ERP 数据上的 AI：个人信息保护法与数据出境

与 ERP 数据和 AI 相关的法规主要有：网络安全法、数据安全法、个人信息保护法（PIPL），以及围绕数据出境的配套规定，包括数据出境安全评估办法、个人信息出境标准合同办法，以及后来对数据跨境流动要求做了调整和适度放宽的规定。此外，生成式人工智能服务管理暂行办法主要针对向公众提供服务的场景，企业内部使用与其适用情形不同，应由法务判断。

不同行业还有各自的要求，例如金融、汽车、医疗、军工等。企业若被认定为关键信息基础设施运营者，或处理达到一定规模的个人信息，义务会更重。这些判断依赖企业的具体情况，不能一概而论。

一般而言，把境内产生的数据传输到境外，或者境外主体能够访问境内存储的数据，都可能被认为涉及出境。对 AI 来说，典型情形是：调用境外公有云的模型接口，把包含 ERP 数据的提示词发到境外；使用境外厂商托管的 SaaS 问答工具；总部的境外团队远程访问含个人信息的结果。

近年的规定对一部分情形做了豁免或简化，例如对非个人信息、非重要数据的一般跨境流动，以及一定数量以下的非敏感个人信息出境，要求有所放宽。但门槛和例外条件会随政策调整，企业应当向法务确认当前有效的规则，而不是依赖过时的经验。

上线前建议逐项确认：数据盘点和分级是否完成；个人信息的处理是否有合法依据，是否已告知并取得必要的同意或适用其他合法性基础；是否需要做个人信息保护影响评估；模型与日志的存放位置；供应商与运维人员的访问方式；以及事故响应流程。涉及个人信息保护影响评估的情形，应由企业按规定自行组织。

Netray 的评估服务可以从技术角度协助梳理数据路径和架构，帮助企业向法务清晰说明数据去向。试点阶段建议先选不含个人信息的场景，例如采购和库存查询，验证效果后再扩展到更敏感的数据。