调用境外 AI 服务，真实数据一定会出境吗？

调用境外 AI 服务处理真实业务数据，不能只看服务界面能不能在国内打开。关键是：本次数据是否实际发往境外，或者是否会被境外主体访问。服务合同写着安全，也不能替代这项判断。

吕箐翎律师建议，先画一张本次数据的实际访问路径图。把准备输入的真实数据、调用的服务或接口、接收方、处理方式，以及谁能访问这些数据放在同一张图上。这个动作要解决的不是“这家服务商看起来是否可靠”，而是数据实际去了哪里、由谁处理。

《促进和规范数据跨境流动规定》已于2024年3月22日公布施行；与《个人信息保护法》《数据安全法》一起，要求企业不能跳过数据类型、处理目的、接收方和处理方式，直接用“国内可以访问”代替路径判断。

这里有明确的事实分叉。若路径显示真实数据被提供给境外接收方，或境外一侧能够访问这些数据，就需要继续判断相应的数据出境问题；若企业只能说明国内员工通过网页或接口提交数据，却说不清后台接收、处理或访问情况，结论仍然不能写成“不会出境”。

这张路径图还要标出数据是否包含个人信息或重要数据。是否涉及这些类型，会改变后续应核对的边界；不能把“已签保密条款”或“服务商承诺安全”当成类型识别和路径识别已经完成。

路径画清后，下一步再把每一段路径对应到数据类型、处理目的、接收方和处理方式的材料上。任何一段无法对应，就不宜先把真实业务数据输入该服务。

本文仅提供一般法律信息，不构成对具体服务、数据出境安排或个人信息处理活动的法律意见。