合同为何敏感
一份合同里有单价、支付节点、违约金、索赔策略与业主联系人。这些信息一旦外泄，谈判地位直接受损。做检索系统时，合同库应比普通文档库高一级管理，默认不外发、不共享、不进入公开测试环境。边界是整份合同不出内网。
三种部署的差别
本地部署数据不出场，适合同时在建多个涉外项目的企业，代价是硬件与运维；专有云便于跨项目检索与备份，需要确认租户隔离与加密；外部接口最省事，但只应传入条款片段，整份合同上传风险过高。怎么选看合同能不能出网。
权限按项目隔离
合同库要按项目、按角色授权，商务、法务与项目部看到的范围不同。敏感条款可设置二次授权，查阅留日志。跨项目检索应默认关闭，确有需要时由管理员开临时权限，事后再回收。边界是按项目授权不越界。
留存与版本管理
合同有多个版本与补充协议，检索系统要保留版本信息，避免引用作废条款。旧版本不删除但标记失效，谁在何时上传、替换与查阅都要留痕，便于争议时还原当时的依据与判断过程。版本怎么管要留痕。
离场与转岗要收权
合同库的权限常在人员调动后失效：离职账号没停、转岗人员仍能看到原项目合同、临时授权到期无人回收。建议每季度做一次账号复核，把人员名单与授权表逐一对照，停用不再需要的账号，并把复核结果由部门负责人签字留档，作为权限管理的证据。
适用与不适用
适合谁
- 同时在建多个涉外项目的工程企业
- 合同含商业敏感条款、需要严格授权管理的单位
- 有法务或合同管理专职团队的公司
不适合谁
- 愿意把整份合同上传公开平台的企业
- 合同版本混乱、无人管理的项目部
典型场景
某国际工程企业把合同库部署在总部机房，按项目授权，项目部只能看本项目合同，法务可跨项目检索。检索时只把条款片段送入模型，完整合同不出内网。每次查阅与导出都留日志，季度由法务与信息部门联合抽查。
可执行步骤
- 梳理合同库中的敏感字段与使用角色，并明确各自的查阅范围与审批层级
- 按项目与角色设置权限，默认关闭跨项目检索，确有需要时再开临时权限
- 只向模型传入必要的条款片段，不上传整份合同、报价表以及分项支付计划
- 完整保留合同版本，作废版本只做失效标记，不从库中直接删除并记录替换人
- 查阅、导出与版本替换全部留日志，并按季度由法务与信息部门联合抽查
常见坑
- 把整份合同上传到公开工具做摘要，价格与支付条款全部外泄，谈判地位随之受损，事后无法补救。
- 合同库只设一个共用账号，项目部与法务看到的内容完全一样，授权管理形同虚设，出了问题无人担责。
- 检索时引用的是作废版本，对外答复出现前后矛盾，被对方抓住把柄，十分被动，只能重新解释。
- 日志只记录登录时间却不记查询内容，出了问题根本查不到是谁查过哪一条款，责任无法界定。
自检与验收清单
- 合同库是否按项目与角色分别授权并留存审批
- 跨项目检索是否默认关闭，开启时是否需要审批
- 是否只向模型传入必要的条款片段而非整份合同
- 作废版本是否标记失效，同时完整保留以便事后回查
- 查阅与导出日志是否由法务和信息部门按季联合抽查
常见问题
合同能不能放公有云？
技术上可以，但要确认租户隔离、加密存储与访问审计，并在合同中约定不留存、不训练。若合同含报价与索赔策略，建议放在专有环境；是否可用公有云应由企业信息安全与法务评估后决定。
项目部能查全部合同吗？
通常不应。项目部只需要本项目合同与相关分包合同，跨项目检索容易造成信息扩散。建议默认按项目授权，需要参考其他项目时走临时授权，并记录用途与审批人。
旧合同要清理吗？
不建议直接删除。旧合同与补充协议是履约与争议的依据，应标记失效但保留可查。清理的是重复上传的副本与临时文件，正式版本按档案制度管理，期满后再按规定处置。