企业 AI 合规落地的 5 个关键问题：等保、出境与内容标识
合规要求通常是原则性表述，而工程团队需要的是动作清单。本文把五个高频问题拆成「要做什么、做到什么程度、怎么证明」。
核心结论
- 合规的第一性问题不是"能不能用 AI"，而是"数据走到哪里去"。先做数据分类分级，再决定哪些数据可以出内网，其余问题都会简单一半。
- 私有化部署不等于自动合规。它解决了数据不出边界，但等保测评、日志留存、内容标识等义务仍然存在——只是更容易落实。
- 三个必须落到技术上的动作：敏感数据只走内网模型、全链路操作日志、AI 生成内容的显式与隐式标识。
- 备案与评估义务取决于"是否面向公众提供服务"。纯内部使用与对外提供服务的义务范围不同，需按实际情况判断。
- 可证明性比合规本身更容易被忽略。有制度没日志，等于无法证明；日志留存是性价比最高的合规投入。
一、问题一：数据能不能出企业边界
所有 AI 合规讨论的起点，是先把数据分级。没有分级，任何"要不要用云端模型"的争论都无法收敛。建议按四档划分：
| 级别 | 典型数据 | 可用模型形态 | 技术要求 |
|---|---|---|---|
| 公开 | 官网内容、公开产品资料 | 云端或本地均可 | 常规审计 |
| 内部 | 内部制度、会议纪要、培训材料 | 云端需签数据处理协议，优先本地 | 访问控制 + 日志 |
| 敏感 | 客户信息、合同、财务数据、员工个人信息 | 仅本地 / 内网模型 | 加密、脱敏、字段级权限 |
| 核心 | 涉密资料、核心工艺、未公开战略 | 仅内网离线，禁联外网 | 物理隔离、操作双人复核 |
分级完成后，"敏感与核心数据走内网模型"这条规则可以直接变成技术策略：在模型路由层按数据标签做硬性拦截，而不是靠员工自觉。这一步做扎实，后续的数据出境、供应商锁定风险都会大幅下降。
二、问题二：等保 2.0 要落到哪些技术点
等级保护 2.0（GB/T 22239-2019）对 AI 系统没有专门章节，但既有控制项几乎全能对上。工程上最常被扣分的几处：
| 控制方向 | 技术动作 | 证明方式 |
|---|---|---|
| 身份鉴别 | 统一账号体系、双因素、会话超时 | 配置截图 + 账号清单 |
| 访问控制 | 按角色分配智能体与工具权限，最小授权 | 权限矩阵表 |
| 安全审计 | 记录谁在何时用哪个模型处理了哪些数据 | 审计日志样本 |
| 数据完整性 | 传输加密、存储加密、输出内容校验 | 加密策略说明 |
| 数据备份 | 知识库与配置定期备份、可恢复演练 | 备份与恢复记录 |
| 供应链 | 第三方模型服务资质与协议存档 | 供应商评估表 |
关键提醒：测评看的是"能不能证明"。同样做了访问控制，有权限矩阵表和没有，结论完全不同。所以在设计阶段就应当把"要留什么证据"一起设计进去。
三、问题三：AI 生成内容要不要标识
随着生成合成内容标识相关规定的出台，"这段内容是不是 AI 生成的"从伦理问题变成了合规问题。工程上通常需要考虑两层标识：
- 显式标识：在内容本身或展示界面中让用户可感知，例如图片角标、文本说明、音频提示音。
- 隐式标识：写在文件元数据或内容水印中，用于平台与监管侧识别，普通用户不可见。
落地建议：把标识做成生成链路的默认行为，而不是发布前的补救动作。在智能体的输出节点统一附加标识与生成记录（模型、时间、提示摘要），既能满足标识要求，也顺带解决了溯源问题。
四、问题四：需不需要备案或安全评估
这一块最容易被误判，判断的关键是三个问题：
- 是否面向公众提供生成式 AI 服务？面向境内公众提供服务的，通常涉及备案/登记等义务；纯企业内部自用、不对外提供服务的，义务范围不同。
- 是否涉及数据出境？向境外提供个人信息或重要数据，可能触发安全评估、标准合同或认证等路径，需按数量与类型判断。
- 是否属于关键信息基础设施或特定行业？金融、医疗、政务等行业往往有更具体的监管要求，需同时满足行业规定。
实操上建议：先做一次合规盘点，把"我们提供了什么服务、数据流向哪里、由谁处理"写成一张图，再对照现行规定逐条判断。这张图本身也是后续测评与审计的基础材料。
关于数据出境的具体路径选择，可参考 AI 智能体私有化部署 中的三层架构思路——把模型与数据放在境内内网，是从源头消除出境问题的最简方案。
五、问题五：审计与留痕做到什么程度
AI 系统的日志比传统系统更复杂，因为它多了"提示词"与"模型输出"这两类内容。建议至少记录以下字段：
| 记录项 | 内容 | 用途 |
|---|---|---|
| 主体 | 账号、部门、角色 | 责任归属 |
| 动作 | 调用的智能体、工具、模型 | 行为还原 |
| 数据 | 输入文件的标识与数据级别 | 数据流向追溯 |
| 结果 | 输出文件标识、是否人工确认 | 交付审计 |
| 时间与结果码 | 时间戳、成功/失败、重试次数 | 异常分析 |
留存期限上，《网络安全法》要求网络日志留存不少于六个月，行业监管可能更严格。建议采用"操作日志 ≥ 6 个月、敏感操作日志 ≥ 1 年"的策略，并对导出、删除、权限变更单独留痕。
另外要注意一个细节：日志本身也可能含敏感数据。提示词里常带客户名称与金额，因此日志存储同样需要加密与访问控制，否则留痕反而制造了新的泄露面。
六、一页纸合规动作清单
| 阶段 | 必做动作 | 产出物 |
|---|---|---|
| 立项 | 数据分类分级、确定部署形态 | 数据分级表、部署架构图 |
| 设计 | 权限矩阵、日志字段、标识策略 | 权限矩阵表、日志规范 |
| 建设 | 内网模型部署、加密与脱敏、工具白名单 | 配置说明、加密策略 |
| 上线前 | 合规盘点、必要备案/评估、渗透与漏扫 | 盘点报告、评估材料 |
| 运行 | 日志留存、定期权限复核、异常告警 | 日志样本、复核记录 |
| 变更 | 模型或数据源变更时的重新评估 | 变更记录 |
七、常见问题
内网私有化部署是否就不用管合规了？
不是。私有化部署解决的是数据不出边界与处理者可控的问题，但等级保护测评、数据分类分级、日志留存、内容标识等义务仍然存在。私有化反而让这些义务更容易落实，因为日志与数据都在自己手里。
用云端大模型 API 处理客户数据，风险点在哪？
核心风险有三：数据可能被用于模型训练（需确认合同条款与数据使用政策）；跨境传输可能触发安全评估或标准合同义务；服务商变更条款或停服导致业务中断。规避方式是分级放行：敏感数据只走内网模型，非敏感数据才走云端。
AI 生成的文档需要加标识吗？
视使用场景而定。面向公众发布、可能引起误解的生成合成内容通常需要按现行规定添加显式标识，并在文件元数据中保留隐式标识；仅作为内部辅助材料时，建议至少保留生成记录以便追溯。具体要求以现行有效的法规与主管部门要求为准。
等保测评中，AI 系统要额外准备什么材料？
除常规的网络、主机、应用安全材料外，建议补充：模型与数据的资产清单、模型调用链路说明、提示词与输出内容的留存策略、账号权限矩阵、第三方模型服务的供应商资质与数据处理协议。
审计日志应该保存多久？
《网络安全法》要求网络日志留存不少于六个月，行业监管可能更严格。建议按「操作日志 ≥ 6 个月、敏感操作日志 ≥ 1 年」设置，并对删除与导出行为单独留痕。
最后更新：2026-08-06 ｜ 作者：DeepMetier 团队