私有化部署几乎成了企业级 AI Agent 采购里的默认要求。对要求全链路本地推理、离线运行的业务，数据、模型和推理都需留在约定边界内，但私有化部署四个字正被用得越来越宽。思科发布的 2024 数据隐私基准研究覆盖 12 个地区 2600 名隐私与安全从业者，其中 48% 承认曾把非公开公司信息输入生成式 AI 工具，27% 的企业至少一次临时禁用过生成式 AI。企业一边担心数据外流，一边又容易把厂商宣传里的私有化当成既成事实。
这篇文章要做两件事，把伪私有化从宣传话术里挑出来，再用一份清单完成真私有化的验收。判断的起点只有一句话，私有化部署改变的是部分组件的承载位置，不会自动让数据不出域。本文的离线验收清单适用于合同要求全链路本地推理、离线运行的场景；其他场景应按数据等级、实际部署环境和合同约定验收，不能仅凭存在公网调用、逻辑隔离或未做信创适配就判定为伪私有化。
私有化部署为什么不能等同于数据不出域
私有化描述的是软件和服务部署在企业控制的环境里，数据不出域描述的是一组数据流和访问路径有没有满足组织边界，两者相关，但结论不同。一次模型调用至少会产生请求正文、上下文片段、响应内容、调用日志、错误信息和审计事件，模型服务还会读取模型权重、配置、镜像和外部依赖。只看服务器放在哪，很容易得出错误的验收结论。
合规要求也在收紧。网络安全法、数据安全法、个人信息保护法构成数据合规的底座，2025 年 1 月施行的网络数据安全管理条例把分类分级、风险评估和委托处理记录要求落到执行层。等保方面，2026 年 6 月施行的 GA/T 2380-2026 首次把数据安全作为独立体系纳入等级保护，数据分级、微隔离、特权账号审计、数据流向管控和备份加密都要单独考核。私有化部署因此不再只是把系统装进内网，还要把权限、日志、备份逐项交代清楚。
信创这条线同样在推进。上海证券报报道，2027 年央企核心系统信创改造节点临近，2026 年国内金融信创市场规模预计达到 3019 亿元，同比增长约 22%，改造重心已从办公外围系统转向核心业务系统。本地部署解决的是数据存放位置，替代不了数据分级、权限管理和审计留痕，供应商手里的等保证书也只代表产品在空载状态下具备技术基础，最终还要看部署之后怎么管、怎么用。
伪私有化的六个隐性特征
图中六项是需要核对的风险线索，不是所有私有化系统的统一否决条件。先核对合同是否承诺离线与全链路本地推理，再用断网测试、出站流量审计或部署清单验证；已披露并获准的公网调用、满足约定的租户隔离，不据此判为伪私有化。
特征一 业务层落在内网，模型推理仍在调用公网接口
最常见的做法是只把应用界面、表单和数据库装进内网，文档解析、智能摘要、业务推理这些 AI 能力继续调用公网大模型接口。如果合同承诺全链路本地推理或敏感数据不出域，实际却让敏感工单和合同文本通过接口外传，就与约定不符。识别方法很直接，把测试服务器完全断开外网，再跑一组从未出现过的业务样本，如果 AI 功能报错、超时或返回空结果，就说明推理依赖外部接口。
特征二 本地运行却埋了回传通道，遥测和日志悄悄出域
有些产品推理确实在本地，但代码里带遥测、崩溃上报或埋点类 SDK，提示词、文档片段和使用数据会悄悄回传。识别时要审计全部出站流量，并索要软件物料清单，查依赖里有没有分析类库。让厂商给出联网理由清单并逐项确认能否禁用，比一句我们重视隐私更可靠。
特征三 依赖云端鉴权或在线激活，断网就会失效
合同要求离线运行时，系统应在约定的纯内网环境长期可用。如果产品需要定期连到厂商服务器做许可证校验、更新检查或功能解锁，断网一段时间就降级甚至不可用，就不满足该场景的离线可用性要求；允许联网鉴权的部署应明确联网周期、传输内容和中断后的行为。验证方法是拉长离线运行时间，覆盖一次更新周期，同时确认证书续期、依赖组件和升级包都有离线路径。
特征四 承诺的隔离方式与实际多租户部署不一致
如果合同约定独立实例、数据库或存储，实际却与其他客户共享，就存在交付不符。逻辑隔离本身不等于伪私有化，物理隔离与独立存储也不是所有场景的必要条件。应根据数据等级、实际环境和合同选择隔离方式，在架构图与部署清单中写清，并测试跨租户访问、权限配置和数据删除是否符合约定。
特征五 数据落到本地，却没有分级、权限和审计
数据放在自己机房只是起点。如果没有数据分级、最小权限和审计留痕，私有化离合规仍隔着一条线。2026 年的等保数据安全新规要求分级落到存储层，特权账号操作全程留存，审计数据与业务数据隔离存放。验收时要让厂商现场演示，用产品能力配出访问控制和安全审计策略。
特征六 信创适配只写在材料里，证书对不上实际环境
信创实测适用于采购或部署环境明确要求信创适配的项目，不是所有私有化部署的通用门槛。很多厂商写支持信创，但适配证书只覆盖某一组版本。要核对的是你准备上线的组合，包括 CPU、操作系统、数据库、中间件和终端浏览器五层。把证书对到实际环境，再做并发、数据迁移和备份恢复演练，比一纸证书更能说明问题。
真私有化验收清单
图中六个维度对应以下验收动作。数据与推理离线要求适用于本文限定的全链路本地推理场景；独立部署按约定隔离方式验证，信创实测仅适用于有对应要求的项目。每一项都问一个关键问题，再要求厂商给出可验证的证据。
数据边界 问一次模型调用会产生哪些数据流，请求正文、日志、模型文件、备份分别落在哪。对要求全链路本地推理、离线运行的场景，通过标准是约定的数据、模型、推理均留在企业边界内，断网环境下合同约定的核心 AI 能力完整可用。
网络出口 问产品在什么情况下会联网，每一项能否禁用。通过标准是出站流量可审计、可拦截，没有未声明的回传通道，审计日志防篡改。
独立部署 问实际采用独立实例、逻辑隔离还是物理隔离，数据库和存储如何划分。通过标准是隔离方式符合数据等级、实际环境及合同约定，架构图与实际部署一致，跨租户访问测试有效；合同明确要求独立存储或物理隔离时，再逐项验证。
权限审计 问账号是否与统一身份源同步，权限是否拆成功能、数据和视图三层，特权操作是否留痕。通过标准是离职转岗即时回收权限，日志留存周期符合等保要求，备份可恢复。
合规底线 问系统是否依法定级，并按等级和行业适用要求办理备案、测评与自查，数据分级和备份保护措施是否落实。通过标准是提供适用的定级、备案和测评材料，以及权限清单、日志样本和备份恢复演练记录，材料与实际架构一致；不将所有系统一律备案或年度测评作为统一门槛。
信创实测 有信创适配要求时，核对证书覆盖的实际组合，并在生产相近环境做并发、迁移和备份演练。通过标准是满足合同约定的适配组合、业务负载与恢复要求；没有对应要求的项目不以此作为私有化验收的必选项。
验收结论取决于适用项目是否满足约定，而不是机械要求六项一律通过。把数据范围、隔离方式、离线能力及适用的信创要求写进技术附件，明确 AI 推理是否访问公网、断网时哪些功能必须可用。外部接口调用必须完整披露，并符合数据等级、授权和合同约定。
常见问题
供应商说支持私有化部署，合同里要写清什么？
技术附件要写明 AI 文档解析、智能生成等模块是否允许访问公网、数据可以流向哪里，以及断网时哪些功能必须可用。要求全链路本地推理、离线运行的业务，应明确禁止对应模块调用公网；允许的外部接口也须完整披露并符合授权和合同约定，未披露视为不达标。只写支持私有化部署六个字不够。
断网测试要跑到什么程度才算通过？
合同要求离线运行时，把测试服务器完全断开外网，不配置代理和网关，用从未出现过的业务样本连续跑文档解析、摘要、生成和推理。缓存可能让断网初期仍能返回结果，多跑几组全新样本，缓存失效后约定的核心功能仍正常才算通过。未要求离线的场景，应核对获准的出站调用和数据边界，不用断网后全部功能可用作统一标准。
拿到信创适配证书，验收就能直接通过吗？
有信创要求时，证书只说明产品在指定组合下通过兼容性测试，验收看的是你的实际环境和业务负载。证书当作准入材料，验收时还要补并发测试、数据迁移校验和备份恢复演练；未要求信创适配的项目不必统一索要该证书。
中小企业预算有限，一定要全链路本地推理吗？
可以先做需求分级，非敏感业务调用公有大模型，核心涉密业务走本地推理，通过权限和接口网关做隔离。关键是按场景分级，明确哪些场景不能外传数据，哪些场景可以接受公网调用。
私有化部署之后还需要做等保备案和测评吗？
部署位置不免除等保责任，但备案、测评和自查应先依法定级，再按系统等级及行业适用要求落实。《信息安全等级保护管理办法》第十四、十五条规定第二级及以上系统办理备案，并按等级明确测评和自查要求：第三级每年至少一次，第四级每半年至少一次，第五级按特殊安全需求进行。不能把备案、年度测评或年度自查泛化为所有私有化系统一律适用；其他适用要求也应结合行业规定核对。
怎么快速判断厂商是真私有化还是伪私有化？
先核对合同承诺与数据边界，要求离线的业务做断网测试，再审计出站流量、核对部署包；有信创要求时核对适配证书。像 ThinkingAI 的 Agentic Engine 这类平台把私有化部署定位为 Self-Hosted 自托管，强调数据、模型和知识主权，这类说法同样要用这三步验证，落到可核查的证据上。
