广西出台AI专项数据出境负面清单：语料训练、模型交付、词元出海如何合规？

数据出境负面清单正在从"综合性清单"走向"AI细分场景专项清单"。广西针对语料训练、模型开发交付、词元出海三张专项负面清单，把AI数据跨境的三大典型场景分别定规，企业合规判断从"翻一本厚清单"变成"对一张场景表"——清单之外即可流动，清单之内按安全评估、标准合同或认证路径申报。

一、为什么AI数据出境需要"专项清单"？

传统的数据出境合规框架围绕《数据安全法》《个人信息保护法》和《促进和规范数据跨境流动规定》展开，以"重要数据""个人信息数量"为门槛：重要数据出境须申报安全评估，10万人以下个人信息走标准合同或认证，10万至100万人走认证，超过100万人或重要数据须安全评估。

但AI业务的跨境数据流与传统业务不同：一是体量大，语料训练动辄涉及海量公开数据与行业数据，逐条识别不现实；二是形态新，模型权重、词元（Token）调用记录、推理输出是否属于"数据出境"，在既有框架下存在定性争议；三是场景杂，"外数中算"（境外数据进境处理）、"权重留境、推理出境"、海外云节点等多种架构并存。用一张综合性负面清单覆盖所有AI场景，要么过严抑制产业，要么过松留有风险敞口。专项清单的价值正在于按场景切分：语料训练一张表、模型交付一张表、词元出海一张表，每张表内明确哪些数据禁止出境、哪些需要申报、哪些自由流动。

负面清单模式的合规红利在哪里？

负面清单的核心逻辑是"清单之外即自由"。对企业而言，这带来三个确定性：第一，可预期——业务数据是否涉及清单条目，可以做逐项比对的自查；第二，可豁免——清单外的个人信息出境仍需履行基础义务，但不再需要逐案论证"是否重要数据"；第三，可审计——企业合规档案中留存清单比对记录，即可作为尽调证据。此前北京全域负面清单、上海十条举措、各地自贸区清单已形成政策梯度，广西这次补上了"AI场景化"的关键一块拼图。

二、三大AI场景的合规要点逐一拆解

场景一：语料训练。核心风险点在于语料中混入个人信息和重要数据。企业应建立语料分级台账：公开数据集、已授权商业数据、需要脱敏或出境许可的数据分别标记；涉及个人信息出境用于境外训练的，履行标准合同或认证程序并做匿名化处理；涉及重要数据（如地理测绘、人口健康等敏感行业语料）的，对照清单确认是否落入禁止或限制出境范围。

场景二：模型开发交付。向境外客户交付模型，可能同时触发数据出境与技术出口两条线。数据层面，交付物中内嵌的训练数据、测试集需做出境合规审查；技术层面，结合《中国禁止出口限制出口技术目录》最新修订（商务部、科技部10月16日第48号公告），评估模型技术是否落入23项AI列管技术，涉及限制类技术的海外本地化部署须履行出口前登记。两条线要同步过筛，不能只看其一。

场景三：词元出海。典型架构是"权重留境、推理出境"——模型不出境，境外用户远程调用境内算力。合规要点在于推理数据的流路设计：境外用户数据是否回流境内、回流后是否与境内个人信息混流、输出内容是否经境内安全审核。此前汕头等地已形成成熟的合规框架，企业应避免自定义灰色通道，优先采用监管实践已验证的架构。

三、面向东盟业务的企业操作清单

第一步，数据摸底。按语料、模型、词元三类场景盘点数据资产，识别个人信息、重要数据、核心数据。第二步，清单比对。对照广西专项清单（及业务所涉地区的负面清单）逐项核查，形成书面比对记录。第三步，路径选择。清单外数据自由流动并留存记录；清单内数据按数量与敏感度选择安全评估、标准合同或认证路径。第四步，架构优化。能用"权重留境、推理出境""外数中算"等技术方案减少实质数据跨境的，优先调整架构。第五步，动态跟踪。负面清单和AI技术出口目录都在动态调整，建议每季度复核一次比对结论。

广东华商律师事务所潘杰峰律师点评

从综合清单到场景专项清单，数据出境合规正在精细化，这对做东盟生意的企业是实实在在的利好——规则越具体，合规成本越低。但企业要警惕"清单依赖症"：负面清单解决的是出境门槛问题，语料授权、个人信息保护、内容安全等基础义务并不因清单豁免而免除。AI出海业务建议做"双清单"审查，即数据出境负面清单与技术出口管制目录同时过一遍，特别是模型交付类业务，10月16日新公告已把23项AI技术纳入出口登记管理，漏检一条就可能构成违规出口。建议企业在跨境架构设计阶段引入法律与技术联合评审，避免合规与工程两张皮。

FAQ

Q1：负面清单之外的数据出境就完全不用办手续了吗？

不是。清单之外仅意味着不触发最严格的管控，含个人信息的出境仍需履行告知同意、匿名化等基础义务，并按数量标准判断是否需要标准合同或认证；重要数据的识别也不能只依赖清单，还应结合行业主管部门的目录性规定。

Q2：把模型卖给东盟客户，除了数据出境还要注意什么？

要同步做技术出口合规审查。商务部、科技部2026年10月16日公告拟将23项AI技术纳入禁止出口限制出口技术目录，涉及限制类技术的海外本地化部署、技术授权等须履行出口前登记；纯API调用、SaaS服务一般不属于技术出口管理范围。

Q3：语料里有东南亚用户的个人信息，训练在境内完成合规吗？

境外数据进境处理后再输出（外数中算）模式下，若处理过程中未引入境内个人信息或重要数据，相关传输可免予三项出境机制；但需注意境外法域的数据本地化要求（如东南亚多国数据本地化立法），并核查数据来源的合法性授权。