AI 数据出境合规评估

依据《数据出境安全评估办法》，需要申报的情形包括：①向境外提供重要数据；②关键信息基础设施运营者向境外提供个人信息；③处理个人信息达到 100 万人以上的数据处理者向境外提供个人信息；④自上年 1 月 1 日起累计向境外提供 10 万人个人信息或 1 万人敏感个人信息；⑤国家网信部门规定的其他情形。

GDPR 适用于处理欧盟居民个人数据的企业，无论企业是否设在欧盟境内。核心要求：①具备同意、合同履行、合法利益等六种合法性基础之一；②保障访问、更正、删除、可携带等数据主体权利；③隐私政策需明确、透明地告知处理目的与范围；④数据泄露须在 72 小时内通报监管机构；⑤违规最高可罚全球年营业额 4% 或 2000 万欧元。

标准合同条款是欧盟认可的向第三国传输个人数据的合法保障机制，中国监管层面的对应机制为《个人信息出境标准合同》。使用流程：①与境外接收方协商并签订标准合同；②向省级网信部门备案（30 日内）；③合同生效后方可开展数据出境活动。适用条件：不需要申报安全评估，且累计出境个人信息不超过 100 万人次的企业，可优先选择标准合同路径。

涉及。调用境外 AI 平台 API 时，若传入用户个人信息（姓名、邮箱、行为数据、问询内容）或重要数据，即构成数据出境行为，需履行合规义务。建议措施：①对传入 AI 平台的数据做脱敏处理，移除可识别个人信息；②在隐私政策中明确告知用户数据可能传输至境外 AI 服务商；③与 AI 平台签订数据处理协议（DPA），明确各方责任；④评估出境数据量是否触及申报阈值，适时启动安全评估程序。

完整流程分六步：①数据梳理——识别出境数据类型、数量、接收方及目的地国家；②路径评估——判断适用安全评估、标准合同还是个人信息保护认证三种路径；③告知同意——向用户单独告知境外接收方信息并取得同意；④合同签署——与境外接收方签订标准合同或数据处理协议；⑤申报备案——按要求完成安全评估申报或标准合同备案；⑥持续管理——建立数据出境台账，定期开展合规自查，跟踪法规动态。

主要风险点：①买家信息处理——姓名、地址、联系方式等属于个人信息，需合法收集并在隐私政策中声明；②数据本地化——部分国家（如印尼、俄罗斯）要求本地存储用户数据；③营销数据合规——发送邮件营销需取得明确同意，并遵循 GDPR、CASL 等反垃圾邮件法规；④平台协议遵守——Amazon、TikTok 等平台有独立的数据使用政策，须同步遵守。

重要数据是指一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、公共利益的数据，《数据安全法》和各行业主管部门目录对此进行了界定。自查要点：①是否涉及工业、电信、金融、能源、交通、卫生等特定行业数据；②是否涉及地理信息、测绘数据等敏感地理空间数据；③是否涉及大规模人口、基因、健康等生物信息；④建议对照行业主管部门发布的重要数据目录逐条核查。

国内外均对违规数据出境设置了严格处罚：中国《个人信息保护法》最高可罚 5000 万元或上年度营业额 5%，情节严重可吊销营业执照，直接责任人最高罚 100 万元；欧盟 GDPR 最高可罚 2000 万欧元或全球年营业额 4%（取较高者），Meta 在 2023 年被罚 12 亿欧元；此外还有声誉损失与平台封店风险。预防成本远低于事后处罚成本。