说清楚你的生意，拿走一份能派工的义务清单

FDA 审查并授权 PCCP 的效果是：在计划所述范围内实施每一项修改时不必另行提交上市申请。因此企业须建立门控流程，逐次确认拟实施的修改落在已授权 PCCP 的修改清单与方法学范围内，并按既定验证方法完成验证；超出范围的修改必须回到上市申请路径。最终指南对“按已获授权 PCCP 实施修改”作了专门澄清，实施证据须可在检查中调取。

需留存证据：逐次发布的 PCCP 范围内/外判定记录；按 PCCP 方法学执行的验证报告与性能对比数据；版本发布审批记录与放行签署；超出范围修改的上市申请提交记录；模型与数据版本的可追溯性台账

在含一项或多项人工智能赋能器械软件功能的器械的上市前提交中纳入 PCCP，其内容应描述：计划中的 AI 器械软件功能修改；开发、验证与实施这些修改的相应方法学；以及这些修改的影响评估。PCCP 由 FDA 在审查上市申请时一并审查，因此计划边界须写得足够具体以便审查，又足够覆盖可预见的迭代需求；训练、调优与测试数据的用语应按最终指南的澄清使用。

需留存证据：PCCP 文档（计划修改清单、方法学、影响评估）；修改边界与“超出范围须重新提交”的判定准则；训练、调优与测试数据集划分说明与数据字典；验证方案与可接受标准（含性能不下降的判定门槛）；FDA 审查问答（AI/deficiency letter）与答复记录

模型卡（Model Card）

最终指南相对草案新增了上市后监督方面的澄清。对 AI 器械而言，这意味着在 PCCP 实施过程中持续监测真实世界性能，识别数据分布变化、子人群表现差异与性能退化，并把监测结果反馈到后续修改的必要性判断与风险控制中。该体系应与器械的质量体系与不良事件报告流程衔接。

需留存证据：真实世界性能监测方案与指标定义（含子人群分层）；监测数据采集的合法性与隐私合规说明；性能退化与数据漂移的阈值、告警与处置记录；监测结果驱动的修改决策与风险控制更新记录；与不良事件报告流程的衔接说明

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

最终指南相对草案作出澄清的事项之一，就是标签与公开可得的决策摘要中应载入的 PCCP 相关信息。实务上须在说明书/标签中让使用者知道该器械存在已获授权的变更计划、可能发生哪些类型的变更、以及如何获知当前版本；并使公开决策摘要中的表述与提交内容一致，避免对外宣传夸大“可自动更新”的含义。

需留存证据：含 PCCP 说明的标签/说明书定稿及版本记录；公开决策摘要中 PCCP 表述与提交内容的一致性核查记录；对外宣传材料的合规审核记录；用户获知当前软件版本的界面或文档证据

受涵盖交易包括：取得受涵盖外国主体的股权或或有股权；提供具有股权特征的债权融资；将 2025-01-02 及之后取得的或有股权转换为股权；在受关注国家取得、租赁或开发经营、土地、财产或资产并将导致受涵盖外国主体设立或使受关注国家主体从事受涵盖活动；与受关注国家主体设立合资企业（不论设于何地）从事受涵盖活动；以及取得非美国主体基金的有限合伙人权益且明知该基金很可能投向半导体与微电子、量子信息技术或人工智能领域的受关注国家主体。

需留存证据：交易结构图与受涵盖交易判定备忘（引用 §850.210 各款）；标的公司业务活动说明（对照 §850.217 与 §850.224 清单）；基金 LP 权益的投资范围说明与基金承诺函；判定结论审批记录（含法务与合规签署）

禁止交易的人工智能触发点有两类：一是开发专门用于或投资对象意图用于军事用途，或政府情报、大规模监控用途的 AI 系统；二是开发使用超过 10 的 25 次方次计算操作训练的 AI 系统，或主要使用生物序列数据、超过 10 的 24 次方次计算操作训练的 AI 系统。芯片侧禁止活动包括 EDA 软件、前道半导体制造设备、先进封装设备、EUV 相关专用物项、达到或超过 3A090.a 参数的集成电路设计、16/14 纳米及以下或非平面晶体管逻辑芯片、128 层及以上 NAND、18 纳米半间距及以下 DRAM、镓基化合物半导体、石墨烯晶体管或碳纳米管集成电路、4.5 开尔文及以下工作的集成电路，以及特定性能的超级计算机与量子计算相关活动。

需留存证据：模型训练算力统计与口径说明（区分预训练、微调、强化学习）；训练数据构成说明（是否以生物序列数据为主）；产品用途声明与军事/情报用途排除承诺；芯片设计参数与制程节点技术档案

从事可通报交易的美国主体须在交易完成日后 30 个日历日内，按财政部对外投资安全计划网站的电子申报指引提交通报，内容依 §850.405 规定并附 §850.203 认证。受控境外实体的可通报交易由其美国母公司申报；交易完成后才取得相关事实认知的，须在取得认知后 30 个日历日内申报。人工智能侧的可通报门槛包括：使用超过 10 的 23 次方次计算操作训练的 AI 系统，以及意图用于网络安全应用、数字取证工具、渗透测试工具或机器人系统控制的 AI 系统。

需留存证据：交易完成日认定说明；通报申报表底稿与电子提交回执；首席执行官或授权代表签署的认证书；交易后新知悉事实的内部登记与 30 日申报证明

财政部在判断美国主体是否「明知」时，会考察其在交易时点已掌握或本可通过合理且勤勉调查掌握的信息，评估要素包括：向标的或交易对手提出的问题；已取得或试图取得的合同陈述与保证；获取并考量非公开信息的努力；可获得的公开信息及其与其他信息是否一致；是否刻意回避获取相关信息；是否存在警示信号（例如标的回避回答、拒绝提供信息或拒绝出具陈述与保证）；以及是否使用了公开与商业数据库进行核验。未做合理勤勉调查者，可能被认定「本应知悉」。

需留存证据：尽调问卷与标的回复原件；交易文件中的陈述与保证条款文本；公开与商业数据库检索记录；警示信号识别与处置说明

美国主体须采取一切合理步骤禁止并防止其受控境外实体从事若由美国主体实施即属禁止的交易；财政部考量因素包括：与受控境外实体签订合规协议、行使治理或股东权利、实施定期培训与内部报告、建立并执行经定期复核的书面内控，以及对内控执行开展有记录的测试或审计。同时，美国主体不得明知而指挥非美国主体从事若由美国主体实施即属禁止的交易；担任高管或董事等具备决策权的美国人员，可通过对交易审批、文件审阅签署与谈判三项活动全面回避来避免被认定为「指挥」。

需留存证据：与受控境外实体签署的合规协议；内控制度文本、定期复核记录与测试/审计报告；培训与内部报告机制记录；美国籍董事/高管的回避声明与会议记录佐证

在采购、部署或对外提供前，逐项确定物项的出口管制分类编码。对 AI 企业最相关的是：先进计算芯片与电子组件（3A090、4A090 及各 .z 项下的 3A001.z、4A003.z、4A004.z、4A005.z、5A002.z、5A004.z、5A992.z）、其配套软件与技术（3D001、3E001、4D001、4D090、4E001 等）、高带宽存储（3A090.c）、特定半导体制造设备（3B001、3B002 等）以及人工智能模型权重（4E091）。分类结论须书面记录并随物项版本更新。

需留存证据：物项分类台账（ECCN、判定依据、判定人、判定日期）；供应商提供的 ECCN 书面告知函；模型权重的算力用量与 4E091 判定说明；分类复核记录（产品或模型版本变更后重新判定）

许可要求规定在 §742.6(a)，许可审查政策规定在 §742.6(b)（两者的段号相互独立，不要混用）。许可要求：对 3A090.a、4A090.a 等最高档物项适用全球许可要求（§742.6(a)(6)(iii)(A)）；对 3A090.b 等次档物项，向阿联酋及国家组别 D:1、D:4、D:5（不含同属 A:5 或 A:6 的目的地）出口需许可（同条 (B)）；向澳门及国家组别 D:5 出口特定半导体制造设备与高带宽存储（3A090.c）另有单独许可要求（§742.6(a)(6)(i)）。审查政策（§742.6(b)(10)）分层：3A090.c 对非 D:5/澳门总部实体推定批准、其余推定拒绝；对 §742.6(a)(6)(iii) 项下商品，向位于中国或澳门的最终用户出口，在 TPP 低于 21,000 且「DRAM 总带宽」低于 6,500 GB/s 并按 748 部分附录 2(dd) 提交补充信息时可获个案审查，其余推定拒绝。4E091 模型权重申请（§742.6(b)(14)）对总部位于 740 部分附录 5(a) 以外的最终用户推定拒绝。

需留存证据：每笔交易的许可判断备忘（目的地、国家组别、最终用户总部与最终母公司）；BIS 许可申请与批复/拒绝文件；TPP 与 DRAM 总带宽计算底稿；最终用户与最终用途声明（含转运控制承诺）

列入 ECCN 4E091 的人工智能模型权重，向全球任何目的地出口、再出口或境内转移均需许可；该要求不适用于对总部或最终母公司位于 740 部分附录 5(a) 所列目的地的实体的「永久正式雇员」的视同出口与视同再出口。许可例外 AIA（§740.27）可在严格条件下授权模型权重的提供：接收实体须位于澳门与国家组别 D:5 之外，且权重须存放于符合 748 部分附录 10 第 14、15、18 段要求的设施。经微调、量化或其他后训练手段进一步训练或修改的境外产出模型，仍属 4E091 范畴。

需留存证据：模型训练算力用量记录与 4E091 判定说明；权重存储位置与访问控制清单（含设施安全要求符合性证明）；许可例外 AIA 使用记录（含向最终收货人的书面告知）；境内外人员对权重仓库的访问审计日志

即使物项完全在美国境外制造，只要满足 FDP 的「产品范围」与「目的地范围」，即受 EAR 管辖。先进计算 FDP（§734.9(h)）覆盖两类情形：其一是以 3D001、3E001、4D001、4D090、4E001、5D002、5E002 等美国受管技术或软件为直接产品的境外物项；其二是由「完整工厂或工厂主要组件」生产的境外物项，而该工厂本身是美国技术或软件的直接产品——两者均须同时落入 3A090、4A090 或相应 .z 项。AI 模型权重 FDP（§734.9(l)）的目的地范围是全球任何地点。实体清单 FDP（§734.9(e)）另设脚注 1、脚注 4 与脚注 5 三套规则。

需留存证据：FDP 适用性分析备忘（逐项说明产品范围与目的地范围判定）；境外代工厂与云服务商的技术来源说明；供应链图（标注每个节点的物项 ECCN 与生产工具来源）；法律意见或 BIS 咨询意见申请记录（如已取得）

只要实体清单所列主体，或使用实体清单所标注「高转运风险地址」的实体作为交易一方，就须按清单条目所载范围申请许可；清单同时记载可用与不可用的许可例外及审查政策。筛查须覆盖买方、最终用户、最终收货人、中间商与承运人，并在每次发货前重新执行。BIS 亦可依 §744.11(c) 以「告知函」方式对特定主体单独施加许可要求。

需留存证据：逐单筛查记录（筛查名单版本、筛查时间、命中处置）；实体清单条目截图或引用（含许可要求与例外范围）；BIS 告知函与内部分发记录（如收到）；交易各方（买方/最终用户/中间商/承运人）身份档案

供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）

BIS 于 2025-09-30 公布临时最终规则（90 FR 47201，2025-09-29 生效），将实体清单限制自动扩展至被一个或多个列名实体合计持股 50% 以上的实体，并对列名「军事最终用户」及特定受制裁方的 50% 关联方施加同样限制。随后 BIS 于 2025-11-12 公布最终规则（90 FR 50857），自 2025-11-10 起将该临时最终规则对 15 CFR 732、734、736、744、748 各部分的修订中止至 2026-11-09（可能延期）。企业应据此设置到期提醒，并提前完成股权穿透测绘，以便中止到期时即刻切换筛查口径。

需留存证据：集团股权穿透图（标注每层持股比例与列名主体）；中止到期日监控台账与责任人；关联方情形下的替代采购与合规方案预案；外部法律意见（如就 50% 合计持股口径取得）

向境内外籍人员披露受控技术或软件构成视同出口，须与实际出口同等对待。§742.6 对若干技术项设有针对国家组别 D:1、D:5 人员的专门限制（例如 GAAFET 技术 3E905 的视同出口限制，及对 2024-09-06 前已在职且非受禁主体员工的有限豁免安排）。企业须据此设定研发系统的国籍分区访问控制，并在入职、转岗、离职时同步调整。

需留存证据：受控技术清单与对应访问权限矩阵（按国籍/居留身份分区）；外籍员工入职与转岗时的出口管制审查记录；代码仓库、模型仓库与设计文件的访问审计日志；视同出口许可申请与批复（如需要）

将上述判断固化为制度：物项分类流程、交易方筛查流程、许可申请与例外使用流程、红旗识别与升级机制、培训与内部审计，以及完整的交易文件留存。EAR 对记录保存与虚假陈述另有独立责任，出口文件（发票、装箱单、最终用户声明、内部判定备忘）应集中归档，以便应对 BIS 的最终用途核查。

需留存证据：出口合规手册与审批流程图；红旗识别清单与升级处置记录；出口管制培训记录与考核结果；交易文件归档索引（发票、最终用户声明、判定备忘、筛查记录）

使用 §740.27 许可例外 AIA 前，出口人须向最终收货人告知每项物项的 ECCN，并取得最终收货人一次性认证后提交至 BIS（EARReports@bis.doc.gov，主题行 “AIA Certification”）。每批货物均须以书面方式告知最终收货人本批适用 AIA，并载明适用物项或说明整批适用。当最终收货人累计接收的 §740.27(a)(1) 项下物项总处理性能达到 253,000,000 TPP 时触发该报告要求。

需留存证据：最终收货人一次性认证书原件与提交 BIS 的邮件记录；ECCN 书面告知函；逐批 AIA 适用书面通知副本；累计 TPP 计算台账（用于判断是否触发报告门槛）

建立数据资产台账，逐类核对是否触及「大宗」门槛：人类组学数据超过 1,000 名美国人（其中人类基因组数据为 100 人）、生物识别标识符超过 1,000 人、精确地理位置数据超过 1,000 台美国设备、个人健康数据与个人金融数据各超过 10,000 人、受涵盖个人标识符超过 100,000 人；组合数据按其中最低门槛计算。门槛按过去 12 个月内、同一美国主体与同一外国/受涵盖人员之间的交易累计计算，且数据是否匿名化、假名化、去标识化或加密均不影响认定。

需留存证据：敏感个人数据资产台账（按 28 CFR §202.249 的六类 + 政府相关数据分列）；过去 12 个月对同一交易对手的数据量累计计算底稿；组合数据与「受涵盖个人标识符」判定说明（列出配对的 listed identifier）；政府相关位置数据比对记录（对照 §202.1401 政府相关位置数据清单）

打开工具：跨境传输矩阵

在签约前判定对方是否属于受涵盖人员：受关注国家为中国（含香港、澳门）、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉；受涵盖人员包括在受关注国家设立、主要营业地在受关注国家，或被上述主体直接/间接、单独/合计持股 50% 以上的外国实体，以及司法部长指定并公布在「受涵盖人员清单」上的主体。清单公布于《联邦公报》即视为推定知悉。

需留存证据：交易对手尽调问卷与股权穿透图（含 50% 合计持股测算）；受涵盖人员清单筛查记录（含筛查日期与命中结果）；外籍员工与承包商的国籍/主要居住地登记表；筛查结论签署页（由合规负责人签字）

不得明知而与受关注国家或受涵盖人员进行涉及政府相关数据或大宗美国敏感个人数据的数据经纪交易。数据经纪指数据出售、访问权许可或类似商业交易，接收方并非直接从数据主体处收集或处理该数据。法规示例明确包括：向境外母公司出售或许可自动驾驶车队采集的大宗精确地理位置数据；在 App 中嵌入会向受涵盖人员回传数据的追踪像素或 SDK；以及订阅式许可他人访问以大宗敏感数据训练的聊天机器人、且该机器人可被提示复现训练数据。

需留存证据：数据流向图（标注每条对外提供链路的接收方与法律定性）；SDK / 追踪像素 / 广告合作方清单与数据字段映射；已终止或改造的数据经纪合同清单与终止证明；模型训练数据来源说明（证明未以禁止交易方式获取或外传）

任何涉及受关注国家或受涵盖人员访问大宗人类组学数据（基因组、表观基因组、蛋白质组、转录组），或可由此推导出大宗组学数据的人体生物样本的受涵盖数据交易，一律禁止——包括供应商协议、雇佣协议与投资协议，不能通过实施 CISA 安全要求转为「受限交易」。人类基因组数据的大宗门槛低至 100 名美国人。

需留存证据：组学数据与生物样本清单及来源国标注；境内外研发人员对组学数据系统的访问权限矩阵；组学相关合作、委托测序与学术合作协议复核记录；禁令培训签到表（研发与 BD 团队）

与受关注国家或受涵盖人员签订涉及大宗敏感数据访问的供应商协议、雇佣协议或投资协议属「受限交易」，只有在完整实施《CISA 受限交易安全要求（EO 14117 实施版，2025 年 1 月）》并满足本部分其他要求时才被允许。法规示例明确：自行设计「自认为等效」的替代控制而不实施该安全要求，该交易即转为禁止交易。

需留存证据：CISA 安全要求实施说明书（逐条对照控制项）；身份与访问管理配置、数据最小化与加密/去标识化实施证据；受限交易清单（供应商/雇佣/投资三类分列）；由负责合规的高管年度签署的安全要求实施政策

向任何非受涵盖人员的外国人进行涉及政府相关数据或大宗敏感数据的数据经纪交易时，必须以合同约定对方不得将同一数据再行经纪给受关注国家或受涵盖人员；一旦知悉或怀疑该条款被违反，须在 14 天内向司法部报告，报告内容包括违约日期、交易与条款描述、涉及主体及相关文件副本。

需留存证据：含禁止再转让条款的合同范本与已签署版本；合同条款落实台账（按对手方逐一登记）；疑似违约内部升级与调查记录；14 天内提交司法部的违约报告及回执

供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）

从事本部分所涉任何交易的美国主体，须就每笔交易保存完整准确的记录，并自交易之日起至少 10 年内可供检查。受限交易另需以可审计方式保存：合规计划政策与安全要求政策（均年度认证）、年度审计结果、数据流尽调文档（数据类型与数量、各方身份含直接与间接股权或个人国籍/主要居住地、最终用途说明）、传输方式说明、交易起止日期、相关协议副本、许可证或咨询意见副本及其文件编号，以及由负责合规人员出具的尽调记录完整性与准确性年度认证。

需留存证据：交易记录归档索引（含 10 年保存期标注）；尽调文档包（数据类型与数量、各方身份、最终用途、传输方式）；协议、许可证与咨询意见副本及文件编号登记；尽调记录完整性与准确性的年度认证签署页

从事任何受限交易的美国主体最迟须于 2025-10-06 建立并实施数据合规计划，最低内容包括：基于风险的数据流核验程序（须以可审计方式记录数据类型与数量、交易各方身份含实体股权与个人国籍/主要居住地、数据最终用途与传输方式）；针对供应商的身份核验程序；描述数据合规计划的书面政策；描述安全要求实施情况的书面政策。后两项均须由负责合规的高管、管理人员或员工每年签署认证。

需留存证据：数据合规计划书面政策（含年度高管认证签署页）；安全要求实施书面政策（含年度高管认证签署页）；数据流核验日志（可审计格式）；供应商身份核验记录

自 2025-10-06 起从事受限交易的美国主体，须在每个从事受限交易的日历年度进行一次审计，覆盖前 12 个月。审计人须具备资格与独立性，且不得是受涵盖人员或受关注国家。审计范围包括受限交易本身、数据合规计划及其实施、§202.1101 要求的记录、以及安全要求的落实情况。审计人须在审计完成后 60 天内出具书面报告，报告须描述任何安全要求失效或存在缺陷的情形并提出改进建议；报告至少保存 10 年。

需留存证据：审计人独立性与资质声明；年度审计报告（含方法论、访谈人员、受检系统与设施）；审计发现整改计划与关闭证据；审计报告 10 年留存的归档记录

两类报告义务：一是年度报告——自 2025-10-06 起从事涉及云计算服务的受限交易，且其 25% 以上股权被受关注国家或受涵盖人员（直接或间接、通过任何合同、安排、谅解或关系）持有的美国主体，须就截至上一年 12 月 31 日的相关交易，在次年 3 月 1 日前提交年度报告；二是拒绝交易报告——自 2025-10-06 起，凡收到并明确拒绝（含以软件或自动化工具自动拒绝）涉及数据经纪的禁止交易要约的美国主体，须在拒绝之日起 14 天内报告。两类报告均须由高管、董事、履行同等职务者或负责合规的员工签署并认证真实、准确、完整。

需留存证据：股权结构穿透计算表（证明是否达到 25% 门槛）；年度报告底稿与提交回执（含交易日期、数据类型与数量、传输方式、各方名称与所在地）；拒绝交易台账与 14 天内提交的报告副本；报告签署人授权文件与真实性认证签署页

建立并维护物项归类台账，覆盖：先进计算集成电路及相关软件与技术；高带宽存储器（3A090.c 以及对应的 3D001、3E001），其对澳门与 D:5 目的地的许可要求不适用于视同出口与视同再出口；以及人工智能模型权重（ECCN 4E091，全球许可要求，其许可要求不适用于以总部位于特定目的地的实体所雇“永久正式员工”为对象的视同出口与视同再出口）。归类结论须与采购、云部署与模型发布流程绑定，任何新硬件型号或新模型发布都要重新过一次归类闸口。

需留存证据：物项归类台账（型号—ECCN—许可要求—依据条款）；模型权重是否落入 4E091 的判定记录与技术依据；归类复核与变更触发规则（新型号、新版本、新目的地）；（如适用）向 BIS 提交的咨询意见请求与答复

除清单管制外，在“知悉”物项系用于下列情形时须取得许可：位于或运往澳门或 D:5 目的地的“超级计算机”的开发、生产、运行、安装（含现场安装）、维护（检查）、修理、大修或翻新；或并入、开发或生产将用于上述超级计算机的任何“部件”或“设备”；或明知物项将用于运往位于澳门或 D:5 目的地、从事“先进节点集成电路”生产的“设施”的集成电路开发或生产；以及在技术节点未知的设施情形下，商品管制清单第 3 类产品组 B、C、D、E 项下的物项。企业须把该“知悉”标准转化为可执行的客户尽调问卷、红旗清单与放行门控。

需留存证据：最终用户/最终用途声明模板与已签署文件；红旗清单与尽调问卷（含超算、先进节点设施识别问题）；客户与目的地筛查记录（含受限方名单筛查）；放行门控审批记录与拒绝/上报案例台账；安装、运维与维修服务的用途确认记录

§742.6(a)(13) 对 ECCN 4E091 项下物项的出口、再出口与国内转移设定全球许可要求；(b)(14) 规定，对总部或最终母公司总部位于 part 740 附录 5（a）段所列目的地之外的最终用户，申请按拒绝推定审查。企业须相应控制模型权重的存放位置、可访问人员与传输路径，把“谁可以下载权重、权重复制到哪个区域、由哪家实体控制”纳入访问控制与审计，并在与海外研究伙伴、客户私有化部署、开源发布等场景中逐一评估是否构成受控转移。

需留存证据：模型权重资产台账（版本、存放区域、控制实体）；权重访问控制策略与访问日志；跨境传输、私有化交付与开源发布的受控性评估记录；员工与合作方的视同出口适用性判定记录；许可申请材料与最终用户信息（如需申请）

自 2026-01-15 起，对华及澳门出口 Nvidia H200 及其同等品与更低性能芯片的许可审查政策由拒绝推定改为个案审查，但以两组条件为前提：第一，该半导体在规则公布时已在美国商业可得；第二，出口商须证明美国国内该产品供应充足、为对华出口而进行的生产不会挤占为美国最终用户生产同类或更先进产品的全球代工产能、接收方已展示充分的安全程序、且该物项在美国境内经过独立第三方测试以核验其性能指标。买方企业须据此提前与供应商约定证明材料、第三方测试安排与交付时间表，并把审查不确定性写入采购合同的交付与免责条款。

需留存证据：接收方安全程序文件（物理安全、访问控制、用途限制、审计配合）；与出口商约定的证明材料清单与责任划分；美国境内独立第三方性能测试安排与报告；采购合同中的许可条件、交付顺延与免责条款；许可申请状态跟踪与备选方案（替代型号、替代部署地）记录

FTC Act 第 5 条禁止商业中的不公平或欺骗性行为。FTC 在「Operation AI Comply」执法行动中明确：以人工智能工具欺骗、误导或诈骗他人是违法的，法律没有为 AI 留出豁免；该次行动的被诉行为包括推广可生成虚假评论的 AI 工具、声称提供「AI 律师」服务，以及宣称可借助 AI 帮助消费者通过线上店铺赚钱。企业因此须在发布准确率、性能、自动化程度、收益承诺等宣称前，留存可支持该宣称的事前证据。

需留存证据：宣称清单与对应证据台账（评测集、方法、日期、执行人）；基准测试原始数据与可复现脚本；市场材料合规审核记录与版本留痕；用户证言与推荐的真实性核验记录

模型卡（Model Card）

FTC 在 Rite Aid 案中指控该零售商在数百家门店部署基于人工智能的面部识别技术时，未采取合理措施防止对消费者造成损害，导致消费者被错误标记为窃贼或问题人员而遭受羞辱与其他损害；和解令要求其在部署使用生物识别信息追踪或标记消费者的自动化系统时实施全面保障机制，并在无法控制对消费者的潜在风险时停止使用该技术，同时建立由公司高层监督的稳健信息安全计划。这确立了「部署即须有保障机制」的执法基线。

需留存证据：部署前风险评估与准确率/误报率测试报告（分人群统计）；人工复核与申诉机制设计文档；面向受影响个人的告知方案；高管层监督的安全与算法治理会议纪要

FTC 的执法结论具有强示范效应：同业和解令中所要求的保障机制、禁止行为与高管监督安排，通常成为客户尽调与采购问卷的事实标准。企业应建立机制，定期跟踪与自身业务形态相同的 FTC 执法行动，将其要求映射为内部控制项，并在客户安全问卷与投资人尽调中给出可佐证的回答。

需留存证据：同业执法动态跟踪台账；执法要求到内部控制项的映射表；客户安全问卷标准答复库与佐证索引；年度合规自评报告

SEC 于 2024-03-28 在《联邦公报》公布气候相关披露最终规则（89 FR 21668），原定 2024-05-28 生效；随后于 2024-04-12 公告（89 FR 25804）该最终规则生效日无限期推迟，待第八巡回上诉法院合并审查程序完成后另行公告。SEC 进一步于 2026-06-03 公布规则提案（91 FR 33296），拟废止该等气候相关披露规则，公众评论期至 2026-08-03。截至 2026-09-12 未见废止最终规则发布。因此，赴美上市或已在美上市的企业不应按该规则「已生效」编制披露，但也不应据此推断不存在其他气候披露义务。

需留存证据：规则状态跟踪台账（含联邦公报文号与查询日期）；披露准备方案的状态假设说明；与审计师/律师的状态确认记录；其他辖区气候披露义务对照表（避免以美国状态推断全局）

ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲

即便该联邦规则处于停滞状态，气候数据能力仍具商业价值：美国企业客户的供应链问卷、投资人尽调、其他辖区的强制披露制度均会要求相同的底层数据。建议保留排放核算口径、活动数据采集流程与数据质量控制，而不是随该规则状态变化而中断建设。该条为实务建议，不代表 SEC 当前存在强制披露要求。

需留存证据：排放核算边界与方法说明；活动数据采集流程与数据质量控制记录；客户供应链问卷应答历史；内部气候数据治理职责分工

温室气体清单编制工作底稿（GHG Protocol 范围一 / 二 / 三）ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲可持续信息第三方保证准备清单（有限保证起步）

打开工具：算力碳排估算