下午收到德国总部邮件，说下个月要把我们这边的AI训练数据传到他们服务器，用来优化那个质检模型。邮件里催得急，说已经定了时间表，让我先了解下国内这边的合规流程。 我们公司是做汽车配件的，在上海有工厂，我负责这边的IT系统。这个AI模型用了不少产线照片和客户订单数据，有些还涉及个人手机号地址。我查了下网上的说法，有的说要先做安全评估，有的说只要签个标准合同就行，还有的说涉及个人信息还要单独授权，看得我头晕。 其实我是搞技术的，对合规这块真不太懂。想问下懂行的大佬：这种公司间的数据...
下午收到德国总部邮件，说下个月要把我们这边的AI训练数据传到他们服务器，用来优化那个质检模型。邮件里催得急，说已经定了时间表，让我先了解下国内这边的合规流程。
我们公司是做汽车配件的，在上海有工厂，我负责这边的IT系统。这个AI模型用了不少产线照片和客户订单数据，有些还涉及个人手机号地址。我查了下网上的说法，有的说要先做安全评估，有的说只要签个标准合同就行，还有的说涉及个人信息还要单独授权，看得我头晕。
其实我是搞技术的，对合规这块真不太懂。想问下懂行的大佬：这种公司间的数据出境，到底要先走哪个部门？是网信办的备案还是工信部？还有，AI模型本身算不算敏感数据？我们这种用客户数据训练的模型，是不是要先把客户信息去掉才能传？
我也不太懂这块合规，不过你说的客户手机号地址那些，感觉先别急着传。网上有人说涉及个人信息出境得先评估，我上次看新闻就闹心，建议你先问问公司法务或者找个懂行的同事一起看，别一个人瞎折腾。
我也被这种事搞蒙过。简单说，这不是光问一个部门能解决的事儿，你老板催是催，但这块儿真得稳妥点。
涉及个人信息的数据出境，网信办、工信部、商务部都可能要盖章，具体流程取决于你们数据里个人信息的比例和敏感程度。我建议你别自己摸黑走流程，直接找个懂数据出境合规的律师或顾问问一次，花不了太多钱但能省大事。因为一旦查到违规，罚款和信用记录都会很麻烦。
还有，既然数据里有客户手机号和地址，"去掉"个人信息这事儿说得容易，实际操作要真正匿名化的标准其实挺严的。有些公司以为打码就算匿名，后来才知道不符合规定。我个人觉得，在正式申报前，先把数据清单理一遍，标出哪些有个人信息，这样咨询顾问或律师时也能说清楚，他们给你的方案才靠谱。
