中国人工智能企业国际化经营，如何应对数据安全与合规挑战？

人工智能技术主要面临着模型安全、数据安全和系统安全三个方面的安全挑战。特别是数据安全风险和隐私保护正逐渐成为人工智能系统在开发和应用过程中面临的严峻问题。具体表现在，人工智能在数据收集阶段难以保障用户的数据权利；对个人脸、基因、体型、语音等生物特征数据进行采集和处理存在较大的法律合规和隐私保护风险；数据污染可能会导致人工智能算法模型失效，恶意数据投毒攻击会导致人工智能决策错误，而数据偏差可能会导致人工智能决策带有歧视性；跨境数据流动也将对国家安全、数据主权等带来复杂的挑战等。

人工智能带来的伦理问题主要包括：人工智能做出超越人类预期的行为挑战现有的伦理框架及人类的思维本质；算法不透明无法解释，表面上客观的数据和理性的算法，也可以产生非中立性的结果；人工智能技术的应用对社会就业带来的影响，对社会公平可能带来损害；智能监控设备的广泛使用将导致公民的个人隐私存在隐患，等。

针对上述挑战，人工智能企业在进行国际化经营的过程中，需要遵从基本的安全与伦理规范，加强核心关键技术基础研究，提高人工智能的稳定性、可解释性、公平性，确保数据安全和个人隐私，从而打造出可以信赖的人工智能产品和服务。

中国人工智能企业在对外贸易中面临双重的出口管制，一方面需要遵守中国法律所规定的出口管制，另一方面在涉美贸易或其他环节，还面临美国或者其它国家法律所规定的出口管制。

我国《对外贸易法》第16条对可以限制或者禁止有关货物、技术的进口或者出口进行了规定。《中国禁止出口限制出口技术目录》在2020年8月28日经修改后，新增了23项限制出口的技术条目。其中，人工智能交互界面技术（包括语音识别技术，麦克风阵列技术，语音唤醒技术，交互理解技术等）、基于数据分析的个性化信息推送服务技术等与人工智能相关的技术被列为了限制出口的技术条目。依据《技术进出口管理条例》的相关规定，属于限制出口的技术，实行许可证管理；未经许可，不得出口；出口属于限制出口的技术，应当向国务院外经贸主管部门提出申请。

在法责任方面，进口或者出口属于禁止进出口的技术的，或者未经许可擅自进口或者出口属于限制进出口的技术的，依照刑法关于走私罪、非法经营罪、泄露国家秘密罪或者其他罪的规定，依法追究刑事责任。对于擅自超出许可的范围进口或者出口属于限制进出口的技术的，依照刑法关于非法经营罪或者其他罪的规定，依法追究刑事责任。尚不够刑事处罚的，区别不同情况，依照海关法的有关规定处罚，或者由国务院外经贸主管部门给予警告，没收违法所得，处以罚款；国务院外经贸主管部门并可以暂停直至撤销其对外贸易经营许可。

早在2018年11月19日，美国商务部工业安全局就已提出一份针对关键技术和相关产品的出口管制讨论方案，方案考虑对包括人工智能及其学习技术在内的14个“具有代表性的技术类别”领域的前沿技术实施出口管制。2020年1月6日，美国商务部工业安全局（BIS）发布了对《出口管理条例》的最新修订文本，对于在出口管制分类编号（ECCN）0Y521项下的、专门用于自动分析地理空间的软件的出口和再出口（除加拿大以外的所有目的地均包含在内）提出了要求。在未获得BIS许可证的情况下，出口管制分类编号0Y521项下的商品将不得出口、再出口或转移到除加拿大以外的其他任何国家。

美国对人工智能领域的规划及相关法规为我国人工智能企业带来的影响深远。在能源、采矿业、公共安全和私人安保、物联网和其他基于位置的服务等很多领域，中国企业和市场对综合地理空间分析解决方案的需求与日俱增。未来，想要通过获得此类技术许可，会面临更为严格的监管和审查。此外，美国政府如果认定相关企业从事违反美国国家安全或外交政策利益的活动，则可能将其列入“实体清单”。目前有近300家中国企业被列入该清单，清单内的企业将在一定程度上无法正常获得美国原产产品和技术，也会造成企业被多国管制的连锁反应，使得中国人工智能企业的供应链安全受到严重影响。

为此，中国的人工智能企业在开展国际贸易时，需要密切关注中美出口管制相关动态，建立健全完善的内部合规制度，定期进行风险自查与评估。在涉美贸易方面，更应强化出口管制风险识别，对研发、设计、采购、生产、销售等全流程监控，防范出口管制违规行为。

人工智能帮助企业在商业中占据优势，进而使得企业能够获得并保持市场优势。在这种情况下，人工智能企业很有可能面临着反垄断审查的风险，特别是在数字领域形成的全球反垄断浪潮，使得人工智能行业在国际化经营中更需要关注反垄断合规风险。

人工智能企业可能涉及到的反垄断问题主要包括：（1）人工智能垄断协议问题，即“价格算法合谋”，已经引起各国反垄断执法机构和相关组织的广泛关注。（2）人工智能数据垄断问题，优势企业利用自身数据优势来保障自身地位，排除、限制其他企业竞争可能因此而遭受反垄断审查，并为其垄断行为付出相应的代价，等。我国发布的《关于平台经济领域的反垄断指南》以及《反垄断法（修订草案）》均已考量到数字经济领域反垄断的特殊性，明确规定经营者不得滥用数据和算法、技术、资本优势以及平台规则等排除、限制竞争。

为此，人工智能企业应当未雨绸缪，在使用人工智能技术作为商业工具、享受技术红利的同时，应当避免出于合谋的目的设计或者使用人工智能技术。同时，企业也应当关注各司法区域反垄断立法、执法和司法的最新发展动向，以便掌握先机，防患于未然。

2020年6月1日起实施的《网络安全审查办法》，主要目的是为了确保关键信息基础设施供应链安全，维护国家安全。2021年7月10日，国家互联网信息办公室发布《网络安全审查办法（修订草案征求意见稿）》，扩大了网络安全审查的适用范围和义务主体范围，对跨境上市企业提出了更严格的信息审查要求。审查办法明确规定，掌握超过 100 万用户个人信息的运营者（关键信息基础设施运营者及数据处理者）赴国外上市需要接受网络安全审查，并增加中国证券监督管理委员会为监管主体，反映出国家对企业国外上市行为所产生的数据安全问题的高度关注。随后，网信办开始对“滴滴出行”“运满满”“货车帮”“BOSS直聘”等赴美上市互联网平台企业实施网络安全审查，正式实施网络安全监管。

当前，赴美上市网络安全问题主要来自两方面：一是上市准备及申请阶段证券中介机构、会计师、律师进行尽职调查所获取的大量底层数据的出境风险；二是上市后因遵循境外监管的信息提交或披露要求，可能导致敏感数据泄露，从而威胁到国家安全。为此，建议赴美上市的人工智能企业需要考虑以上因素引发的网络安全审查和由此导致的业务停滞，谨慎评估数据合规风险并适时调整赴美上市计划。

从当前世界主要国家和地区的数据政策和立法发展状况看，数据本地化的趋势在逐渐强化。我国也从捍卫国家数据主权、保护数据安全的层面进行了数据立法，并不断完善我国数据跨境流动机制。但另一方面，由于我国具有相当体量的数据跨境传输需求，人工智能企业的国际化经营给数据本地化和跨境数据传输带来了合规挑战。

数据出境是指网络运营者通过网络等方式，将其在中国境内运营中收集和产生的个人信息和重要数据，通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动。根据《个人信息保护法》对数据跨境传输的规定，数据跨境传输可选择的法定条件包括：（1）通过国家网信部门组织的安全评估；（2）按照国家网信部门的规定经专业机构进行个人信息保护认证；（3）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（4）法律、行政法规或者国家网信部门规定的其他条件。此外，《个人信息保护法》对境外数据接收主体提出了“同等保护标准”的要求。个人信息处理者在向境外提供个人信息前，还应当就个人信息处理的目的和方式是否恰当、对个人权益的影响及安全风险、保护措施是否合法有效等问题进行评估，并对处理情况进行记录。

另外，根据国家网信办2021年10月发布的《数据出境安全评估办法（征求意见稿）》，数据处理者向境外提供数据，符合以下情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

• 关键信息基础设施的运营者收集和产生的个人信息和重要数据；

• 出境数据中包含重要数据；

• 处理个人信息达到一百万人的个人信息处理者向境外提供个人信息；

• 累计向境外提供超过十万人以上个人信息或者一万人以上敏感个人信息；

• 国家网信部门规定的其他需要申报数据出境安全评估的情形。

人工智能企业在国际化经营中的数据跨境流通不可避免。企业应当根据相关规定制定数据出境的规则机制，保证数据跨境流通能够符合法律规定的前提条件、“告知-同意”的数据合法处理基础和规则、安全评估和认证等内容。除个人信息与重要数据之外，如果企业掌握的数据有可能属于管制物项相关数据或企业因特殊情形触发境外监管机构数据调取的，则还应当适用特殊的数据安全保护规则进行数据本地化，或经国内主管机关批准，否则，向外国司法或者执法机构提供存储于中华人民共和国境内的数据将会受到严格限制。除此之外，企业还应全面了解各国的数据合规差异化要求，遵守东道国或目标市场国家或地区相应的数据法律规范，以及对数据跨境传输处理的特殊规则。

在全球疫情起伏不定，世界经济复苏缓慢、艰难，外部环境更趋复杂严峻的大环境下，中国人工智能企业的国际化经营面临不稳定、不确定性的因素依然较多，人工智能产品“出海”，既需要提升技术，扩大品牌影响力，增强整体竞争力，更需深入了解关于出口管制、国家安全审查、反垄断与网络安全审查、数据出境等方面的法律法规，提高数据安全意识，强化合规体系建设，以规避各种法律风险，赢得更大的市场。