点策 | 用境外AI工具办公,数据出境合规自查哪几项?

2026-11-06 · 企业自检栏目

用境外AI工具办公，数据出境合规自查哪几项？

前面几期查的是「用哪个工具、怎么立规范」，这一期补一个容易被漏掉的维度：工具的运营主体和数据落点在境外时，用一次就可能构成一次向境外提供个人信息。合规动作不复杂，难在先意识到。

一、上传即出境：一个常被漏掉的判断

企业语境里的「数据出境」，不只是把服务器搬到海外。员工把含个人信息的业务数据，上传到一家由境外主体运营的AI服务，处理环节发生在境外，就属于向境外提供个人信息。这一步经常藏在个人行为里：个人账号注册的境外AI工具、浏览器插件，都可能成为出口。

法律对「向境外提供」有明确的通道要求：《个人信息保护法》第三十八条列出了安全评估、保护认证、订立标准合同等条件，并要求保障境外接收方的处理活动达到本法规定的保护标准。能不能用境外AI处理个人信息，先看走的是哪条通道。

二、六项自查，每项带依据

• 1. 接收方是谁、数据落在哪？查清AI服务运营主体的名称、联系方式与数据落点——这些正是向个人告知的法定事项。（依据：个人信息保护法第三十九条）
• 2. 有没有个人信息、量级多大？关键信息基础设施运营者向境外提供个人信息，或累计向境外提供100万人以上个人信息、1万人以上敏感个人信息的，应当申报数据出境安全评估。（依据：《促进和规范数据跨境流动规定》第七条）
• 3. 有没有落入豁免情形？履行合同必需、跨境人力资源管理、紧急保护生命健康财产，以及累计提供不满10万人个人信息的，可免予申报评估、订立标准合同或通过认证。（依据：同规定第五条）
• 4. 单独同意与告知做了没有？应向个人告知境外接收方名称、联系方式、处理目的与方式、信息种类及行权方式程序，并取得单独同意。（依据：个人信息保护法第三十九条）
• 5. 影响评估做了没有？向境外提供个人信息的，应依法履行告知、单独同意、个人信息保护影响评估等义务。（依据：同规定第十条）
• 6. 涉密技术资料挡在境外工具之外了吗？符合条件的技术信息、经营信息构成商业秘密，涉密载体不应进入未经评估、未经审批的外部工具。（依据：反不正当竞争法第十条第四款）

三、三个常见误区

误区一：量小就不算出境。豁免按年度累计计算人数，今天几条、明天几份，累计过线义务就变了；而且豁免免的是申报程序，告知与单独同意义务并不随之消失。

误区二：员工个人账号与公司无关。处理活动因业务发生，公司仍是个人信息处理者；员工用个人账号把客户资料贴进境外AI，责任不会跟着账号走。成文的AI使用规范，正是管住这个场景的抓手。

误区三：出境合规只是网信部门的事。走哪条通道需要法务牵头判断，工具选型、合同条款、员工培训都要跟进；通道没走对，事后整改的成本远高于事前自查。

四、留痕：自查与整改记录怎么固定

自查不是做一次就完——境外AI服务的运营主体和数据政策会变，建议按季度复查并保留各轮记录：数据映射清单、豁免判断依据、单独同意与告知的留样、影响评估报告。这些一般合规记录可以在重庆市渝北公证处电子存证平台（官网 YuGongZheng.cn）固定：提交即完成SM3国密哈希上链，本地文件方式仅上传哈希、原文件不出本地；经公证员审查后出具存证证明，涉诉等节点可申请办理保全公证书。

涉密的另一类——密点清单、技术方案版本、权限与访问日志——是商业秘密证据链的组成部分，用「商秘库」（官网 ShangMiKu.com）按密点分级留存固定；两层机制中，腾讯云「至信链」哈希锚定为标配、密点明文不出本地，另可选配重庆市渝北公证处存储证明或公证书。平台由重庆点策网络科技有限公司建设运营，法律服务由合作法律服务机构提供。

法条索引（现行有效版本，经官方来源核证）
· 个人信息保护法 第三十八条、第三十九条、第四十条：第三十八条：向境外提供个人信息应具备安全评估、保护认证、订立标准合同等条件之一，并保障境外接收方处理活动达到本法保护标准。第三十九条：应告知境外接收方名称、联系方式、处理目的方式、信息种类与行权方式程序，并取得单独同意。第四十条：关键信息基础设施运营者和达规定数量处理者应境内存储，确需出境的通过安全评估。（2021-11-01施行。来源：中国人大网公布全文，2026-11-06逐字核验）
· 促进和规范数据跨境流动规定 第五条、第七条、第十条：第五条：履行合同必需、跨境人力资源管理、紧急保护生命健康财产，以及累计向境外提供不满10万人个人信息（不含敏感个人信息）的，免予申报评估、订立标准合同、通过认证。第七条：CIIO向境外提供个人信息或重要数据，或累计提供100万人以上个人信息、1万人以上敏感个人信息的，应申报出境安全评估。第十条：应履行告知、单独同意、影响评估义务。（国家互联网信息办公室令第16号，2024-03-22公布施行。来源：中国网信网官网全文，2026-11-06逐字核验）
· 反不正当竞争法 第十条第四款：本法所称的商业秘密，是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。涉密载体不进入未经审批的外部工具，制度文本与留痕是「相应保密措施」的证据组成。（2025-10-15施行，定义与2019版第九条第四款文字一致，2026-11-06经中国人大网文本比对核验）

# #数据出境　#个人信息保护　#AI合规　#合规自查　#企业合规

本文为普法内容，不构成法律意见，具体案件请咨询专业律师。
平台由重庆点策网络科技有限公司建设运营，上海锦天城（重庆）律师事务所为合作方。
联系：15902340199（同微信）

获取更多 · 联系李章虎律师团队

本栏目站点：点策 合规立场 AI 合规体检　https://ai.hegui66.com

扫码进入点策 合规立场 AI 合规体检

扫码咨询律师

扫码看实务资料