分级，标出企业定额、历史报价这类不出场的数据类型与责任人。
- 按分级结论选择部署形态，不按模型效果选，也不按供应商的推荐选，并把结论写进方案。
- 在合同中写明不用于训练、导出与删除义务，并约定违反时的处理方式与责任承担。
- 配置账号分级、操作日志与远程维护审批，上线之前完成一次权限自查，留档备查。
常见坑
- 把企业定额放进公有云知识库，权限又设为全员可见，等于把成本底牌公开，事后收回权限也来不及。
- 合同只写保密条款不写不用于训练，服务商的默认条款可能相反，事后很难扭转，也无法自证清白。
- 远程维护不录屏、不留操作日志，出问题时无法界定是供应商还是内部人员操作，责任说不清，事后只能自认。
- 离职与转岗人员权限未回收，账号长期有效，数据被带走也查不到记录，离职审计形同空转，交接清单也要核对。
自检与验收清单
- 数据分级结论是否书面、经过评审并有人负责维护。
- 部署形态是否与分级结论逐条对应，有无例外审批。
- 合同是否含不用于训练、导出与删除的具体条款。
- 账号分级与操作日志是否可审计、可回溯到人与时间。
常见问题
内网部署效果会差很多吗？
取决于模型选型与硬件条件，不是必然更差。内网可以用开源模型或专有部署方案，差异主要在复杂推理与长文档任务上；先用评测集测一轮，再决定是否接受这个取舍，不要凭感觉选型。
图纸上传到云端算不算出境？
要看服务器所在地与服务商归属。境内云端通常不构成出境，但仍是数据对外提供，需按合同与内部制度评估；使用境外节点则要先走数据出境判断流程，跨境方案不能想当然。
项目结束后数据怎么处理？
按合同清单导出后删除，并要求服务商出具删除确认。知识库、日志、备份与临时文件都要列入清单，只删主库往往留下副本，审计时说不清，备份、日志与临时文件同样要清理干净。