立项：先画数据流
把训练、微调、检索、评测、标注与运营六类数据分别标出来源、去向与处理位置。很多项目只写了「数据不出境」，一问评测集从哪来、由谁标注，就发现有两条路径根本没被覆盖。路径不清，后面的结论就只是猜测，评审也很难过。
选型：看清子处理者
模型服务、向量数据库、可观测平台与标注平台都可能引入境外子处理者。选型时要拿到子处理者清单与数据区域说明，写进合同附件，而不是只看厂商主页的宣传页，那上面通常不会写这些，清单要随合同一起更新。
开发：样本与提示词
开发阶段常用真实数据调提示词，最容易无意中把客户信息带进外部接口。约定用脱敏样本、在受控环境调试，并把提示词模板纳入版本管理，避免个人草稿流出后无人知道它带着什么数据，草稿外流同样构成出境。
上线：告知与标识
面向用户的场景要完成告知与必要同意，生成内容按标识要求处理。上线检查表里应包含数据区域确认、日志留存方式与投诉渠道，而不只是功能验收，否则上线当天就可能留下缺口，检查表要能逐项打勾。
运营：变更触发重评
换模型、换区域、加插件、开新数据源都会改变出境路径。把这些变更写进变更管理，触发一次轻量重评，比事后补材料省力得多，也更经得起检查，成本通常只相当于一次评审会，变更记录本身也是证据。
适用与不适用
适合谁
- 正在立项或试点的企业 AI 项目组，且已确定场景
- 使用境外模型或 SaaS 工具的产品团队，需要在上线前过关
- 负责 AI 项目合规评审的法务与安全人员
不适合谁
- 完全不接触个人信息与业务数据的公开数据项目
- 尚未确定场景、只想先买平台的团队
典型场景
某零售企业的客服助手项目在试点阶段被安全团队叫停：评测集用了真实对话，而标注平台在境外。项目组改用脱敏样本重做评测集，把标注挪到境内团队，并在接口层加了字段白名单，两周后重新过评审，试点范围也从全量客服缩到一个品类。
可执行步骤
- 画出训练、检索、评测、标注、运营与日志六类数据的流向与所在区域，并说明依据。
- 向每家供应商索取子处理者清单、数据区域说明与不留存不训练承诺，并写进合同附件。
- 评测集与标注数据先做脱敏，敏感场景整体改到境内环境处理，改完再全量切换。
- 把出境检查项写进上线评审表，由业务、安全与法务逐项签字，缺项不得放行。
- 建立变更触发规则，换模型、换区域或加数据源时自动进入重评，并标注责任人。
常见坑
- 架构图上写着境内部署，实际调用境外接口做向量化，评审时没人追问，问题会一直藏着，上线后才暴露。
- 评测集直接拿生产数据，标注又外包给境外团队，等于把客户信息成批送出去，责任往往落不到人。
- 上线前才找法务，评估周期被压到几天，最后不是砍功能就是带着风险上线，两条路都留隐患，也留下未评估记录。
- 换模型时没人通知安全团队，出境路径已经变了，台账与审批还停留在上一版，同类问题会重复发生。
自检与验收清单
- 六类数据的流向、处理位置与接收方是否画清，含附属模型
- 供应商子处理者清单与数据区域说明是否写进合同，且与实际情况一致
- 评测集与标注数据是否脱敏，或在境内环境完成
- 上线评审表是否包含出境检查项与签字栏，可抽检
- 换模型、换区域、加数据源是否触发重评，触发条件写清楚
常见问题
只用公开数据训练还要评估吗？
要看数据里是否仍含个人信息或重要数据，公开网页抓取的内容也可能包含个人信息。建议先做来源与内容审查，再判断是否需要走路径，不要因为「公开」就直接跳过，审查记录本身也要留档。
试用期能不能先用境外服务？
可以试点，但试点同样要限定数据范围、做脱敏并记录路径。把试用当成豁免是常见误区，一旦形成习惯，正式上线时再收回就很困难，也会留下未评估的记录，试用期的数据范围要限定。
向量库放在境内就安全吗？
不一定。要看嵌入服务在哪、检索请求是否出境、备份与日志存在哪。向量本身也可能被反推，敏感数据仍应按原级别管理，不能因为转成向量就默认降级，检索日志同样要纳入评估。