ARTICLES
专业文章
人工智能企业出海模式再审视——《中国禁止出口限制出口技术目录》修订影响分析
人工智能企业出海模式再审视——《中国禁止出口限制出口技术目录》修订影响分析
2026年10月16日，商务部、科技部就《中国禁止出口限制出口技术目录》（以下简称“《技术目录》”）修订公开征求意见，拟增列23项人工智能相关技术，并同步实施技术出口临时登记管理措施。据悉，国内两家头部大模型企业已完成相关技术的出口登记，并打通旗下大模型开源发布及海外授权的合规流程。这一进展表明，技术出口临时登记管理措施已不再停留于制度层面，而是进入实质性执行阶段，并开始对人工智能企业的出海实践产生实际影响。
人工智能企业出海并非单一的产品出口或市场准入问题，可能会涉及中国技术出口管制、数据跨境监管、第三国法律的域外适用以及目标市场合规要求等多重法律框架的综合性议题。相关监管规则的适用及合规风险的判断，需要结合模型部署架构、技术权属与许可安排、跨境数据流动路径以及境内外实体架构等因素进行系统评估。本文将梳理人工智能企业出海的五类典型业务模式，重点分析不同模式下相关监管规则的适用边界及其对企业业务运营的影响，并探讨企业面临的主要合规挑战与可行的应对路径。
一、中企AI出海的典型模式
中国人工智能企业出海方兴未艾，在考虑合规风险、业务效率、市场实践等多重因素之下，积极地进行出海业务模式的探索和实践。
（一）典型模式简介
以下按照企业面向海外B端客户/C端用户（以下或统称“海外用户”）提供服务过程中的实体关系、模型部署地及数据流向区分模式[1]。
1. 模式一：境内主体直接跨境提供服务
合同关系：境内公司直接与海外用户签订服务合同、收取费用并承担对外提供服务的相关义务。
技术及数据流向：模型及相关技术部署于境内，海外用户通过网页、App或API提交服务请求，输入进入境内、输出返回境外；海外用户仅可获得模型输出，不接收模型权重、源代码或独立部署包。
主要特点：未向境外转移或以任何形式提供模型技术，不构成技术出口；境内公司直接面向海外用户提供跨境服务并承担合同义务，以及直接承担目标市场可能适用的包括数据合规、AI合规在内的行政监管责任。
2. 模式二：境外商业主体与境内技术后台
合同关系：境内公司在境外设立关联公司，境外关联公司承担市场角色，与海外用户签订服务合同、收取费用并承担对外提供服务的相关义务；境内公司向境外关联公司提供后台模型服务，双方通过集团内部委托服务或转售协议衔接。
技术及数据流向：同模式一，模型及相关技术部署于境内，海外用户仅可使用服务；境内公司在境内处理海外用户数据。在数据处理关系上，依照具体的协议架构，境内公司与境外关联公司可能构成委托处理或共同处理的关系。
主要特点：未向境外转移或以任何形式提供模型技术，不构成技术出口；境外公司承担合同义务，一般情况下，由其承担目标市场可能适用的行政监管责任；本地签约未改变海外用户数据跨境的认定。
3. 模式三：境内主体直接运营境外设施
合同关系：同模式一，境内公司直接与海外用户签订服务合同、收取费用并承担对外提供服务的义务。
技术及数据流向：模型及相关技术部署至境外服务器，技术已经跨境，但部署环境及运营权限仍由境内公司控制。海外用户数据主要在境外处理，境内公司根据实际安排提供远程运维和数据访问。
主要特点：模型部署至境外构成技术出口，需按技术类别及用途等确定是否触发技术出口监管程序,以及是否能适用自动许可等便利措施；本模式下，运营中的用户数据与模型推理数据在境外存储，会减少数据跨境的合规风险，但境内关联公司运维访问（如有）仍可能构成海外数据跨境；境内公司直接承担合同义务及目标市场可能适用的包括数据合规、AI合规在内的行政监管责任。
4. 模式四：境外关联公司本地运营
合同关系：境外关联公司与海外用户签订服务合同、收取费用并承担对外提供服务的相关义务；境内公司将技术许可至境外关联公司，双方建立关联企业间的技术许可及服务协议。
技术及数据流向：模型及相关技术部署至境外服务器，技术已经跨境；部署环境及运营权限仍由集团整体控制；用户数据主要在境外处理；后续模型更新、远程运维和数据访问依双方约定实施，仍可能触发构成数据跨境。
主要特点：属于加强本地化的业务模式，商业运营与模型部署均在境外落地，境外关联公司负责本地市场运营，境内公司仍可能承担模型更新及运维支持，需按技术类别及用途等确定是否触发技术出口监管程序,以及是否能适用自动许可等便利措施；境外公司承担合同义务及目标市场可能适用的包括数据合规、AI合规在内的行政监管责任；海外用户数据是否跨境取决于境内公司的远程访问情况。
5. 模式五：境外第三方获许可或受让后运营
合同关系：境内公司与境外独立第三方签署技术许可/转让合同，实现技术跨境转移；境外独立第三方与海外用户签订服务合同、收取费用并承担对外提供服务的相关义务。
技术及数据流向：模型及相关技术部署至境外服务器，技术已经跨境，第三方在授权或受让范围内独立运营；用户数据主要在境外处理；后续模型更新、远程运维和数据访问依双方约定实施。
主要特点：模型部署至境外构成技术出口，且技术使用与运营控制交由第三方，按技术类别及用途等确定是否触发技术出口监管程序；第三方承担合同义务及目标市场可能适用的行政监管责任；海外用户数据是否跨境取决于境内公司的远程访问情况。
（二）五类模式横向比较
数据流：所有模式均涉及海外用户数据的处理，需识别目标市场的数据合规要求；模式三至五虽可在当地处理数据，但境内运维、训练回传等仍可能触发直接适用境外数据保护法律或跨境数据合规义务。
技术流：模式一、二不构成模型技术出口；模式三至五向境外部署或交付模型，构成技术出口。后者应按技术类别及用途识别合规义务和监管程序，其中集团内部与独立第三方运营的差异，可能影响自动许可等便利措施的适用。
资本流：模式二、四通常涉及设立或投资境外实体，可能会触发境外投资监管；模式三需区分云服务采购与境外投资建设。模式一、五不以境外投资为必要前提，但若另行设立合资企业或以技术出资，仍需独立判断。
二、中企AI出海的双重监管框架简述
（一）境内：技术、数据与资本如何出境
1. 技术出口管理
《技术进出口管理条例》第2条以技术跨境转移界定技术进出口，商务部新闻发言人就修订《中国禁止出口限制出口技术目录》答记者问亦明确，“人工智能大模型和应用产品的‘出海’模式多种多样，判别具体‘出海’情形是否属于技术出口管理的范围，核心在于是否涉及限制类技术从中国境内向境外转移”。在构成技术出口的基础上，本次《技术目录》修订公开征求意见稿新增多项涉人工智能的相关内容，具体解读请见上篇《人工智能技术出海监管新动向——<中国禁止出口限制出口技术目录>修订征求意见稿解读与合规应对》 ，主要涉及以下三方面：
1) 区分拟禁止与拟限制技术。拟禁止的包括利用我国核心数据训练后提供服务的“人工智能大模型技术”、主要用于高敏感场景的高性能“人工智能体技术”等；拟限制的技术包括满足特定控制要点的“人工智能大模型技术”“人工智能体技术”“人工智能芯片设计技术”“人工智能算力集群技术”等。
2) 区分当前临时登记与未来分类管理。出口本次附件所列技术，目前须办理出口前临时登记；正式修订实施后，禁止类不得出口，限制类须经许可，自由类技术出口合同实行登记。
3) 明确范围排除与便利程序。已进入公共领域的相关AI技术拟不纳入管理；限制类AI技术首次开源、境外自建自营算力中心、海外自有云[2]等风险可控情形下，则拟适用自动许可等便利措施。
2. 数据出境监管
训练数据集或外接知识库如涉及境内受限数据类型（个人信息、重要数据等），且面向海外用户提供模型服务过程中向境外输出此等受限数据的，将触发《个人信息保护法》《数据安全法》等关于数据出境的监管要求。
除提供服务涉及的模型输出内容出境外，针对模型及相关技术部署至境外的模式，模型及相关技术所涉及的数据本身也可能落入受监管范围。例如，北京自贸区2024版负面清单曾将符合特定条件的基础模型数据、算法源代码纳入重要数据；《汽车数据出境安全指引（2026版）》亦对驾驶自动化算法等设置是否构成重要数据的判定规则。涉及模型及相关技术部署至境外的企业应综合评估现行行业、地区规则以及主管部门告知和备案情况，判断是否需履行重要数据出境安全评估程序。
3. 对外投资监管：投资备案、技术出口与安全审查的交叉适用
AI企业通过在境外设立销售、运营或研发实体，以资金、模型技术或知识产权向境外企业出资，以及投资建设境外算力中心等方式开展业务，均可能构成对外投资。根据《国务院关于对外投资的规定》第2条，判断的关键在于境内投资者是否通过投入资产、权益或提供融资、担保等方式，直接或间接取得境外企业或资产的所有权、控制权、经营管理权及其他相关权益。因此，单纯采购境外云计算服务，或依据技术许可合同向境外客户收取许可费，在不涉及取得上述境外权益的情况下，通常不构成对外投资。
1) 发展改革部门的核准与备案管理。2026年10月公布的《对外投资管理办法》（国家发展改革委令第49号）将于2026年12月1日起施行，其延续了分类核准、备案的管理框架，并进一步明确将技术、数据及知识产权等纳入中方投资额的计算范围，同时要求通过受控境外实体开展的非敏感类再投资，在实施前履行相应的信息报告义务。因此，AI企业通过境外子公司开展模型技术投资、算力基础设施建设等业务时，应结合实际投资主体、资产投入方式及交易结构，判断适用的核准、备案或报告程序。
2) 商务主管部门的核准与备案管理。根据商务部《境外投资管理办法》，企业境外投资原则上实行备案管理，涉及敏感国家、地区或敏感行业的，须经商务部核准。其中，涉及出口我国限制出口产品或技术的行业属于敏感行业范围。企业申请相关境外投资核准时，应提交有关部门对所涉限制出口产品或技术准予出口的材料。对于以大模型、算法或相关知识产权向境外企业作价出资的情形，企业不仅需要评估境外投资的核准或备案要求，还应独立判断相关技术是否属于限制出口技术，以及是否需要办理技术出口许可或其他手续。对外投资涉及跨境派遣技术人员、组织人员赴境外工作或培训、跨境提供技术指导等安排的，应纳入技术出口合规评估范围，并依法履行相应合规义务。
3) 国家安全审查机制。《国务院关于对外投资的规定》第15条确立了境外投资安全审查的制度要求，对影响或可能影响国家安全的境外投资，以及相关资产、权益的转让和处分实施安全审查。《外商投资安全审查办法》第2条则针对影响或可能影响国家安全的外商投资纳入安全审查范围。
2026年4月27日，外商投资安全审查工作机制办公室对外资收购M项目作出禁止投资决定，并要求当事人撤销相关交易。其对AI企业出海的启示在于，涉及境内核心技术、业务资产或企业控制权变动的跨境并购和重组，即使采用境外交易架构，仍有必要评估中国外商投资安全审查规则的适用风险。
4. 劳动用工合规等
针对设立境外关联公司或境内公司在境外部署模型等情形，如涉及向境外关联公司或合作方派遣人员支持模型部署、运营，应明确劳动关系与管理责任，并关注劳动用工合规相关问题。例如《劳动合同法》第17条要求劳动合同内必须明确工作地点，第35条规定合同变更应协商一致并采用书面形式；长期外派涉及原合同变更的，需完成协议变更并保留书面证明。
（二）境外：目标市场监管要求与长臂管辖
1. 数据合规
整体而言，中企AI出海面向目标市场的数据合规监管要求需主要考虑如下三个层面：
域外法适用与数据跨境传输合规。面向海外用户提供AI服务通常涉及其个人信息的处理，进而可能触发域外数据保护法合规要求。以欧盟《通用数据保护条例》（GDPR）为例，境内公司直接面向海外用户提供服务并收集数据，将直接适用GDPR；而由境外关联公司/独立第三方于本地处理、境内公司基于跨境运维等目的访问用户数据的，则需遵循GDPR项下的跨境传输合规要求。2025年爱尔兰数据保护委员会就TT公司向中国传输欧洲用户数据及披露问题，作出5.3亿欧元罚款和整改决定，境内人员远程访问境外数据即为重点关注事项。
本地化义务。部分目标市场的数据保护法还可能存在较强的本地化要求，例如，俄罗斯对收集本国公民个人数据时的数据库所在地设有限制。因此，企业AI出海的模式选择和IT架构可能需要按市场调整。
企业间数据合作合规。以美国为例，如境内公司承接美国企业客户（该企业客户面向最终用户提供服务，即模式五）的模型运维服务，并使境内公司接触美国政府相关数据或大量敏感个人数据，可能触及EO 14117的适用，进而实质影响中企与美国企业客户的合作安排。
2. 人工智能监管、内容安全等
目前，包括欧盟、韩国、美国加州等国家地区在内的目标市场已出台专门的AI监管规则，其适用通常关注服务是否投入当地市场、面向当地用户提供或对当地产生影响，并不以模型部署于当地为前提。因此，不论模型部署位置，企业仍应识别目标市场的AI监管要求。具体需遵循的义务可能根据企业角色、模型类型及应用场景有所不同。例如，AI Act区分通用人工智能模型提供者、系统提供者、部署者等角色，并针对通用人工智能（GPAI）模型、具有系统性风险的GPAI模型及高风险AI系统设置不同要求。
此外，面向海外用户提供对话、图片或视频生成服务，还需关注禁止生成非自愿私密影像（NCII）、儿童性虐待材料（CSAM）以及其他当前各国普遍作为禁止性实践的要求。
3. 长臂管辖：算力供应链
中企AI出海在境外采购先进芯片、建设算力设施或租用云服务，需识别美国《出口管理条例》（EAR）、经济制裁及供应商合规要求的影响。以EAR为例，部分先进计算物项的许可要求不仅取决于进口国别，还与接收实体或其总部及最终母公司的总部所在地有关。此外，违反EAR的风险可以沿交易链条传导。任何主体如明知受EAR管辖的物项已经、即将或拟被用于违反EAR的出口、再出口或境内转移，不得就该物项从事销售、转让、融资、购买、使用、运输或其他相关活动。因此，即使企业并非直接进口方，也应关注交易链条中的违规风险，避免参与或协助相关交易。通过境外关联公司采购、在第三国部署，并不当然排除涉华出口管制要求。
此外，企业还应结合交易对手、美国主体参与及支付安排等识别制裁风险，并关注芯片供应商、云服务商设置的客户准入、用途限制及暂停服务条款。相关域外规则既可能直接约束交易，也可能通过供应商的合规审查和合同要求，实质影响算力资源获取、模型部署及服务的持续提供。
三、《技术目录》修订背景下不同AI出海模式的主要挑战与应对路径
（一）模式一：境内主体直接跨境服务
技术判断：模型及相关技术部署在境内且未以任何形式向境外提供，原则上不受本次《技术目录》修订影响。
数据与市场：境内公司直接在中国面向海外用户收集数据和提供服务，需识别是否可能直接适用目标市场的数据保护、AI、内容安全等法律要求。从中国法看，在境内模型处理过程中符合未引入境内个人信息、重要数据等条件的，可论证适用过境数据豁免。
主要挑战：境内公司直接面向海外用户提供服务并在中国处理数据，将导致境内公司（可能是集团总部）直接对外承担合同责任和行政监管责任；本模式无法满足部分目标市场的数据本地化要求。
应对：（1）由集团内关联子公司等独立法人实体作为服务主体，避免将可能的法律责任延及集团总部；（2）按目标市场合规要求落实披露处理规则、合法性基础、必要性、当地代表等安排；（3）在境内配置面向海外用户的专属模型实例及知识库，限制接入境内业务资料（重点限制未公开的个人信息、重要数据）；（4）部分目标市场要求数据本地化的，考虑在当地增设转发节点或选择模式三、模式四等替代方案。
（二）模式二：境外商业主体与境内技术后台
技术判断：同模式一，模型及相关技术部署在境内且未以任何形式向境外提供，原则上不受本次《技术目录》修订影响。
数据与市场：境外关联公司面向用户提供服务，会增强服务境外客户的本地化；境内公司承担后台数据处理，需根据双方对处理目的、方式的决定权限，明确各自的数据处理角色。以欧盟业务为例，境外关联公司可能基于属地原则进而适用GDPR，如与境内公司系委托处理关系的，应落实GDPR项下的委托处理及跨境传输要求。境内公司另将数据用于自身训练的，还需独立判断其角色和处理依据。
主要挑战：境外关联公司与用户签署服务协议，但数据实际由境内公司在中国处理，如何界定两公司的处理关系，以及如何对外披露境内处理、访问、行权响应机制等存在难度；同模式一，无法满足部分目标市场的数据本地化要求。
应对：（1）根据实际业务权限明确两公司的数据处理角色，通过数据处理协议约定处理目的、留存期限、训练限制及用户行权协作等；（2）明确用户服务协议、隐私政策等文本的披露口径，并落实适用的跨境传输机制、评估及保护措施；（3）参照模式一开展境内数据隔离（重点限制未公开的个人信息、重要数据），有本地化要求的市场，应在当地节点落实实际收集、存储要求；（4）设立、增资境外关联公司时，履行相应对外投资程序。
（三）模式三：境内主体直接运营境外设施
技术判断：模型及相关技术部署至境外，构成技术出口；涉及本次《技术目录》拟增列“人工智能大模型技术”“人工智能体技术”等控制要点的，目前须办理临时登记；正式修订后，按禁止、限制或自由类确定管理要求。符合海外自有云等风险可控情形的，适用自动许可等便利措施。
数据与市场：境内公司面向海外用户提供服务并于境外服务器处理数据，应识别目标市场的数据保护、AI及内容安全等法律要求，以及境内运维访问的跨境合规问题；拟出口模型及相关技术所涉及的数据亦需判断是否涉及重要数据出境。
主要挑战：境内公司仍直接承担用户合同及目标市场的行政监管责任；技术出口须面对《技术目录》拟议的登记/许可程序的不确定性，何种情形属于“海外自有云”进而可适用便利条件尚待细化；跨境运维可能带来较大合规成本；境外芯片、算力供应亦可能受到EAR及供应商政策限制。
应对：（1）按实际出口的模型、智能体及算力集群等技术识别控制要点，履行临时登记义务，在《技术目录》正式发布后履行适用的登记、许可程序；（2）拟适用海外自有云便利措施的，明确云账户、模型读取复制及运维权限的归属，证明部署环境的实际控制情况，并持续观察监管认定口径；（3）在遵守劳动用工合规的前提下配置当地运维人员，境内仅基于必要目的、限定数据范围访问，保留操作记录；（4）区分云服务采购与算力设施投资，涉及后者的办理对外投资手续。
（四）模式四：境外关联公司本地运营
技术判断：向境外关联公司许可、交付模型构成技术出口，需结合技术内容及参数判断是否落入限制出口管理范围中；如拟适用海外自有云等自动许可便利措施，需结合部署环境及技术控制情况判断；以模型技术作价入股或增资的，还应落实对外投资核准、备案要求。
数据与市场：境外关联公司承担用户合同及当地运营义务，境内公司仍需根据实际角色识别数据、AI等监管责任。境内公司远程运维访问数据，应按目标市场规则落实跨境传输要求；将数据另作训练使用，还应评估处理目的、合法性基础及告知安排。
主要挑战：同模式三，技术出口须面对《技术目录》拟议的登记/许可程序及便利程序的不确定性，以及境外芯片、算力供应涉及的EAR及供应商政策限制；以受限技术出资或支持境外经营，需落实商务核准与技术出口许可；境内公司跨境访问数据，可能削弱本地化运营的效果进而导致穿透认定责任；后续外部融资、出售业务亦需评估安全审查风险。
应对：（1）明确设立、增资、技术出资及授权安排，协调技术出口与对外投资程序；（2）日常维护、用户请求尽量在当地完成，必要的境内支持再落实跨境机制及最小权限；（3）根据受限技术实际出口情况，履行临时登记义务，在《技术目录》正式发布后履行适用的登记、许可程序；（4）参考前述M项目，在引入外资或出售股权、业务前，核查技术资产、研发及控制关系，分别评估境外投资、外商投资安全审查的适用及风险，必要时事前咨询。
（五）模式五：境外第三方获许可或受让后运营
技术判断：向境外独立第三方许可或转让模型及配套技术构成技术出口；与模式三、模式四相比，第三方独立运营通常难以直接援引海外自有云的技术出口便利措施。
数据与市场：第三方承担用户合同及当地运营义务，境内企业仍需识别技术提供及后续支持义务。例如，境内企业自研GPAI模型，并以自身名义向欧盟市场（包括B端合作方）提供的，仍需承担GPAI模型提供者（Provider）义务。第三方向境内开放运维、反馈用户数据时，需配合第三方落实来源地的数据跨境要求；涉及美国政府相关数据或大量敏感个人数据的，还需评估EO 14117的适用及其对合作安排的影响。
主要挑战：技术出口方面，除模式三、四所述困境外，本模式下模型交付后如由第三方独立控制，其实际使用、修改及再许可情况较难持续掌握，例如高性能智能体被转用于高敏感场景，可能触及本次《技术目录》的用途控制，影响原有分类及授权范围；美国等目标市场对于B2B数据访问的限制将影响境内公司的支持方式；技术许可/转让叠加技术换股、合资或并购时，还需落实投资与安全审查要求。
应对：（1）交付前核查模型、智能体等实际输出技术及接收方、最终用户与最终用途，完成相应手续；（2）在协议中明确用途、再许可及升级范围，约定用途变更通知、合规核查及违规停止使用机制；（3）日常用户数据处理和运维优先在当地完成，境内公司仅限必要范围访问，确需触发访问的，落实适用的跨境及B2B数据访问要求；（4）许可/转让叠加融资、技术出资或出售业务的，评估投资程序和安全审查。
四、结语：中企AI出海合规架构的多重考虑
（一）模式选择：统筹业务需求、监管约束与合规成本
企业应同时比较业务需求、监管要求及履行能力，重点评估技术交付、数据处理及责任承担。模式一、二需考虑海外用户数据直接进入境内的合规成本；模式三至五则增加技术出口及可能的投资程序甚至安全审查程序。境外主体的签约、服务和运维能力，应与拟承担的责任相匹配，避免实际运营后再作重大调整。
部分市场的特殊安排：例如，俄罗斯等市场需落实数据本地化，欧盟业务需评估跨境保护及披露要求。此外，当地人员用工、算力供应链条件等均应计入长期业务成本和合规成本。
（二）架构落地：衔接技术、数据与投资程序，明确各方责任
准入程序：将技术交付、数据处理与投资安排对应到主体、版本和时间节点，分别完成适用的技术登记/许可及发改、商务手续。技术交付、出资及交易交割前，应确认各项前置手续已完成。
合同和后台安排：依实际分工确定各方的数据处理角色及AI监管合规角色，合同责任分配应与法定义务相衔接，统一对外文本披露情况；将留存、训练及跨境支持范围落实到权限；优先由当地人员运维，必要的境内访问落实跨境合规要求；核查算力供应合同的客户、用途及暂停服务条件。
（三）持续运营：跟踪版本与规则变化，保持合规安排有效
持续追踪：境外部署的模型迭代更新进而达到新的控制指标、客户改变用途或扩大再许可、增加训练使用及境外融资、出售等情形下，均需重新审查适用的合规程序。对外交付的版本、能力和用途应与登记、许可材料对应。
运营合规：协调法务、研发、数据及海外团队落实执行责任，定期核对访问记录、用户权利及内容安全措施。数据流、角色或供应链变化时，及时调整协议及权限；合作终止或供应中断时，落实模型、数据迁移。
中国AI企业的全球化征程，远不止模型、算法与算力的跨境流动，更是一场技术实力、商业智慧与规则适应能力的综合考验。《技术目录》的修订告诉我们，全球化需在创新发展、国家安全与国际规则之间寻求平衡。合规不应成为创新的桎梏，而应成为企业跨越制度藩篱、赢得国际信任、构筑持久竞争力的重要基石。
[注]
[1] 各模式下企业开展模型研发训练、数据备份等非直接服务场景涉及的出海路径，需另行评估。
[2] 商务部新闻发言人就修订《中国禁止出口限制出口技术目录》答记者问：对于纳入限制类的人工智能技术，开展海外本地化部署，属于技术出口管理范围；如果部署在海外自有云等风险相对可控的情形下，可适用自动许可等便利措施。对于企业利用限制类大模型对外提供API调用、APP/网页交互、SaaS应用、本地端侧轻量化部署等情形，不属于大模型技术出口管理范围。
