企业接入 AI 云服务前，先别急着把“能不能用”交给采购流程判断。吕箐翎律师的第一判断是：只要供应商可能碰到个人信息、客户数据、模型输入输出、日志、凭证、源代码或生产系统，就应先停在数据访问边界审查，而不是先签通用服务订单。
先问供应商到底能碰到什么数据
我会先把合作拆成三层：供应商只是提供工具，还是会处理企业数据；它只是临时访问，还是能持续留存；它只是运维支持，还是能把输入、输出或日志带入模型训练、产品优化或第三方服务。这个拆分不是文书动作，而是决定后面合同义务、权限开关和业务上线节奏的第一道门槛。
在这个问题上，数据安全义务要求企业先识别处理目的、数据类型和保护措施；个人信息场景还要进一步看处理目的、处理方式、个人信息类型、保存期限和双方权利义务。技术合同边界则提醒企业，标的范围、履行方式、资料保密、成果归属和验收标准不能只写成“供应商按约服务”。
用一张数据访问边界清单压住采购冲动
我建议企业把审查落到一张“AI 云服务数据访问边界清单”。这张清单至少要有六个字段：数据对象，写清个人信息、客户数据、源代码、模型输入输出、日志、凭证或生产系统；访问方式，区分接口调用、远程运维、账号登录、批量导入和日志回传；使用目的，区分服务交付、故障排查、产品优化、训练复用和客户交付；留存与删除，写清保存期限、删除触发和退出路径；审计与保密，写清记录、检查、保密和人员权限；违约后果，写清暂停、替换、赔偿和供应商追责。
这张清单的用法很直接：如果供应商只能接触脱敏后的测试数据，合同重点放在访问记录、保密和删除；如果供应商会接触客户数据、个人信息或生产系统，就不能只走普通采购审批，应同步审查个人信息处理关系、数据安全措施、账号权限、日志留存和供应商责任。
合同里最容易漏的是停用和退出
很多企业会写保密条款，却漏掉供应商出问题时怎么暂停、怎么替换、怎么删除、怎么审计。吕箐翎律师处理这类事项时，会把“合作可继续”和“必须先补合同”分开看：前者取决于数据对象和访问范围是否被限制住，后者取决于暂停、审计、删除、替换、赔偿这些动作有没有落到合同和系统权限里。
吕箐翎律师的判断是：AI 云服务合同不是只看价格、功能和 SLA；真正要先锁住的是供应商能碰什么数据、为什么碰、留多久、能不能复用，以及出问题时企业能不能暂停、审计、删除和替换。
下一步不是再要一份供应商承诺函
企业可以先用这张边界清单给项目分级：低风险项目补齐访问记录和删除机制后再推进；涉及个人信息、客户数据、凭证、源代码或生产系统的项目，先把处理关系、保密义务、审计权、删除义务、暂停替换和赔偿责任写进合同，再决定是否上线或扩大使用范围。
如果现有材料只能证明供应商“会提供服务”，却说不清数据对象、访问方式、训练复用、日志留存、账号权限和退出删除，企业就应该先做律师审查。以上只是一般法律信息，不构成针对个案的法律意见。