AI 企业合规日历：一年十二个月的义务节点

合规这件事，出事时处理一次，平时无人过问，是多数 AI 企业的常态。问题不在于不重视，而在于义务没有排期：没有日期，就没有责任人；没有责任人，就只有在监管问询或客户尽调时才会被想起来。

把义务排进日历，是成本最低的治理动作。它不需要新增系统，只需要一张表和一个季度复盘的习惯。

一、两类义务

固定节点。 由法律法规直接规定时间窗口，与业务是否变化无关。工商年报、企业所得税汇算清缴、等保测评排期属于这一类。错过窗口通常直接产生后果，不给你解释的机会。

触发式义务。 由业务事件触发，时间窗口从事件发生起算。新功能上线、模型更换、新增数据出境、融资交割、IPO 申报都属于这一类。这类义务没有日历提醒，只能靠流程嵌入：把合规判断写进产品上线流程和交易流程。

两类义务的管理方式不同：固定节点靠日历，触发式义务靠流程。只有日历没有流程，触发式义务照样会漏。

二、十二个月固定节点

月份是提示，不是法定截止日。真正的截止日以法规与受理部门要求为准，日历的作用是提前一个季度把人安排上。

三、触发式义务清单

把下列事件写进产品与交易流程的检查点，事件发生时自动触发合规判断：

• 新功能上线：是否改变算法机制、是否新增生成能力、是否需要变更备案、是否需要更新隐私政策与用户协议
• 模型更换或微调：是否改变模型来源、是否影响已提交的安全评估结论、是否需要重新测试
• 新增数据出境：数据类型、数量、接收方是否变化，是否触发重新评估或标准合同备案
• 新增第三方服务商：是否涉及数据处理委托、是否签署数据处理协议、是否需告知用户
• 融资交割：投资人尽调清单中的合规项是否齐备、历史备案与评估是否仍在有效期
• IPO 或并购申报：合规事项是否形成完整证据链、是否存在未整改的历史问题
• 监管问询或投诉集中出现：是否触发专项自查、是否需要向主管部门报告

清单不需要长，需要的是每个事件都有明确的责任人和判断口径。

四、季度复盘的四个问题

年度大检查的问题是范围太广，最后往往只看制度文本。季度复盘只问四个问题，反而更容易发现偏差：

1. 本季度有哪些义务到期？完成了吗，证据在哪里？
2. 本季度有哪些事件触发了义务？判断是谁做的，结论记录在哪里？
3. 台账里有哪些义务连续两个季度没有证据？
4. 下季度有哪些排期需要提前一个月启动？

四个问题都答得出来，合规就是在运行，而不是在纸面上。

五、落地方式：一张台账

台账字段建议如下：

台账每季度更新一次，年度审计时直接作为底稿。它的价值不在于好看，而在于任何一个义务被问起时，能在几分钟内找到证据。

本文为实务方法整理，不构成对具体企业的合规意见。义务范围与时间窗口以现行法规及主管部门要求为准。