我是在上海这边一家跨国医疗器械公司做IT合规的，总部在美国。上个月总部IT推了一个AI文档分析工具，说要把中国区这边的客户合同、售后记录、还有一部分医院联系人信息传到总部云上做翻译和归类。
我看了下那个工具是直接调美国那边的AI接口，数据会先出境。老板觉得就是个普通软件，让我赶紧配合开通，但法务那边一个人说没事一个人说可能要申报，我夹在中间心里没底。
我目前只知道好像有数据出境安全评估、标准合同备案这些说法，但不知道我们这种情况算不算必须走。我们中国区大概200多人，客户资料里有医院医生的姓名和电话，还有合同金额。想请教一下：这种用境外AI工具处理客户数据，是不是一定要先做安全评估？如果走标准合同备案，一般要准备哪些材料、去哪个部门交？还有员工自己的信息如果也被传到AI里，是不是更麻烦？
在线等，真的怕弄错了背责任。