AI 工具采购合规问卷与缺口清单

能帮做什么

业务部门准备采购 AI 工具，供应商发来方案、协议和安全说明。材料不少，法务仍难回答几个关键问题：实际买的是哪个版本，谁处理数据，上传文件是否进入训练，输出会不会直接交给客户？

WorkBuddy 可以先读取这些文件，把已有事实、相互矛盾的说明和缺失材料整理成问卷草稿。适合交付的是一份能分工补证的问题清单，让采购评审有明确起点。

准备什么

准备一份采购需求，写清使用部门、具体用途、计划输入的数据、输出去向、是否连接内部系统。再放入供应商方案、产品与部署说明、拟签协议、隐私及安全说明、已有资质材料，以及企业现行准入规则。

明确本次产品名称、版本、签约主体和部署方式。相同品牌的公开版、企业版与私有部署版可能有不同安排，材料应对应实际采购对象。只提供获准处理的文件；涉及客户、员工或经营机密时，先按公司要求脱敏。扫描文件无法读取的，补充可读文本。

具体怎么做

第一步：确认本次采购对象

先让 WorkBuddy 建立采购事实卡，将使用场景、数据、主体、版本和部署信息列在一起。此时只做归集，每条事实都对应材料位置，缺少的信息直接留空并标明待补。

第二步：对照条款找出事实缺口

接着按数据处理、模型训练、第三方接入、输出用途、安全响应和退出安排对照现有材料。例如合同写“仅用于提供服务”，另一份说明却写“用于改进模型”，应保留两段原文，标记解释冲突，要求供应商澄清。

第三步：形成可分工补证的问卷

最后将缺口改成可回答的问题，注明希望对方提供的材料。将供应商需回答的问题与企业内部需确认的事项分开：业务确认真实用途，信息安全确认部署和链路，法务确认法律义务与合同要求。没有企业准入规则时，先完成事实整理和补证问卷，不让工具自行决定标准。

可直接交给 WorkBuddy 的完整要求

请依据我提供的采购需求、供应商材料和企业准入规则，为本次 AI 工具采购整理合规问卷草稿。先确认产品名称、版本、签约主体、运营主体和部署方式；无法确定的列为待补，不要合并不同主体或版本的证明。

输出三部分。第一部分是采购事实卡，列明使用部门、业务用途、输入数据、输出去向、接口及第三方接入、存储与调用说明。第二部分是证据缺口表，字段为事项、已有说明、文件及原文位置、状态、缺少什么、建议由谁补充。状态只使用已明确、表述冲突、尚未提供、需要专业判断。第三部分是供应商问卷，问题按数据处理、训练使用、跨境访问、输出权利、安全响应和退出安排分组，每个问题写明希望取得的说明或文件。

重点核对企业输入是否用于通用模型训练、是否存在人工访问或转委托、终止后如何返还删除数据，以及证明材料是否覆盖实际采购版本。引用材料原句支持判断；不能回答的问题不要推测。不要把所有 AI 工具都认定为必须备案，不作合法性、准入或上线结论，不发送问卷，不修改原文件。

得到什么

你会得到采购事实卡、证据缺口表和供应商问卷三份内容草稿。例如，训练用途一栏可以写：“协议未明确，需补充企业输入与输出是否进入通用训练、是否需要单独授权，以及对应条款和配置说明。”这类问题可以直接分配给采购人员收集答复。

怎么检查

核对产品、主体和版本是否一致；抽查关键事实能否回到原文；检查问题是否足够具体、有没有要求重复提交已有材料。尤其区分“材料尚未提供”和“已确认不符合要求”，避免因信息不足得出拒绝采购的结论。资质证明也要核对主体、范围和时效，单张证书不能替代整体验证。

异常处理

供应商只说“完全合规”，问卷应继续追问具体范围与证明。材料互相冲突时保留两种说法，不替对方选择有利解释。技术链路只有图片而没有可读说明时，列为待补，由供应商提供文字描述。涉及法律义务适用但缺少事实时，先补事实，再交法务判断。

人工决定

业务负责人确认使用需求，信息安全人员核验实际配置和数据链路，法务判断适用义务及合同要求。是否采购、允许接触什么数据、何时上线，仍由企业授权人员决定。问卷草稿只能说明还要问清什么，不能证明供应商已经通过审查。

把退出条件在采购时问清楚

补充要求：“将企业输入输出、模型调用日志和专门审计记录分开，分别询问供应商、模型提供方、企业管理员及转委托方的访问人员、用途、训练使用、保存期限和责任。对终止服务，问清能导出什么、由谁返还或删除、如何提供回执、保留例外依据与限制处理安排。每个回答要求对应实际采购版本的条款或配置说明，不把签约方自动当全部环节操作者，也不把供应商承诺写成已经执行。”

退出时将这些约定与 061 的处置范围和回执核对；涉及个人请求用 062，组件更新用 134。问卷可以提前暴露合同缺口，实际访问控制、导出、删除和训练退出仍需技术人员验证、法务判断及授权人员批准。