2024 年 3 月 22 日《促进和规范数据跨境流动规定》施行，对数据出境安全评估、标准合同与认证三条路径的门槛和豁免作出调整。规则文本的变化幅度有限，实务中的难点反而更集中：判断顺序一旦颠倒，材料准备得再完整也要返工。可行的顺序是先定性数据，再计算人数，最后选择路径。
先解决“是不是重要数据”
新规明确，未被相关部门、地区告知或者公开发布为重要数据的，不需要按照重要数据申报安全评估。这条推定规则减轻了多数企业的申报负担，但要求企业留下判断依据。可以做的有三件事：核对行业主管部门发布的重要数据目录；保留书面查询与沟通记录；在内部文件中写明认定结论与理由。推定不等于可以不判断。一旦事后被认定为重要数据，缺少前期记录会让责任难以说明，也会影响已经完成的出境安排的合法性。
路径选择的顺序
判断可以按四步走：是否为关键信息基础设施运营者；是否处理重要数据；个人信息出境是否达到数量门槛；是否落入豁免情形。四步逐一排除后，才进入标准合同与认证之间的选择。把路径选择放在数量计算之前，是常见错误：豁免情形针对特定场景，数量门槛针对累计规模，两者适用条件不同，不能相互替代。适用豁免的交易，不需要再订立标准合同；已达门槛的交易，也不能靠拆分合同规避。
材料真正要回答的问题
安全评估申报的核心是风险自评估报告与法律文件。报告应说明出境目的、方式、数据范围、境外接收方的处理能力与所在国法律环境，以及拟采取的安全措施。AI 企业还需补充训练数据来源、模型服务中出境的数据类型、境外接口调用的日志安排。材料的分量不在篇幅，而在能否回答“数据出境之后发生了什么”。把技术架构、数据流向与合同义务三者的对应关系写清楚，比重复法条更有说服力。
时限与并行事项
安全评估、标准合同备案与认证各有流程周期。实务中需要为受理、补充材料与结果告知预留时间，不宜按最短时限倒排产品上线。涉及境外云服务、模型接口与客服系统的企业，往往同时触发多条路径，应按业务模块拆分申报，而不是打包成一个笼统的“数据出境”事项。拆分的好处是责任边界清晰，某一路径补正时不影响其他模块。
AI 场景的三个具体问题
- 训练数据出境。 语料传输给境外母公司或境外标注方，属于典型出境；公开数据也不例外，关键在于是否可被境外主体访问。
- 境外推理调用。 用户输入传至境外模型服务并返回结果，构成出境；是否达到门槛取决于其中个人信息的数量与敏感程度。
- 境外用户数据回传。 海外业务数据回流境内，方向相反，仍要按入境侧规则与境外当地法律处理，不能只做单向判断。
对同时训练与部署模型的企业，建议把数据流向图画到接口层，再按图逐条判断，而不是按部门划分。数据在研发、测试、运维之间流转时，最容易出现判断盲区。
出境路径判断与材料准备，参见数据合规服务；境外接收方安排与跨境协议，参见跨境数据服务；多法域并行要求，参见多法域合规服务。
本文依据 2024 年 3 月 22 日施行的《促进和规范数据跨境流动规定》及公开信息编写，仅供参考，不构成法律意见。