2026 年 1 月 1 日，国家互联网信息办公室、国家市场监督管理总局联合公布的《个人信息出境认证办法》正式施行。该办法于 2025 年 7 月经国家网信办室务会审议通过，是《个人信息保护法》确立的个人信息出境认证制度的具体落地规则。
三条通道终于齐备
《个人信息保护法》第三十八条为个人信息出境设定了三条路径：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、或按照标准合同与境外接收方订立合同。
在《个人信息出境认证办法》出台之前，安全评估（《数据出境安全评估办法》）与标准合同（《个人信息出境标准合同办法》）均已落地，唯独「认证」这条通道长期缺少操作细则。本次办法施行，使三条通道在制度上完整闭合。
办法要求，个人信息处理者通过认证方式出境的，应当经专业机构进行个人信息保护认证，并明确了认证机构管理、认证程序与后续监督等事项。
认证通道适合哪类企业
三条通道各有适用场景。安全评估适用于出境数据达到特定数量门槛、或涉及重要数据的情形；标准合同适合出境规模相对有限、与境外接收方关系稳定的场景；而认证通道的价值，在于它把「合规能力」本身作为评价对象，而非逐笔审查具体传输行为。
对 AI 企业而言，认证通道尤其适合两类情形：一是需要与多个境外接收方持续、频繁传输个人信息，逐笔签订标准合同的成本过高；二是希望通过专业机构背书，向境外客户或监管机构证明自身个人信息保护能力。
对 AI 企业的具体含义
模型调用场景需要重新审视。 调用境外大模型服务，若输入内容含个人信息，即可能构成个人信息出境。此前企业多以标准合同应对，认证办法施行后多了一个选项。参见数据合规风险清单与欧盟跨境数据合规。
注意门槛的衔接规则。 据网信部门公开的政策问答，已订立标准合同或通过认证的处理者，若自当年 1 月 1 日起累计出境超过 100 万人个人信息（不含敏感个人信息），或超过 1 万人敏感个人信息，仍需通过所在地省级网信部门申报安全评估。认证并非「一劳永逸」。
认证与备案的区分。 认证解决的是「出境合法性」，算法备案解决的是「服务合规」，两者不能互相替代。参见算法备案与生成式 AI 备案的区分。
落地建议
企业可以先做三件事：梳理现有跨境传输清单，标注每一条传输目前使用的通道；评估哪些传输适合从标准合同切换到认证；对超过数量门槛的传输，提前准备安全评估材料。涉及境外上市、跨境研发与海外模型调用的团队，可参见数据合规服务与跨境数据服务。
认证办法的施行，本质上是把「能力证明」引入数据出境治理。对希望以体系化方式管理跨境数据的企业，这是一条值得认真评估的路径。
本文依据《个人信息出境认证办法》及国家网信办、国家市场监督管理总局相关公开信息编写，仅供参考，不构成法律意见。