数据出境自评估交给 AI，材料谁来签？

数据出境自评估可以用 AI 整理数据清单、对照条款列问题、起草报告初稿和核对合同条款；判断哪些属于重要数据、出境是否必要、风险能不能接受，由数据安全负责人、法务和业务负责人负责，最终报告由企业负责人签字。企业在动手前先按促进和规范数据跨境流动规定判断要不要申报数据出境安全评估，再组织材料和内部评审。

先判断要不要申报

企业准备向境外提供数据时，第一步是先按促进和规范数据跨境流动规定判断要不要申报数据出境安全评估。促进和规范数据跨境流动规定调整了哪些情形要申报数据出境安全评估、哪些情形免予申报，例如为订立、履行个人作为一方当事人的合同确需向境外提供个人信息的，免予申报。法务和合规团队先把业务场景、出境字段和接收方情况收齐，对照现行规定看当前业务落不落在需要申报的范围里。

在这一步，AI 工具可以帮团队把散落在各个业务系统、接口文档和数据库表结构里的出境字段拉成一张清单，标清楚涉及哪些字段、多少类、存在哪、发给谁。日常业务里要是也有 Agent 调取客户资料，哪些字段能进上下文、哪些要先拦住，见 个人信息 Agent：客户数据能用到哪一步？。清单整理好之后，由业务负责人和数据安全团队逐条核实字段用途，再由法务给出是否需要申报的结论。

自评估查哪几项

按照数据出境安全评估办法第五条，数据处理者在申报数据出境安全评估前，应当开展数据出境风险自评估。第五条列明了重点评估的事项，企业可以把这些事项拆成核查表，逐项收集业务部门和技术部门的底稿证据，防止漏项。

• 合法正当与必要：评估数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性，核实业务上是不是非传这些字段不可。
• 数据规模与敏感度：梳理出境数据的规模、范围、种类、敏感程度，以及这些数据出境后可能带来的风险。
• 接收方保障能力：核查境外接收方承诺承担的责任义务，以及对方现有的管理和技术措施、能力能不能保障出境数据的安全。
• 泄漏风险与维权渠道：评估数据在出境中和出境后遭到篡改、破坏、泄露、丢失等的风险，同时检查个人信息权益维护的渠道是否通畅。
• 合同责任约定：核对与境外接收方拟订立的法律文件是否充分约定了数据安全保护责任义务，并排查其他可能影响数据出境安全的事项。

AI 起草哪部分与人判断哪部分

进入材料编写阶段后，团队可以把整理底稿和文字起草的活交给 AI，把判断的活留给人。AI 适合干四件事：一是把各系统导出的表结构和接口日志汇总成结构化的数据清单，列明哪些字段、多少类、存在哪、发给谁；二是对照第五条列出的事项，逐项检查现有材料缺哪一块并列出问题清单；三是根据确认过的事实底稿起草自评估报告初稿；四是读取与境外接收方拟订立的法律文件，核对合同条款里有没有写到数据安全保护责任义务。法务拿 AI 审拟订立的法律文件时，怎么先做脱敏处理，见 合同丢进 ChatGPT：直接丢进聊天框 vs 脱敏后再用。

AI 起草初稿时引用的每一项数据都要能追到具体业务系统或台账来源，不能让模型自己补数字或编造传输链路。下面这几项判断不能交给 AI：识别哪些数据属于重要数据、判断某项数据出境在业务上是否必要、评估残留风险企业能不能接受。这几项涉及业务取舍与法律责任，由数据安全负责人、法务和业务负责人共同评审并写出明确意见。

报告谁来签与材料怎么留底

按照数据出境安全评估办法第六条，申报数据出境安全评估需要提交申报书、数据出境风险自评估报告、与境外接收方拟订立的法律文件等材料。AI 生成的自评估报告初稿只是内部工作草稿，不能直接拿去盖章申报。初稿写完后，先由业务负责人核对业务场景与字段描述是否跟线上实际运行情况一致，再由数据安全负责人核对技术保障措施与风险分析，接着由法务复核法律文件条款与合规结论。

三方都在评审单上确认无误后，定稿的自评估报告和申报书提交给企业负责人审阅并签字确认。企业把整个过程的文件打包归档，包括最初拉出来的数据清单原表、各部门补充的证明材料、AI 生成初稿时的提示词与引用来源记录、法务和安全团队的修改痕迹，以及最终经企业负责人签字的版本，方便日后主管部门抽查或内部复盘时随时调取。

数据出境自评估：常见问题

数据出境自评估报告能直接用 AI 生成吗？

AI 可以用来汇总数据清单、对照第五条排查缺漏和起草文字初稿，但不能直接拿生成物当成定稿提交。报告里引用的数据要能追到真实来源，重要数据识别、出境必要性和风险是否可接受由数据安全负责人、法务和业务负责人判断，最终报告由企业负责人签字。

不需要申报的，还要做自评估吗？

先按适用规定办理。哪怕某项跨境传输业务对照促进和规范数据跨境流动规定属于免予申报的情形，企业在内部管理上仍然可以参照第五条列出的事项留存一份风险评估记录，把出境字段、接收方情况、合同安全条款和审批人记清楚，方便后续业务变更时核查。

数据出境安全评估没过，自评估要重做吗？

如果申报的数据出境安全评估没有通过，或者主管部门提出了整改要求，企业按主管部门的反馈意见逐项调整。一旦调整过程中改变了出境数据的范围、种类、境外接收方或者处理用途，团队就要针对变更后的方案重新开展自评估，更新报告并由企业负责人重新签字。