AI 工具数据流向与跨境访问核查准备

能帮做什么

AI 工具由境内公司销售，不代表上传资料的所有处理都发生在境内。模型调用、备份、日志分析和远程运维，可能涉及不同接收方。法务需要先拿到完整事实，才能判断下一步如何审查。

WorkBuddy 可以把供应商文字说明和企业接口资料整理成链路清单，找出不明环节，生成补证问题。它整理的是核查准备材料，不独立证明实际网络链路，也不自动判定出境路径。

准备什么

提供产品及部署版本、计划处理的数据类型、数据中心和备份位置、基础模型及插件列表、运维访问说明、接收方信息、接口调用说明。已有的数据流向文字、合同承诺和技术核查结论也一并放入。只用获准读取的资料，通常无需提交真实用户数据。

具体怎么做

第一步：列清数据和业务入口

按照上传文档、提示词、输出、日志等类别，记录数据由谁输入、进入哪个模块。不要仅凭产品首页的服务器介绍就补齐全部链路。没有说明是否留存的，明确标为未知。

第二步：逐环节整理接收和访问

将收集、传输、存储、推理、备份、人工访问及删除分别列出。每个环节记录处理主体、地区、数据范围、材料位置及确认状态。境外远程访问需要单列，不能因数据中心在境内就略过。

第三步：让问题对应负责人

供应商补充链路及接收方说明，企业技术人员核实配置与实际连接，法务判断相关法律要求。将文章和服务说明中的“合规承诺”与实际链路证据分开，防止用一句承诺填满所有缺口。

可直接交给 WorkBuddy 的完整要求

请把所给 AI 工具资料整理为数据流向核查准备稿。先确认本次产品、版本、部署方式、输入数据类型和企业用途，不扩大到其它服务。

按收集、传输、推理、存储、备份、人工访问、第三方接入、删除列出链路表。每行包含数据类别、发出方、接收方、处理主体、所在地区、处理目的、访问方式、证据位置及状态。资料未说明的写未知，不按常见架构补图。

单独汇总可能涉及境外存储、调用、备份或访问的环节，使用“待核查线索”表述，不直接作法律定性。输出需要供应商说明的问题、需要内部技术验证的事项和法务待判断事项。合同承诺与技术事实分别记录。

不探测网络、不调用接口、不读取生产数据，不替企业确定安全评估、标准合同、认证或豁免的适用，不作整体已合规结论。

得到什么

得到数据类别表、链路清单和补证分工表。例如供应商说明境内存储，却未说明海外运维是否可以查看日志，清单应保留这个缺口，追问人员所在地区、权限、日志字段、访问范围和控制措施，不先判为已出境或绝无出境。

怎么检查

确认每条链路能回到文字材料或正式技术结论，不能让模型把服务商总部位置当作处理位置。重点核对日志、备份、插件及远程访问有没有遗漏；同一主体的不同系统也可能有不同安排。已确认和待验证的内容必须有明显区分。

异常处理

只有图片架构图时，要求补充可读文字链路，未授权查看图片则不分析其内容。不同文件对数据中心或模型提供方说法不一致，保留冲突并请供应商解释。供应商拒绝说明关键接收方时，将未满足的事实需求交负责人判断，不自行判定可接受。

人工决定

技术与信息安全人员核实实际处理链路、访问控制和配置；法务结合数据性质、规模、处理主体及现行规则判断义务；业务和管理人员决定是否调整方案或允许上线。WorkBuddy 不替代专项技术核查或出境合规判断。