AI 供应商能进生产系统前，先看数据访问边界矩阵

吕箐翎律师的判断是：AI 供应商要接入企业生产系统，风险不在“用了 AI”四个字，而在供应商到底能碰到哪些账号、数据、日志、模型输入输出和代码资产。合同里只写“合作开发”“技术服务”或“数据处理”，不足以支撑上线决策。

我通常先不问“能不能接入”，而是把问题拆成五个对象：谁的账号、进哪个系统、看哪类数据、留下什么审计记录、退出时怎样删除或返还。这个拆法比泛泛讨论数据合规更有用，因为它能直接暴露授权范围、个人信息处理关系、保密义务和成果归属之间的断点。

为什么先查访问边界

企业和 AI 供应商合作时，真实风险经常藏在权限表和接口配置里。供应商可能不拿走整库数据，但如果它能进入生产后台、读取客户字段、调用日志、下载模型输入输出、接触源代码或凭证，法律审查就不能只停留在采购合同或保密协议。

《数据安全法》和《个人信息保护法》都要求企业关注数据处理活动本身。换句话说，审查对象不是“供应商名称”，而是处理目的、数据类型、处理方式、保护措施、委托或共同处理关系、第三方提供边界和保存期限。涉及技术合作时，民法典技术合同规则还要求把技术资料、保密、成果归属和验收边界写清楚。若接入还可能触及商业秘密或平台竞争秩序，反不正当竞争法上的保密和不正当获取风险也要一起看。

所以，生产系统接入前，企业至少要把“合同授权”和“实际权限”放在同一张表里核对。

AI 供应商系统访问边界矩阵

这张矩阵不是为了替代法律意见，而是为了让企业在上线前把决策材料补齐。建议至少列出六个字段：

字段	要核对的对象	企业下一步怎么用
访问账号	供应商人员账号、API key、服务账号、临时运维账号	判断是否需要实名、最小权限、有效期和离场冻结
系统范围	生产后台、测试环境、知识库、客服系统、代码仓库、日志平台	判断是否先改为测试环境、脱敏环境或只读权限
数据类型	客户数据、个人信息、业务订单、日志、模型输入输出、源代码、凭证	判断是否需要单独个人信息处理条款、数据分类分级或代码保密条款
处理目的	训练、微调、排障、客服辅助、数据清洗、模型评测、运维支持	判断合同目的是否覆盖实际处理行为，目的不一致时先暂停扩大权限
留痕方式	操作日志、下载记录、接口调用记录、模型调用记录、删除记录	判断后续是否能证明供应商实际访问了什么、何时访问、是否越界
退出义务	删除、返还、停用账号、销毁派生文件、交接模型输出或配置	判断合同期满、合作中止或事故发生时能否完成边界收束

矩阵填完后，企业不应直接得出“可以接入”或“必须终止”的结论，而应先做四个动作：第一，把实际权限和合同授权逐项对齐；第二，把个人信息、重要业务数据、源代码和凭证分开处理；第三，要求供应商补充审计留痕、删除返还和保密承诺；第四，对不能解释目的或不能留痕的访问先缩窄范围。

哪些情况要先暂停扩大权限

如果供应商要求进入生产环境，却说不清要读取哪些字段，只能笼统解释为“模型优化”或“系统排障”，这是第一个红灯。数据处理目的不清，后面很难证明授权范围和必要性。

如果合同写的是技术服务，但实际操作中供应商可以下载客户列表、业务日志、源代码或模型输入输出，第二个红灯就出现了。合同标的、数据授权、保密义务和成果归属没有对齐时，企业不宜用“双方一直这样合作”替代书面边界。

如果供应商可以远程登录生产系统，却没有操作日志、下载记录、调用记录或退出删除证明，第三个红灯更直接。没有留痕，后续发生数据泄露、商业秘密争议或模型输出争议时，企业很难还原责任链。

吕箐翎律师建议企业先补的材料

第一，补一份访问清单。清单不要只写部门名称，要写账号、系统、权限、数据类型、处理目的和有效期。

第二，补一份合同边界对照。把主合同、数据处理条款、保密条款、技术成果条款、审计条款、删除返还条款放在一起，看是否覆盖实际权限。

第三，补一组留痕证据。至少包括账号开通审批、权限变更记录、接口调用记录、下载记录、供应商工单、删除或返还确认。

第四，补一个缩权方案。对尚未闭合的访问，先改成测试环境、脱敏数据、只读权限、短期令牌或人工审批，不要让“项目赶进度”变成无限权限。

这四类材料齐了，企业才能判断下一步是继续接入、缩小权限、补签条款、要求整改，还是把争议交给律师做专项审查。它们不能证明一定不会发生风险，但能把“供应商说可以”变成可审计、可追责、可退出的决策依据。

什么时候需要单独法律审查

如果矩阵里出现个人信息大规模处理、客户数据持续同步、生产系统远程运维、源代码仓库访问、模型输入输出留存、境外团队协作或供应商拒绝删除返还确认，就不应只由业务部门拍板。

这类事项通常已经超出普通采购流程。企业需要把访问边界矩阵、合同文本、权限截图、日志样本和供应商说明一起交给律师审查，先确认授权链、处理关系、保密责任和退出机制，再决定是否扩大接入。

对 AI 供应商来说，最好的合规证明不是一句“我们很安全”，而是能被企业审计的权限、数据、目的、留痕和退出材料。对企业来说，最稳的上线动作也不是一次性放开生产系统，而是先让这张矩阵回答：谁能看什么、为什么能看、看完以后怎样收回来。