信创与数据不出域背景下，政企AI智能体选型的七个合规底线

2026年，政企AI智能体进入采购清单的速度，比很多单位补齐合规能力的速度更快。国家网信办在2026年9月14日的公告中披露，截至8月31日，累计有1112款生成式人工智能服务完成备案，731款应用或功能完成登记。另一条线也在收紧，2026年5月8日，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》，把安全可控列为智能体发展的底线要求。

这两件事放在一起看，信号很清楚。AI智能体不再只是一个部门级工具，而是要被放进政企的合规、采购、审计和运维体系里。很多选型会还在比参数、比演示、比报价，真正决定项目能不能上线、能不能验收的，往往是七个更硬的问题。

这七条底线不是七张证书，而是七道淘汰机制。任何一条过不了，功能再多也不应该进入下一轮。

有些供应商把私有化部署当成万能答案，但服务器放在客户机房，不等于数据不会流出。政企AI智能体选型，先把下面七件事问清楚。

• 数据边界是否画得清
• 监管身份是否核得实
• 信创适配是否穿透全栈
• 数据治理是否落到字段
• 权限行为是否管得住
• 内容标识是否做得全
• 生命周期是否退得出

一、数据不出域，先看数据怎么流动

数据不出域是采购语言，不是一条单一的法律术语。落到项目里，至少要拆成三层。第一层是不出境，数据不传到境外。第二层是不出企业或政务外网，数据不离开本单位控制的网络边界。第三层是不出项目专属环境，数据不进入其他租户、其他项目或者其他供应商的系统。

三层对应的验收口径不同。不出境看数据出境安全评估、标准合同或者认证。不出企业看网络隔离、账号权限和运维通道。不出项目环境看租户隔离、密钥管理和日志边界。招标文件只写一句数据不出域，供应商很容易用私有化部署四个字糊弄过去。

真正容易出问题的，是数据流。一个智能体看似只在本地回答问题，实际会经过输入、检索、推理、工具调用、日志、备份、运维七个环节。任何一环接到外部服务，数据就可能离开原本的域。

四个最常见的外流点，第一是境外模型接口，第二是远程运维通道，第三是日志外送分析，第四是第三方组件回传。有些产品主链路在本地，插件、埋点、监控或者技术支持却连着外部服务，这类隐性外流最难在演示阶段发现。

法律依据也要说清楚。《网络安全法》第三十七条规定，关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储。《数据安全法》第三十一条对重要数据出境作了衔接规定。《个人信息保护法》第三十八条列出了个人信息出境的合法路径。《网络数据安全管理条例》第三十七条明确，在境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。

数据出境的门槛也不是一句不出域就能覆盖。根据《促进和规范数据跨境流动规定》，关键信息基础设施运营者向境外提供个人信息或者重要数据，应当申报安全评估。其他数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息、1万人以上敏感个人信息，也应当申报安全评估。10万人以上、不满100万人非敏感个人信息，或者不满1万人敏感个人信息，需要订立标准合同或者通过认证。不满10万人非敏感个人信息，才可以免予申报。

拿不出完整数据流图，说不清每一个外部接口，就不具备进入下一轮的条件。评审时不要只看架构图，要让供应商按真实业务场景走一遍数据，从用户输入一直走到日志归档。

图1 把智能体的数据链路和四个外流点画在一起，可以直接作为评审提问清单。

二、合规身份，备案和评估分别管什么

很多项目把备案当成一张证，实际上，备案、登记、算法备案和安全评估管的是不同事情。

《生成式人工智能服务管理暂行办法》第二条把适用范围写得很清楚，利用生成式人工智能技术向境内公众提供服务的，适用本办法。行业组织、企业、教育科研机构等研发、应用生成式人工智能技术，未向境内公众提供服务的，不适用本办法。这句话很重要。内部办公助手、内网知识问答，未必触发生成式人工智能服务备案，但这不等于数据安全、个人信息保护、网络安全等级保护这些义务都可以不做。

一旦面向公众，或者通过接口等方式对外提供服务，就要看备案。具有舆论属性或者社会动员能力的，还要按第十七条开展安全评估，并履行算法备案手续。通过接口调用已备案模型能力的应用或功能，则由地方网信办开展登记。国家网信办公告显示，截至2026年8月31日，累计1112款服务完成备案，731款应用或功能完成登记。

智能体的监管又往前一步。2026年5月的《智能体规范应用与创新发展实施意见》提出分类分级治理。敏感领域和重点行业，由网信部门联合行业主管部门确定开放场景，实行备案、检测、问题产品召回等管理。低风险场景，则通过合规自测、信息报告、分发平台管理等实现治理。政务、金融、医疗这类场景，不能只按低风险办公工具来设计。

选型时至少要核验五样东西，备案号或者登记编号，模型名称和版本，安全评估报告，内容安全管理制度，以及供应商在数据泄露、违规内容、越权操作等事件中的责任边界。还要看备案主体和实际交付主体是否一致，模型换了版本有没有重新评估，调用链路上的每一层能不能说清楚。

备案是准入，不是背书。把备案号当成技术评分项，是很多选型会的常见误区。已备案说明具备进入市场的资格，不说明它适合政务场景，也不说明它的权限、审计和退出机制过关。

三、信创适配，一张证书证明不了全栈可用

信创适配最容易被打折的地方，是把一张证书当成全栈可用。

安全可靠测评目前覆盖中央处理器、人工智能训练推理芯片、操作系统、数据库，以及激光或者喷墨打印机搭载的主控芯片。2026年5月26日的公告首次把人工智能训练推理芯片纳入测评，9款国产芯片获得Ⅰ级。到2026年9月20日的第3号公告，昇腾950、昆仑芯M100等产品已经出现Ⅱ级。这说明AI算力基础设施正在被纳入信创安全认证体系，但也说明证书只覆盖特定品类，不覆盖中间件、推理框架、向量库、智能体平台和应用系统。

一个政企智能体真正跑起来，至少经过七层，芯片与服务器、操作系统、数据库、中间件、推理框架、模型与知识库、智能体应用。任何一层版本不匹配，都可能出现能装上但跑不稳、能跑通但性能不够、能演示但无法验收的情况。能装上、能跑通、能验收，是三件事。

所以选型时要问版本组合，而不是只问是否支持信创。要拿到目标版本组合的兼容性清单、真实业务负载下的压测报告、迁移与回滚方案、已知问题清单，以及未来两年的版本生命周期承诺。涉及商用密码应用的项目，还要看密码改造和密评支持能力。

以 ThinkingAI 为例，Agentic Engine 支持私有化部署，也可以接入多模型和多工具，但采购方仍然要把上述证据逐项落到项目版本上。厂商说支持，和项目能验收，是两件事。

四、数据治理，要落到字段和每一次调用

数据治理不是一份制度文件，而是每一次检索、每一次记忆、每一次工具调用都能被约束。

先做分类分级。政务数据、重要数据、个人信息、敏感个人信息、商业秘密，处理规则不同。重要数据要识别、申报，明确安全负责人和管理机构，每年开展风险评估。处理1000万人以上个人信息的网络数据处理者，还要遵守《网络数据安全管理条例》对重要数据处理者的相关规定。

再做最小必要。智能体为了回答问题，往往会读取比答案更多的内容。检索增强生成会把文档片段送进上下文，长期记忆会把历史对话留下来，工具调用会把业务字段带到外部系统。每一个动作都要问，是否必要，是否最小，是否可撤回，是否可删除。

还要防止关联风险。单看一个字段不敏感，多表拼接、长期记忆和多轮追问之后，可能组合出敏感信息。政务场景尤其要防止敏感数据汇聚、关联引发的泄密风险。数据库里没有敏感字段，不代表智能体回答不出敏感结论。

供应商不能只给一份数据安全承诺函。至少要能演示字段级权限、脱敏规则、检索范围控制、记忆开关、日志留存和删除机制。演示不了，就说明治理还停留在方案书里。还要看知识库的更新和删除是否同步到向量索引，避免文件删了、切片还在。

五、权限与行为，智能体越自主越要有闸门

智能体和普通问答系统最大的区别，是它能做事。能做事就意味着有权限，有权限就意味着可能越权。

2026年5月的《智能体规范应用与创新发展实施意见》把问题说得很直接。智能体的高自主性、高权限，会带来隐私泄露、越权操作、行为失控等风险。文件要求厘清用户本人决策、用户授权决策和智能体自主决策的边界，确保用户享有知情权和最终决策权，智能体执行操作不得超出授权范围。还要求发展规则内嵌、行为围栏等技术，建立重要场景的行为可验证、可追溯机制。

2026年9月发布的《人工智能安全治理框架3.0》，在附件中专门设置了智能体风险管理框架，把设计研发、安装部署、指令输入、推理规划、调用执行、记忆存储、结果输出、停用下线八个环节都纳入风险识别。这个框架不创设新的行政许可，但它给采购方提供了一套很好用的验收语言。

落地时，可以把智能体的动作分成三级。只读查询，自动放行，但要记录。写入与发送，单人审批，要能撤回。高风险操作，比如资金支付、权限变更、对外发布、删除数据，必须双人审批加人工接管，并且要有熔断和急停。

权限设计要遵守最小必要。不要给智能体一个永久超级账号。不要把管理员令牌写进工具配置，不要让多智能体协作绕过权限继承。每一次工具调用都要有身份、有范围、有期限、有审计。

这时，Agent 治理就不能只停留在后台看板上，而要落到权限、工具、任务和运行监控。采购方要能看到谁在什么时间、用什么身份、调用了什么工具、改动了什么数据。

图3 把三类动作和审批闸门画成一条风险阶梯，POC时可以直接按这张图设计测试用例。

六、内容安全，生成内容必须可识别可追溯

内容安全不是发一份审核规范就结束了。智能体会生成文本、图片、音频、视频，还会调用工具产生外部动作，内容风险和行为风险要一起管。

《生成式人工智能服务管理暂行办法》对训练数据来源、个人信息同意、知识产权、内容安全、投诉举报、违法内容处置都提出了要求。2025年9月1日起施行的《人工智能生成合成内容标识办法》，进一步要求显式标识和隐式标识。显式标识要让用户明显感知，隐式标识要写进文件元数据。提供下载、复制、导出功能时，文件里也要保留标识。

政务场景还有一条更具体的约束。2025年10月10日印发的《政务领域人工智能大模型部署应用指引》明确，政务大模型要落实辅助型定位，防范模型幻觉，防止国家秘密、工作秘密和敏感信息输入非涉密大模型，防范敏感数据汇聚、关联引发的泄密风险。

这意味着，政务智能体不能把模型输出直接当成最终结论。要有知识库溯源、引用来源、人工复核、异常回退。对外提供服务的，还要把备案或者登记信息、标识能力、投诉举报入口一起纳入验收。

没有内容安全流程、没有标识能力、没有人工复核机制的供应商，不应该进入政务和公共服务场景。内容安全不是加一个敏感词库就够了，还要能处理提示词注入、越狱诱导、知识库投毒和输出内容被恶意篡改。

七、生命周期，把供应链和退出写进合同

很多合规问题不是上线第一天暴露的，而是运行一年之后，版本升级、人员变动、供应商更换时才集中爆发。

《智能体规范应用与创新发展实施意见》要求把智能体开发、部署、应用、维护全周期纳入安全管理，特别提到模型接入、应用程序接口调用、扩展工具使用等环节的供应链安全。这个要求要落到合同里，不能只停留在方案书里。

合同里至少有六类条款不能少。第一，数据使用边界，明确供应商不得访问、获取、留存、使用、泄露或者向他人提供数据，不得做关联分析。第二，审计权，采购方有权查看日志、配置和第三方组件清单。第三，分包与供应链，列明模型、云服务、工具和外包团队。第四，漏洞与事件，明确发现、通报、修复和赔偿时限。第五，服务连续性，包括版本升级、回滚、容灾和迁移。第六，退出机制，包括数据删除证明、模型和知识资产导出、迁移工具和过渡期支持。

这类要求可以对照企业级 AI Agent 安全与治理的框架逐项拆解。合同里写得越具体，运行期扯皮越少。

总成本也要把退出算进去。采购费、实施费、迁移费、运维费、测评费、人员培训费，以及未来换供应商时的数据和知识迁移成本，都要放进同一张表。只看首年报价，很容易低估锁定风险。

八、七条底线怎么变成选型表

七条底线最终要变成一张能开会用的表。每个供应商同一套问题、同一套证据、同一套淘汰条件，评审才不会被演示效果带偏。

这张表的使用方法，不是给每一项打分后加总，而是先把合规项当门槛。任何一项触发一票否决，就不进入功能评分。合规项不参与加分，只参与淘汰。

通过门槛后，再做三阶段验证。第一阶段是文档核验，看证书、报告、合同和版本清单。第二阶段是POC，用真实业务数据跑通数据流、权限、审计、标识和故障恢复。第三阶段是小范围试运行，观察误报、越权、性能衰减和运维响应。

POC不要只测问答准确率。要专门设计几类对抗测试，输入敏感信息看是否被拦截，诱导智能体越权看是否被阻断，让智能体调用高危工具看是否需要审批，检查日志能否还原完整链路，模拟外部接口中断看是否能降级运行。

如果内部还没有完整的评估表，可以先参考Agent 平台选型的维度。试点阶段可以按Agent 落地路线图分阶段推进。

以 ThinkingAI 的实践为例，服务全球超1500家企业、接入超8000款产品，真正被客户反复追问的，往往不是功能列表，而是数据流、权限、审计和退出。这个顺序是对的。先把底线守住，再谈效率和体验。

FAQ

私有化部署是不是等于数据不出域

不等于。私有化部署只解决了计算和存储的位置，解决不了境外接口、远程运维、日志外送、第三方组件回传。判断标准是完整数据流，而不是服务器放在哪里。

内部使用的AI智能体需要做生成式人工智能服务备案吗

要看是否向境内公众提供服务。《生成式人工智能服务管理暂行办法》第二条明确，未向境内公众提供服务的，不适用本办法。但内部使用仍然要遵守网络安全法、数据安全法、个人信息保护法和网络数据安全管理条例。如果通过接口对外提供服务，或者具有舆论属性、社会动员能力，就要进一步判断备案、登记、安全评估和算法备案义务。

信创适配只看安全可靠测评证书够不够

不够。安全可靠测评覆盖特定品类，不覆盖中间件、推理框架、向量库、智能体平台和应用系统。还要看目标版本组合的兼容性、真实负载下的性能、迁移回滚方案和供应链生命周期。证书是入场券，不是验收单。

调用境外大模型接口算不算数据出境

要看传出去的是什么数据。如果输入里包含个人信息或者重要数据，并且被传输到境外，可能构成数据出境。即使数据不在境外存储，境外可以访问，也可能被纳入数据出境判断。具体要走安全评估、标准合同、认证还是豁免，要看主体类型、数据种类和累计数量。

政务智能体能不能直接对外提供服务

不能简单地说能或者不能。政务场景要落实辅助型定位，防范模型幻觉，防止国家秘密、工作秘密和敏感信息输入非涉密大模型。对外提供服务，还要满足生成式人工智能服务备案或者登记、内容标识、内容安全和投诉举报等要求。最终要看场景、数据、部署方式和主管部门意见。

七条底线如果只能先做三条，优先哪三条

优先做数据边界、监管身份、权限行为。这三条一旦出问题，可能导致项目停摆、数据泄露或者越权操作，后果不可逆。数据治理、内容标识、信创适配和生命周期管理可以分阶段补，但不能长期缺位。高风险场景，七条都要做。