AI 项目退出时：停止处理、返还、删除、日志留存和证明为什么不能互相替代

吕箐翎律师的判断是：AI 项目结束、客户提出删除请求或旧供应商被替换，都不能概称为“数据已经处理完毕”。停止处理回答的是未来哪些入口或活动已被关停；返还回答的是列明资料是否已经交付；删除回答的是确定对象及其副本在明确范围内的处置状态；日志留存回答的是哪些记录为何、留多久、谁可访问；证明则只回答其明确覆盖的动作、对象、系统、时间和例外。五类事项指向不同事实，不能由其中一项代替其余事项，也不能据此判断某一具体项目已经删除、未删除、已返还、未返还或已经合规。

项目结束，先别概称为“删数据”

退出时首先要还原的不是一个笼统项目名，而是对象和处理链。原始输入与附件、模型输出及回写、提示词和调用记录、知识库源文件与索引或向量、缓存与临时文件、监控和审计日志、备份与灾备副本、训练或评测相关资料，以及账号、组织空间、API key、连接器和权限，可能位于不同系统，也可能由不同主体控制。

因此，“项目已经结束”只能说明一个待核场景，不能自动回答哪些资料仍可访问、哪些副本仍存在、哪些对象可以交付，或哪些资料已经被处置。对象是否不存在、无法导出、控制者不明或尚未覆盖，也应与已经确认的事实分开表述，不能把“未取得材料”写成“没有该对象”。

五类动作，各自回答什么

停止处理面对的是未来控制。例如，某一账号、接口、自动任务、资料源连接、导入活动或访问权限是否已关闭，说明的是该入口在相应时点的状态；它本身不能证明既有输入、输出、索引、缓存、备份或下游副本已经消失。

返还面对的是交付。它需要落到接收主体、对象清单、格式、完整性、交付通道、时间和接收确认。客户收到导出包、资料迁入新供应商或完成签收，最多说明列明资料的交付事实，不能由此推定旧方、下游或备份已经停止处理或完成删除。

删除面对的是确定对象及其副本的状态。讨论删除时，不能只看一个按钮、账号关闭或一份口头答复，还要区分对象所在系统、区域或账号，以及主副本、缓存、索引、备份和派生资料的覆盖范围、例外和能够核对的时点。合同、数据处理附件、服务条款或后台页面可以说明各自的文字或当时可见设置，不能代替对实际版本、账号、区域和副本状态的核验。

日志留存则是另一类对象。日志可能含有字段、请求内容或访问线索，其目的、存储位置、访问权限、期限、销毁触发及与业务资料的关联都需要单独理解。不能因为业务资料需要删除，就直接推出日志必然全部删除；同样也不能因为存在日志，就推出可以继续用于业务处理、训练或其他再利用。

证明为何不能超出覆盖范围

账号禁用记录、导出交接单、删除工单、供应商书面答复、控制台响应或审计日志，都可能有价值，但它们证明的是不同层面的事实。账号记录通常只对应特定账户和时点；交接单只对应列明对象的交付；删除证明或工单回复也只能覆盖其文字明确的系统、对象、范围和时间。

因此，不能把一份证明放大为全部系统、全部下游、全部历史版本或全部备份均无数据的结论。反过来，一条残留记录或一次未发现记录，也不能单独还原完整范围。证明不是实际控制本身；它的作用是让已经发生、待核或未覆盖的事项分别有可复核的边界。

更换供应商时，这一点尤其容易被忽略。新方已经上线，不等于旧方自然退出。新旧两条链中的主体、账户、资料对象、接口、区域、权限、保留或删除安排及当前可访问状态，仍应分别落在各自能够说明范围的材料上。

同一核对日期，先补哪些材料

要进一步判断时，关键是把同一核对日期下的对象、系统和材料放在同一范围内理解。退出对象总表应能区分资料类型、来源、系统或区域、控制者、主副本与副本、当前访问状态、拟议的五类动作、依据或待核点、证据以及未覆盖范围；其中“未取得”不等于“无”。

与这张表相互对应的材料，通常包括终止或替换范围的原始材料，主合同、订单、数据处理或安全附件及其版本，新旧服务安排下的账号、权限、连接器和设置记录，列明对象的交付材料，按对象和系统说明范围的删除材料，以及日志字段、目的、期限、访问与销毁触发的说明。涉及个人信息且实际构成委托处理的部分，还需要结合具体处理关系、资料和条款，核对终止后的返还或删除安排；这不能被扩展为全部资料或全部 AI 项目的同一结论。

在对象、合同版本、实际设置、访问状态或证明范围尚未对应时，结论应停在待核。此时最重要的不是把项目结束写成已经完成处置，而是如实保留哪些事实已被材料覆盖、哪些仍未覆盖。