跳到正文
返回目的地合规概览

中国大陆：出海合规概览

20 部法规、102 条已拆解义务、5 条数据出境路径。下面按"什么时候开始管你"和"要做哪几件事"组织。

筛出适用于我们的义务清单联系顾问

监管时间线：接下来的节点

  1. 2025-01-01

    《网络数据安全管理条例》为本法提供行政法规层面的执行细则

    个人信息保护法

  2. 2025-01-01

    《网络数据安全管理条例》细化重要数据义务

    数据安全法

  3. 2025-01-01

    条例施行

    网络数据安全管理条例

  4. 2025-01-01

    《网络数据安全管理条例》第十九条为训练数据安全管理提供行政法规依据

    生成式人工智能服务管理暂行办法

  5. 2025-02-12

    以国家互联网信息办公室令第18号公布（中国网信网页面发布时间 2025-02-14）

    个人信息保护合规审计管理办法

  6. 2025-02-28

    配套强制性国家标准 GB 45438-2025《网络安全技术 人工智能生成合成内容标识方法》发布

    人工智能生成合成内容标识办法

  7. 2025-03-14

    四部门印发标识办法

    人工智能生成合成内容标识办法

  8. 2025-05-01

    《个人信息保护合规审计管理办法》施行

    个人信息保护法

  9. 2025-05-01

    第二十条：本办法施行

    个人信息保护合规审计管理办法

  10. 2025-07-21

    国家网信办 2025 年第 17 次室务会会议审议通过，并经国家市场监督管理总局同意

    个人信息出境认证办法

  11. 2025-09-01

    《人工智能生成合成内容标识办法》与 GB 45438-2025 施行，第十二条的标识义务被具体化

    生成式人工智能服务管理暂行办法

  12. 2025-09-01

    《人工智能生成合成内容标识办法》为第十六条、第十七条提供执行细则

    互联网信息服务深度合成管理规定

  13. 2025-09-01

    标识办法与 GB 45438-2025 同日施行

    人工智能生成合成内容标识办法

  14. 2025-10-28

    全国人大常委会通过修改决定，新增人工智能条款并大幅提高罚则

    网络安全法

  15. 2026-01-01

    办法施行，个人信息保护认证成为规则完备的第三条出境路径

    个人信息出境认证办法

  16. 2026-08-20

    《网络数据安全风险评估办法》（三部门令第24号）施行，第三十条的定期风险评估落成可执行流程

    数据安全法

适用法规（20）

现行有效数据与隐私相关度 极高

个人信息保护法

三种业务动作会把一家中国 AI 企业拉进适用范围：（1）在境内处理任何自然人的个人信息（第三条第一款），包括用用户对话、人脸、语音、行车数据训练模型；（2）虽在境外处理，但目的是向境内自然人提供产品或服务、或分析评估境内自然人行为（第三条第二款）——例如把中国用户的 App 数据放在新加坡节点处理；（3）把境内收集的个人信息传到境外关联公司、云厂商或客户（第三十八条），这是出海企业最常见的触发点。第五十三条还要求纯境外的处理者在中国境内设立专门机构或指定代表。

7 条义务 · 复核 2026-09-12

现行有效网络安全相关度 极高

数据安全法

四类业务动作触发本法：（1）在境内开展任何数据处理活动（第二条第一款），包括模型训练语料的收集、清洗、存储与共享；（2）境外处理活动损害中国国家安全、公共利益或公民组织合法权益的（第二条第二款）；（3）业务数据被所在行业主管部门列入重要数据目录——具身智能与自动驾驶企业的高精地图、道路与厂区环境采集数据是典型候选；（4）境外客户、母公司或外国监管机构要求调取存储在中国境内的数据（第三十六条），这在美欧诉讼开示、FCPA 调查、上市审计中非常常见。

5 条义务 · 复核 2026-09-12

已修订网络安全相关度 高

网络安全法

只要在中国境内建设、运营、维护或使用网络就适用（第二条）。对 AI 企业的具体触发点：把模型服务部署在境内云上即成为网络运营者，须完成等级保护定级备案并留存不少于六个月的网络日志；向用户提供信息发布或即时通讯功能（含对话式产品的社区、分享功能）须做真实身份信息认证；出售的 AI 一体机、机器人控制器若属于网络关键设备或网络安全专用产品目录，须先通过认证或检测方可销售；被认定为关键信息基础设施运营者或向其供货时，采购的网络产品和服务可能影响国家安全的须通过网络安全审查。

5 条义务 · 复核 2026-09-12

现行有效数据与隐私相关度 极高

网络数据安全管理条例

在境内开展网络数据处理活动即适用（第二条）。对 AI 企业的具体触发：训练语料的抓取与清洗（第十八条对自动化工具访问收集网络数据设有评估与不得干扰他人网络服务的要求）、把用户对话与人脸数据交给境外标注供应商（第十二条的合同与 3 年记录）、通过 API 把用户输入送到境外模型（第三十五条）、以及用户规模跨过 1000 万人门槛后的组织化要求（第二十八条、第三十条）。境外注册但面向境内自然人提供服务的主体，同样因第二条第二款被纳入。

7 条义务 · 复核 2026-09-12

现行有效数据跨境相关度 极高

数据出境安全评估办法

三种动作强制走本路径：（1）被认定为关键信息基础设施运营者后，向境外提供任何个人信息或重要数据——例如为能源、交通、金融客户驻场部署并回传运行数据；（2）向境外提供重要数据，例如把高精地图、厂区点云、路侧感知数据传给境外研发中心；（3）非 CIIO 但自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或 1 万人以上敏感个人信息——例如面向中国用户的 App 把用户画像与人脸特征同步到境外总部。

4 条义务 · 复核 2026-09-12

现行有效数据跨境相关度 极高

个人信息出境标准合同办法

适用于同时满足第四条四项条件的出境场景：（一）非关键信息基础设施运营者；（二）处理个人信息不满 100 万人；（三）自上年 1 月 1 日起累计向境外提供个人信息不满 10 万人；（四）自上年 1 月 1 日起累计向境外提供敏感个人信息不满 1 万人。其中第（三）（四）项的数量口径已被《促进和规范数据跨境流动规定》第八条改写为「自当年 1 月 1 日起累计 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或不满 1 万人敏感个人信息」，判断时以令第16号为准。本办法只适用于个人信息出境（第二条），重要数据出境一律走安全评估。典型业务动作：中国区 SaaS 把客户联系人数据同步到境外 CRM；跨境电商把中国消费者订单信息传给海外仓与支付服务商；出海 App 使用境外统计分析与推送服务；把中国员工的人事数据报送境外集团 HR 系统（若不满足纯人力资源管理豁免）。

4 条义务 · 复核 2026-09-12

现行有效数据跨境相关度 高

个人信息出境认证办法

适用区间与标准合同相同：非关键信息基础设施运营者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或不满 1 万人敏感个人信息的，可以选择认证替代标准合同。对以下三类中国 AI 企业价值最高：（1）集团内多主体、多流向的出境场景——一次认证覆盖一组关联传输，胜过逐对签署标准合同；（2）需要向境外企业客户证明数据治理能力的 B2B 服务商，认证证书可直接进入客户尽调包；（3）出境流向频繁变动、逐次备案成本过高的平台型业务。

3 条义务 · 复核 2026-09-12

现行有效数据跨境相关度 极高

促进和规范数据跨境流动规定

任何把数据送出中国境内的业务动作都要先过这一关。对中国 AI 企业最常用到的四个判断：（1）调用境外模型 API 或使用境外云推理——用户输入若含个人信息，按累计人数落入标准合同/认证区间或安全评估区间；（2）跨境人力资源管理——按依法制定的劳动规章制度和依法签订的集体合同实施的，员工个人信息出境可依第五条第二项豁免；（3）跨境电商、机票酒店预订、跨境支付等为订立履行个人作为一方当事人的合同所必需的出境，依第五条第一项豁免；（4）纯海外业务数据在境内做算法处理后再回传，若处理过程未引入境内个人信息或重要数据，依第四条豁免——这是「境内研发中心 + 海外市场」架构的关键依据。

5 条义务 · 复核 2026-09-12

现行有效AI 监管相关度 极高

生成式人工智能服务管理暂行办法

判断是否适用只看两件事：是不是生成式技术，以及是不是向境内公众提供。四类动作会落入：（1）自研或基于开源微调的大模型对境内公众开放，无论以 App、网页还是 API 形式；（2）为境内企业客户提供可编程接口，客户再转向 C 端提供服务——接口提供者本身即为提供者；（3）境外公司通过境内渠道向境内公众提供生成式服务（第二十条）；（4）行业组织、企业、教育和科研机构研发生成式技术但未向境内公众提供服务的，依第二条第三款不适用本办法——这是「先在境外上线、境内只做研发」架构的关键边界，但该架构仍须遵守数据、出口管制与科技伦理审查规则。

7 条义务 · 复核 2026-09-12

现行有效AI 监管相关度 极高

互联网信息服务深度合成管理规定

只要在境内应用深度合成技术提供互联网信息服务就适用（第二条）。对中国 AI 企业而言，实际覆盖面比「生成式 AI」更宽：智能对话与写作、TTS 与声音克隆、数字人与虚拟主播、人脸编辑与换脸特效、AI 修图与画质增强、三维重建与元宇宙场景，全部在第二十三条列举之内。技术支持者的身份尤其容易被忽略——为客户提供数字人 SDK、语音克隆 API、图像生成底座模型的公司，即使不直接面向 C 端，也须承担训练数据管理（第十四条）与算法定期审核评估验证（第十五条）义务。

6 条义务 · 复核 2026-09-12

现行有效AI 监管相关度 极高

互联网信息服务算法推荐管理规定

判定口径比直觉宽：第二条第二款把「应用算法推荐技术」直接定义为「利用生成合成类、个性化推送类、排序精选类、检索过滤类、调度决策类等算法技术向用户提供信息」，五类算法均在规章正文之内。对中国 AI 企业的具体触发动作：（1）向境内用户提供个性化内容或商品推荐；（2）提供生成式 AI 服务且具有舆论属性或社会动员能力——依《生成式人工智能服务管理暂行办法》第十七条，须按本规定履行算法备案；（3）提供深度合成服务且具有舆论属性或社会动员能力——依《互联网信息服务深度合成管理规定》第十九条同样落入；（4）用算法向劳动者提供工作调度服务（第二十条）或向消费者销售商品提供服务（第二十一条），这把配送调度、动态定价类 AI 也纳入。

6 条义务 · 复核 2026-09-12

现行有效AI 监管相关度 极高

人工智能生成合成内容标识办法

适用主体范围由第二条通过引用三部规章界定，实际覆盖几乎所有对境内公众提供生成能力的中国 AI 企业。四类角色各有义务：（1）生成侧服务提供者——按第四条加显式标识、按第五条在文件元数据中加隐式标识，并确保下载、复制、导出的文件中仍含有符合要求的显式标识；（2）传播侧平台——按第六条核验元数据中的隐式标识，分三种情形（已标明生成合成、用户声明、检测到痕迹）分别添加不同强度的提示标识，并在元数据中补写传播要素信息；（3）应用程序分发平台——按第七条在上架审核时要求说明是否提供生成合成服务并核验标识材料；（4）用户——按第十条在发布时主动声明并使用提供者的标识功能。

5 条义务 · 复核 2026-09-12

现行有效AI 监管相关度 高

科技伦理审查办法（试行）

对中国 AI 企业的三个直接触发点来自附件清单：第 5 项「对人类主观行为、心理情绪和生命健康等具有较强影响的人机融合系统的研发」——覆盖脑机接口、情感陪伴、心理干预类产品；第 6 项「具有舆论社会动员能力和社会意识引导能力的算法模型、应用程序及系统的研发」——覆盖面向公众的大模型与内容推荐系统；第 7 项「面向存在安全、人身健康风险等场景的具有高度自主能力的自动化决策系统的研发」——覆盖自动驾驶、手术机器人、工业与巡检机器人等具身智能系统。此外，只要研发过程中使用了个人信息数据或以人为测试、调查、观察对象（第二条第一项），即须走单位内部伦理审查，这在模型评测、用户研究、数据采集环节非常常见。

4 条义务 · 复核 2026-09-12

现行有效出口管制相关度 极高

出口管制法

对中国 AI 企业而言，本法的适用远不止「卖硬件出海」。四类动作应逐一判定：（1）向境外转移技术资料——模型权重、训练代码、算法说明、测试数据集、芯片设计文件在第二条第二款下都可能构成「物项相关的技术资料等数据」；（2）向外国组织和个人提供管制物项——包括在境内向外籍员工、外方合作团队、外资股东披露受管制技术（视同出口），这在跨国研发协作与尽职调查中极易发生；（3）出口未列入清单但「知道或者应当知道」可能危害国家安全和利益、被用于大规模杀伤性武器或恐怖主义目的的货物、技术和服务，须按第十二条第三款申请许可；（4）与列入管控名单的进口商、最终用户交易（第十八条第三款），须事前筛查。

4 条义务 · 复核 2026-09-12

现行有效出口管制相关度 极高

两用物项出口管制条例

对中国 AI 与具身智能企业的四类典型触发：（1）出口被列入两用物项出口管制清单的 AI 加速卡、高性能计算模块、特定传感器、无人系统部件；（2）出口相关技术与服务——条例适用《出口管制法》第二条的管制物项定义，技术资料等数据同样受管；（3）第四十九条的域外延伸：使用中国原产特定技术在境外制造两用物项、或产品中含有中国原产特定两用物项后再向特定目的地转移，商务主管部门可要求参照本条例执行——这直接影响「境内研发、境外制造再销往第三国」的供应链安排；（4）第三十八条的阻断义务：境外客户、投资人或外国政府要求对中国境内工厂、实验室进行出口管制合规现场核查时，须先报告商务主管部门。

5 条义务 · 复核 2026-09-12

现行有效出口管制相关度 高

技术出口管理：禁止出口限制出口技术目录与技术进出口管理条例

对中国 AI 企业最常见的三类动作需要逐一判定：（1）把算法、模型或核心技术以专利许可、技术秘密转让、技术合作或技术服务方式提供给境外主体；（2）在境外设立研发实体或合资公司并向其转移境内已有技术成果——这是「技术出资」「技术入股」最容易被忽略的环节；（3）出海重组中把境内技术资产注入境外控股主体。判定的关键是目录条目本身：目录按行业编制条目并对限制类技术给出控制要点，因此必须逐条比对企业实际技术内容与目录条目描述，不能凭产品名称或行业标签推断。但注意：本条目所记录的 2008 年第 12 号令附件目录（含 2020 年第 38 号公告调整内容）已于 2023-12-21 随该令被废止，比对时必须取商务部现行公布的目录版本，不得使用本条目所述版本。凡涉及军民两用属性的，还须同时按《出口管制法》与《两用物项出口管制条例》判定。

4 条义务 · 复核 2026-09-12

现行有效网络安全相关度 高

关键信息基础设施安全保护条例

对中国 AI 企业有两条完全不同的适用路径，绝大多数企业走的是第二条。路径一（少数）：企业自身被认定为 CII 运营者。这只会发生在企业为公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业承载关键核心业务的网络设施或信息系统，并由该行业的保护工作部门按认定规则认定、书面通知之后；企业不能自我认定为 CII，也不能因为「我们觉得不是」而免责——判断权在保护工作部门，事实依据是那份认定通知。路径二（常见）：作为 CII 运营者的供应商或服务商，义务通过采购链条传导下来。典型场景是把大模型平台、智能客服、视觉质检、数据中台或 AI 运维产品卖给电力、交通、金融、政务客户，此时对方会把第十九条、第二十条的要求写进采购条款：可能影响国家安全的采购要通过网络安全审查（企业需要配合提交材料、说明供应链与数据流向）；必须签订安全保密协议，明确技术支持年限、安全保密义务与责任并接受监督；产品和服务须满足「安全可信」口径；第十五条第（七）项把设计、建设、运行、维护等服务纳入运营者的安全管理范围，意味着企业的实施与运维团队也会被纳入客户的安全管理与考核。此外，第三十一条对所有企业生效：做安全测试、红队、自动化渗透或漏洞扫描类 AI 产品的团队，未经批准或授权不得对 CII 实施漏洞探测与渗透性测试，产品的默认扫描范围与演示环境必须做硬性边界。

5 条义务 · 复核 2026-09-12

现行有效数据与隐私相关度 高

个人信息保护合规审计管理办法

判断起点是境内处理规模，不是企业注册地或业务是否出海——第二条把适用范围写为「在中华人民共和国境内开展个人信息保护合规审计」。对中国 AI 企业，三类情形最容易踩线：（1）**用户量门槛跑得比合规节奏快**。面向消费者的对话助手、AI 相机、陪伴类与教育类应用，注册用户突破 1000 万人往往只需要一轮增长，此后每两年至少一次合规审计就是硬性节奏，而不是「有空再做」；计量对象是「处理的个人信息人数」，含存量用户、已注销但仍留存数据的用户、以及通过 SDK 或受托处理触达的终端用户，比 DAU 口径大得多。（2）**安全事件把自审计升级成被要求的委托审计**。一次导致 100 万人以上个人信息或 10 万人以上敏感个人信息泄露的事件，就足以触发第五条第（三）项，届时机构选定、时限、费用、报告与整改报送全部按保护部门要求走。（3）**审计范围直指 AI 业务的薄弱环节**。附件指引里对自动化决策透明度与拒绝机制、敏感个人信息单独同意、不满十四周岁未成年人监护人同意、出境路径、删除权落地、影响评估的审查要点，恰好覆盖大模型训练与推理链路上最难举证的部分：训练语料的合法性基础、对话日志的保存期限与删除、模型与日志中个人信息的可删除性、推荐与风控的自动化决策说明。此外，境外客户与投资人的尽调越来越把这份审计报告当作「中国侧数据合规」的直接证据，出海企业即便主要市场在境外，境内主体的审计仍然要做。

5 条义务 · 复核 2026-09-12

现行有效行业专项相关度 高

智能网联汽车准入和上路通行试点

中国企业在以下动作下被管到：拟在中国境内量产销售搭载 L3/L4 自动驾驶功能的整车，必须先进入试点取得产品准入，不能按普通车型走完整准入；作为 Robotaxi、无人小巴、干线物流等运营方与车企组成联合体申报，并成为承担道路交通安全、网络安全与数据安全主体责任的“使用主体”；作为自动驾驶系统供应商，其软件升级与功能变更须纳入车企“严禁擅自变更自动驾驶功能、严格履行软件升级管理和备案承诺”的约束；对出海企业而言，这是把国内安全评估证据与海外 UN R155/R156/R157 或欧盟 ADS 证据包做双轨复用的起点。

5 条义务 · 复核 2026-09-12

现行有效行业专项相关度 极高

汽车数据安全管理若干规定（试行）

中国 AI 企业在以下动作下被管到：自动驾驶或智能座舱团队在境内采集道路视频、点云、座舱音视频用于模型训练（车外视频图像含人脸、车牌即落入重要数据）；用户规模跨过 10 万个人信息主体（该类个人信息即构成重要数据）；把中国采集的路测数据、场景库或座舱数据传输至境外研发中心、境外云或海外合作方（须先通过国家网信部门会同国务院有关部门组织的安全评估）；作为零部件或软件供应商、出行服务企业代车企处理汽车数据（同样是本规定意义上的汽车数据处理者）。出海企业最典型的踩点是“把中国道路数据送到海外训练”，以及海外车队数据回传后在境内与中国数据混用。

6 条义务 · 复核 2026-09-12

数据出境路径

  • 数据出境安全评估申报（网信办令第 11 号 + 令第 16 号）

    按令第 16 号第七条，符合下列情形之一的应当申报安全评估：(一) 关键信息基础设施运营者向境外提供个人信息或者重要数据；(二) 关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。属于令第 16 号第三、四、五、六条情形的从其规定（即可先适用豁免与自贸区负面清单）。两点必须准确把握：(1) 计数口径为「自当年 1 月 1 日起累计」，取代了令第 11 号第四条的「自上年 1 月 1 日起累计」；(2) 重要数据的识别遵循令第 16 号第二条与《网络数据安全管理条例》第三十七条 —— 未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报。

    预计周期：估算：法定环节合计约 57 个工作日（省级完备性查验 5 + 国家网信受理决定 7 + 评估 45，可延长）。加上前期自评估、法律文件谈判与材料准备，实践中从启动到取得结果通常 4-8 个月；材料被退回补正会显著拉长。 · 成本档位 Very High

  • 个人信息出境标准合同备案（网信办令第 13 号 + 令第 16 号）

    按令第 16 号第八条：关键信息基础设施运营者以外的数据处理者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。属于令第 16 号第三、四、五、六条情形的从其规定。令第 13 号第四条原本还设有「非关键信息基础设施运营者」「处理个人信息不满 100 万人」「自上年 1 月 1 日起累计向境外提供个人信息不满 10 万人」「自上年 1 月 1 日起累计向境外提供敏感个人信息不满 1 万人」四项并列条件；其中与令第 16 号不一致的部分，按令第 16 号第十三条适用令第 16 号。禁止以数量拆分等手段规避安全评估（令第 13 号第四条末款）。术语提示：令第 16 号第八条所称的并列选项「通过个人信息保护认证」，自 2026-01-01 起由《个人信息出境认证办法》（网信办、市场监管总局令第 20 号）专门规范，官方现行表述为「个人信息出境认证」，详见本矩阵对应条目。

    预计周期：估算：影响评估与合同谈判 3-6 周；备案本身为合同生效后 10 个工作日内提交。各省对备案材料的形式要求与反馈节奏不一，实践中从提交到收到反馈或补正通知通常 2-8 周。 · 成本档位 Medium

  • 个人信息出境认证（网信办、市场监管总局令第 20 号，2026-01-01 施行）

    数量门槛与标准合同相同，并由办法第五条独立重述：个人信息处理者以认证方式向境外提供个人信息的，应当同时符合 (一) 非关键信息基础设施运营者；(二) 自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息。第五条第二款明确：前款所称向境外提供的个人信息不包括重要数据；第四款禁止以数量拆分等手段将依法应当通过安全评估的个人信息改走认证。达到令第 16 号第七条安全评估门槛的不得以认证替代。两点实务补充（依国家网信办《数据出境安全管理政策法规问答（2026 年 9 月）》）：(1) 不论出境规模大小，任何个人信息处理者都可以自愿向专业认证机构申请认证以证明合规、提升合规能力，但只有落在第五条区间内的才能以认证作为出境合法性依据；(2) 已通过认证但当年累计出境达到 100 万人以上个人信息或 1 万人以上敏感个人信息的，仍应申报安全评估，申报时可将认证情况附后，网信部门在评估中予以参考。选型建议：集团内多主体、多链路、长期常态化出境更适合认证（一次认证可覆盖认证范围内的多项处理活动）；单一对手方、单一链路更适合标准合同。

    预计周期：估算：从委托到发证通常 3-6 个月（技术验证与现场审核各占数周，整改轮次会延长）。《个人信息出境认证办法》与《个人信息保护认证实施规则》均未规定统一的法定办结时限，仅要求认证机构对各环节时限作出明确规定并按时完成；办法中有明确时限的是机构侧义务（机构备案 10 个工作日内提出、网信部门 30 个工作日内审核、证书信息 5 个工作日内报送）。实际周期取决于所选机构的实施细则与企业配合度。 · 成本档位 High

  • 中国数据出境豁免情形与数量门槛（令第 16 号第三至五条）

    关键数量门槛（必须与安全评估、标准合同门槛连读）：非关键信息基础设施运营者，自当年 1 月 1 日起累计向境外提供的个人信息（不含敏感个人信息）不满 10 万人 —— 完全豁免；10 万人以上、不满 100 万人 —— 标准合同或认证；100 万人以上 —— 安全评估。敏感个人信息另计：不满 1 万人 —— 标准合同或认证；1 万人以上 —— 安全评估。关键信息基础设施运营者须特别注意：第五条第四项的 10 万人豁免按其文义只给「关键信息基础设施运营者以外的数据处理者」，CIIO 不能援引；同时令第 16 号第七条末款规定「属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定」，即第三条、第四条、第五条第一至三项与第六条在文义上并未排除 CIIO —— 但 CIIO 出境个人信息或重要数据属第七条第一项的明确申报情形，实务上监管从严，CIIO 拟援引上述豁免的应事先与主管网信部门沟通，不应自行判定。三个最易踩的坑：(1) 计数口径是「自当年 1 月 1 日起累计」，跨年归零重算，不是滚动 12 个月；(2) 豁免仅豁免出境机制，不豁免《个人信息保护法》项下的义务 —— 令第 16 号第十条明确要求仍须履行告知、取得个人单独同意、进行个人信息保护影响评估等义务，第十一条仍要求履行数据安全保护义务并在发生或可能发生数据安全事件时向省级以上网信部门报告；(3) 敏感个人信息不适用第五条第四项的数量豁免，第五条第四项括注明确写明「不含敏感个人信息」。

    预计周期：估算：2-4 周（台账搭建、阈值计数口径确定与豁免适用说明成文）；无审批环节。 · 成本档位 Low

  • 自由贸易试验区数据出境负面清单（令第 16 号第六条）

    适用前提是主体与数据都落在某个自贸试验区的管辖范围内，且该自贸区已发布经批准并备案的负面清单。数量门槛由各自贸区在其清单中自行设定（通常按行业与数据类别分层，可能对某些类别设定人数或数据量阈值），因此不存在全国统一的数字门槛 —— 必须逐个自贸区、逐个行业目录核对现行清单原文。核实范围说明：令第 16 号第六条所确立的机制与审批链路（省级网络安全和信息化委员会批准 → 报国家网信部门、国家数据管理部门备案）已核实；自贸区确有正式公布的负面清单亦已核实一例 —— 北京市互联网信息办公室等三部门《关于印发〈中国（北京）自由贸易试验区数据出境负面清单管理办法（试行）〉〈中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024 版）〉的通知》（京网办发〔2024〕16 号，成文 2024-08-26，发布 2024-08-30，首都之窗标注有效），管理办法与清单以附件形式发布。但本轮未逐条核对任何一份清单的具体条目、覆盖行业与阈值，且各自贸区版本不同并持续更新（国家网信办政策栏目另列上海 2026-04-29、北京 2026-05-11、广东 2026-05-18 的更新通知，天津、浙江、江苏、重庆、广西、海南亦有各自版本），北京 2024 版很可能已被后续版本取代。confidence 因此定为 medium：使用本条目时必须回到目标自贸区管委会或所在地网信部门公布的最新清单原文核对。

    预计周期：估算：清单比对与文档化 2-4 周。本轮未核实各自贸区是否另设本地登记环节及其时限，如目标自贸区设有登记程序，应按当地公告另行计算。 · 成本档位 Low

可以直接用的东西

场景剧本

AI 硬件与算力出海：双向出口管制、最终用户与模型权重流转港股上市前 ESG 与可持续披露准备（AI 企业口径）出海前的国内侧合规：算法与大模型备案、生成内容标识、数据出境路径

交付模板

传输影响评估（TIA）——配合欧盟标准合同条款第 14 条数据出境风险自评估报告（按网信办申报指南模板）个人信息保护影响评估报告（PIPIA）生成式人工智能服务备案与算法备案材料清单（含安全评估报告）模型卡（Model Card）数据卡（Data Card）——训练、验证与测试数据集说明书AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲温室气体清单编制工作底稿（GHG Protocol 范围一 / 二 / 三）双重重要性评估工作底稿（CSRD / ESRS 口径）香港联交所 ESG 报告目录（上市规则附录 C2，含第 D 部分气候披露）沪深北交易所上市公司可持续发展报告目录（含财政部基本准则口径）客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）SOC 2 Type II 就绪清单（信托服务准则）ISO/IEC 42001 人工智能管理体系实施与认证准备清单供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）投资人 ESG 尽调资料包（融资与上市前）可持续信息第三方保证准备清单（有限保证起步）

相关标准

  • IFRS S1《可持续相关财务信息披露一般要求》 · IFRS S1（2023 年 6 月发布；截至 2026-09-12 未被修订——2025 年 12 月的温室气体排放披露修订只针对 IFRS S2）
  • IFRS S2《气候相关披露》 · IFRS S2（2023 年 6 月发布；经 2025 年 12 月《温室气体排放披露的修改》修订，修订自 2027-01-01 起的年度期间生效）
  • 沪深北交易所上市公司可持续发展报告规则与配套编制指南 · 上交所《上市公司自律监管指南第4号——可持续发展报告编制（2026年1月修订）》（上证函〔2026〕484号），含第一号至第五号应用指南（强制）
  • 《企业可持续披露准则——基本准则（试行）》及其应用指南 · 基本准则（试行）财会〔2024〕17号；应用指南财会〔2025〕21号
  • ISO 14064-1:2018 温室气体——组织层面温室气体排放与清除的量化和报告 · ISO 14064-1:2018 / EN ISO 14064-1:2018
  • ISO 14067:2018 温室气体——产品碳足迹的量化要求与指南 · ISO 14067:2018
  • CSA STAR 与 STAR for AI（含 CCM / CAIQ / AICM / AI-CAIQ） · STAR 项目（CCM/CAIQ v4.1 合并版）；AI 控制矩阵 AICM v1（2025-07-09 发布，2025-10-30 更新，另有 v1.1）

这里发生过什么

来源（24）

内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。

GDPR · PIPL · CCPA 控制映射
AI 决策可追溯 · 有来源即标注
ISO 27001 对标推进中
WCAG 2.1 AA 可访问性目标
中国大陆：出海合规概览 | 海问 HQ