出海
出海阶段最常见的误判，是以为"合规"是一个可以整体搬运的东西。实际上至少是四组独立义务：数据能不能出去、产品在目标市场属于什么风险等级、技术本身是否受出口管制、以及人员与收入在目标市场是否构成纳税存在。四组义务由不同机关、按不同标准判断，缺一组都可能让整个计划停摆。
四组义务
第一，数据出境。 三条路径：安全评估、标准合同、个人信息保护认证。走哪条取决于数据性质（是否重要数据）、数量（个人信息人数）与接收方情况。实践中多数企业卡在"是否重要数据"的识别上，而识别标准需要结合行业目录与地方指引判断。
第二，目标市场的产品义务。 欧盟 AI 法案按风险分级设定义务，通用模型另有透明度与版权要求；美国目前以州层面立法与联邦行政令并行，加州的前沿模型透明度法案是观察样本；东南亚多国仍在制定阶段，但数据本地化要求已经先行。
第三，技术出口管制。 技术出口目录的调整会把部分 AI 技术纳入登记义务，模型权重与算力的跨境传输也可能触发管制。判断点在"技术是否属于目录范围"与"传输行为是否构成出口"，两者都不是靠常识能定的。
第四，人员与收入的存在。 派工程师驻场、设本地销售、通过 API 向当地客户提供服务，都可能构成常设机构；在当地雇佣员工则需要本地实体或名义雇主安排，并触发社保与工作许可义务。
一个顺序建议
先做数据出境的路径判断（它决定产品能不能上线），再做目标市场分级（它决定改造成本），然后做出口管制判断（它决定技术能不能交付），最后处理人员与税务存在（它决定长期成本）。顺序颠倒的代价是：产品按一个法域改完，才发现数据根本出不去。
相关研究
- DeepSeek 出海遭遇的监管围栏：从意大利封禁到韩国下架
- 7 月 1 日双规叠加：对外投资新规与 EU AI 法案，AI 出海合规进入双审查时代
- 欧盟 AI 法案合规指南：风险分类、高风险系统义务与罚款标准
- 欧盟 AI 法通用模型义务生效：透明度、版权与欧盟代表的硬约束
- GDPR 与数据出境合规：SCC 标准合同、数据主体权利与跨境传输机制
- PIPL 与 GDPR 双轨适配：数据本地化、跨境传输与多法域合规策略
- 技术出口目录拟增列 23 项 AI 技术：登记义务已经生效，出海企业先做三件事
- 美国「AI 扩散框架」出口管制规则：算力与模型权重双向收紧
- 网信办《数据出境安全管理政策问答》：重要数据的识别与申报路径
- 加州签署 SB 53《前沿人工智能透明度法》：美国州层面的前沿模型问责框架
对应服务
数据出境与跨境传输、欧盟AI法案合规、美国与东南亚 AI 监管、出口管制与经济制裁、境外架构与红筹重组、出海用工与本地实体、出海税务与常设机构、海外知识产权布局。