2025 年 5 月 30 日，国家网信办发布《数据出境安全管理政策问答（2025 年 5 月）》。问答把此前较为分散的规则集中回答，重点落在两件事上：重要数据怎么识别，识别之后怎么申报。

重要数据是数据出境制度的枢纽

数据出境的三条路径中，安全评估的门槛最高，而触发它的核心变量就是「重要数据」。问答明确，数据处理者应按照国家有关规定识别、申报重要数据；重要数据出境应通过国家网信部门组织的数据出境安全评估。

对 AI 企业而言，训练数据、行业语料与用户画像都可能触及重要数据的边界，识别工作不能靠感觉。

2 个月：一个明确的时间窗

问答给出了一个可执行的时间要求：对已被告知或公开发布为重要数据的，数据处理者应在被告知或公开发布后 2 个月内，通过所在地省级网信部门申报数据出境安全评估。

这条时间线的意义在于，它把「何时必须动」从模糊的「及时」变为可计量的期限。

与三条路径的关系

数据出境并非只有安全评估一条路。企业需根据数据类型与数量，判断适用安全评估、标准合同还是认证。参见GDPR 与数据出境合规与个人信息出境认证办法。

企业可以着手的方向

其一，建立数据资产盘点，把可能构成重要数据的字段与数据集单独标记。

其二，把 2 个月窗口写进内部流程，在被告知或公告发布时自动启动申报准备。

其三，多法域并行评估，同一份数据出境可能同时触发境内评估与境外合规义务。参见多法域合规指南与数据流通服务机构意见。

数据出境合规的难点不在规则本身，而在于企业是否清楚自己手里有哪些数据。识别能力决定了合规的起点。

本文依据国家互联网信息办公室《数据出境安全管理政策问答（2025 年 5 月）》及公开信息编写，仅供参考，不构成法律意见。