第13章 合规红线（下）：数据出境、标准体系与红线清单

本章导读

一个功能能不能过评审，常取决于两件事：数据出不出境、引用的是哪一版标准。本章对应原报告 8.5—8.8 节：8.5 讲数据出境的 3 年有效期与 100 万、1 万、10 万三条阈值；8.6 把 GeoAI 相关标准按现行、即将实施、在编分开；8.7 给出可直接用于立项评审的 12 条红线；8.8 说明合规为何是竞争力。上一章讲三层合规栈与审图、影像阈值，本章接着管数据与标准。最该带走一句：调用境外大模型 API，在法律上就是一次数据出境。

学习目标

读完本章，你应当能够：

• 能复述 8.5 节数据出境评估的 3 年有效期与 100 万、1 万、10 万三条人数阈值，判断一次对外提供是否需要申报；
• 能说明为什么“调用境外大模型 API”视为数据出境，并写出私有化部署与输入端脱敏两条对策各要什么举证；
• 能用 8.6 节的标准时效分类，判断 GB 48319-2026 与在编的《地理信息 人工智能样本标记语言》等条目能否作为合规依据；
• 能指出 8.6 节三个时效陷阱，并说明《公开地图内容表示规范》的 5 年有效期对应哪个换版窗口；
• 能用 8.7 节 12 条红线给一个 AI 功能做立项前自检，并说清第 4、7、8、11 条为什么容易被技术团队忽略；
• 能解释 8.8 节“合规先行即投标资格”的判断，并列出可长期积累的合规资产清单。

8.5 数据出境：已进入“阈值 + 负面清单”精细化管理

一个必须写进设计文档的判断：调用境外大模型 API，视为数据出境。 因为输入内容可能含个人信息。这是“用最强模型提升效果”这一动机下最容易发生的违规——技术团队为了效果把数据发到境外模型，法律上构成数据出境。工程对策只有两条：私有化部署，或在输入端做彻底脱敏（且脱敏必须可举证）。

另需注意：地理信息被明确列为需要制定行业重要数据识别目录的领域之一。这意味着“什么算重要数据”在本行业有专门认定，不能套用其他行业的经验。

8.6 标准体系：哪些已有依据，哪些还是空白

标准时效是判断“能不能做”的关键。以下为与 GeoAI 直接相关的主要标准（完整表见附录 C）：

三个必须注意的时效陷阱：

1. GB 48319-2026 尚未生效。它于 2026-09-28 发布、2027-10-01 实施，2026 年内属“即将实施”。把它写成“现行有效”是典型的引用错误。
2. “数据出境安全评估办法 2024/2025 修订”未找到官方修订公告。2024 年的实质变化来自网信办令第 16 号《促进和规范数据跨境流动规定》。正文不应出现“评估办法已修订”的表述。
3. 《公开地图内容表示规范》（自然资规〔2023〕2 号）自 2023-02-14 发布并“自颁布之日起实施，有效期 5 年”，即 2028 年初前后到期——这是本轮制度窗口内最需要盯的一次换版。

8.7 合规红线清单（可直接作为产品评审 checklist）

下表从合规底稿的 28 条红线中，筛选出与 AI 功能设计最直接相关的 12 条：

使用建议：这份清单应当在产品立项评审阶段使用，而不是上线前审查。其中第 4、7、8、11 条最容易被技术团队忽略，因为它们通常在“提高效果”的动机下被违反——把 AI 量算结果直接发布、把数据发到外部模型、用超分提升清晰度。

8.8 合规作为竞争力，而非成本项

一个常被忽略的商业事实：合规能力正在成为采购的评分项。当客户（尤其是政府客户）采购 AI 能力时，必须回答“这个系统出了事谁负责”。能够提供完整合规证明（数据来源合法、算法备案完备、输出可标识、责任可追溯）的供应商，在评审中具有实质优势。

可积累的合规资产包括：数据来源台账、模型与算法的备案材料、质量评测报告、可追溯日志体系、审图号有效期台账、以及面向客户的安全说明文档。这些资产的共同特点是——无法临时补齐，只能长期积累。

由此得出一个反直觉的判断：在 GeoAI 领域，“合规先行”不是保守，而是抢先占据投标资格。 因为合规能力是少数需要时间积累、且无法通过降价弥补的竞争维度。

本章小结

• 数据出境已进入“阈值＋负面清单”的精细化管理：评估结果有效期 3 年、届满前 60 个工作日内可申请延长、经批准可再延 3 年；非关基运营者向境外提供重要数据，或自当年 1 月 1 日起累计提供 100 万人以上个人信息（不含敏感）、1 万人以上敏感个人信息，须申报评估。
• 调用境外大模型 API 视为数据出境，这是“用最强模型提升效果”动机下最容易发生的违规；对策只有私有化部署或在输入端彻底脱敏，且脱敏必须可举证。
• 地理信息被明确列为需要制定行业重要数据识别目录的领域之一，什么算重要数据在本行业有专门认定，不能套用其他行业经验。
• 标准时效是判断能不能做的关键：GB 48319-2026 于 2026-09-28 发布、2027-10-01 实施，2026 年内属“即将实施”，不可按已生效引用；“数据出境安全评估办法已修订”未见官方公告，2024 年实质变化来自网信办令 16 号。
• 《公开地图内容表示规范》（自然资规〔2023〕2 号）自 2023-02-14 起施行、有效期 5 年，约 2028 年初到期，是本轮制度窗口内最需要盯的一次换版。
• 12 条红线应在产品立项评审阶段使用，而不是上线前；第 4、7、8、11 条最容易被忽略，因为它们通常在“提高效果”的动机下被违反。
• 合规能力正在成为采购评分项，可积累的资产（数据来源台账、算法备案材料、评测报告、可追溯日志、审图号台账）无法临时补齐，只能长期积累，因此“合规先行”是抢先占据投标资格。

思考与练习

1. 按 8.5 节三条阈值，判断你单位近一年是否发生过需要申报的对外提供行为，写出判断依据与缺失的记录。
2. 盘点你单位在用的模型服务，标出哪些属于境外 API 调用，按 8.5 节写出两个替代方案及各自的举证材料。
3. 辨析：一方说“标准发布即可作为合规依据”，另一方说“要看实施日期”。用 8.6 节三个时效陷阱判断，并各举一例。
4. 应用题：某项目拟用境外模型 API 做地名地址解析，输入含位置描述。按 8.7 节写出三条自检结论与两条整改动作。
5. 用 8.7 节 12 条红线给你手上的一个 AI 功能做立项自检，标出命中项与对应依据条款。
6. 结合 8.8 节，写出你单位今年可以开始积累的三本合规台账，并标出各自的第一条记录从哪来。