技术出口登记与数据出境：两套程序如何并行推进

AI 企业的跨境合规讨论里，“技术出口"和"数据出境"经常被当成一件事。实际工作中，这个混淆会带来两种错误：做了数据出境安全评估，就以为技术出口已经覆盖；或者反过来，办完技术出口登记，就认为数据流动也一并解决。两者是两条独立的合规线，监管对象不同，触发条件不同，谁也替代不了谁。

监管对象不是同一个东西

技术出口管理的是技术本身。依据是《对外贸易法》与《技术进出口管理条例》，管的是技术所有权转让、技术许可、以及境内技术的权利人变更为境外主体这类行为。判断的对象是"这项技术”，落脚点在技术的权属与使用授权。

数据出境管理的是数据。依据是《数据安全法》《个人信息保护法》及配套规定，管的是个人信息与重要数据向境外的提供。判断的对象是"这批数据"，落脚点在数据主体的权益与国家安全。

一个项目里，这两件事往往同时发生，但它们的分析起点完全不同。模型权重作为技术，它的跨境授权属于技术出口；模型推理过程中产生的用户个人信息传输到境外，属于数据出境。同一笔业务，两套材料、两个主管口径。

一张对照表

表格的价值不在罗列，而在提示：任何一项跨境安排，都应该在两条线上分别问一次"是否触发"。

四个典型场景

模型部署到海外服务器。 技术侧，把模型或推理系统交付境外主体使用，可能落入技术出口的登记或许可范围；数据侧，如果部署过程中涉及境内用户个人信息向境外传输，需要判断走安全评估、标准合同还是认证。两件事同时做，但不能合并申报。

海外子公司共用训练数据。 数据侧是典型的个人信息出境场景；技术侧，如果境内主体向境外子公司授权使用训练方法、工具链，同样可能构成技术出口。很多企业只处理了前者。

向境外客户提供 API 或 SaaS 服务。 技术侧常见的是算法或模型能力的跨境授权；数据侧要看服务过程中是否回传境内数据、是否在境外存储境内用户信息。这两条线的触发点都不在合同标题上，而在实际的数据流与技术交付方式上。

跨境架构调整与并购。 境内技术的所有权人或实际控制人变更为境外主体，本身就触发技术出口登记；同时，如果交易伴随个人信息或重要数据的跨境转移，还要另行评估数据出境路径。交易文件里通常写得很细的是股权与对价，最容易被漏掉的恰恰是这两条。

三个常见误判

第一，把安全评估当成总包。数据出境安全评估的结论只回答数据能不能出境、以什么条件出境，不涉及技术是否属于禁限目录、是否需要许可。反过来，技术出口登记也不审查数据合规。

第二，把开源当成两边都免。技术侧的公共领域豁免，指的是已通过开源、论文等方式进入公共领域的技术不纳入管理范围；数据侧没有对应的"开源豁免"，只要涉及个人信息出境，仍要按数据出境的规则判断。两者的判断标准不通用。

第三，把时间顺序排错。数据出境安全评估的周期通常长于技术出口登记，而技术出口许可又可能长于企业的交付计划。合理的做法是两条线同时启动评估，而不是等一条走完再启动另一条。关于数据出境路径的具体选择，可参见数据出境合规问答；技术侧的判断方法，可参见出口管制服务。

合同里要分开写

跨境技术合同与数据处理协议经常被合并成一份文件，条款也常被合并表述，例如笼统约定"双方应遵守适用的出口管制与数据保护法律"。这种写法在实际履行中几乎没有操作价值。

更可行的做法是把两类义务分开约定：技术出口一侧，明确登记或许可的申请方、时间节点、未获批时的交付调整与责任分配；数据一侧，明确出境路径的选择、安全评估或标准合同的签署与备案义务、以及数据接收方的再传输限制。两份义务的时间表应当分别列出，并在项目计划中各自设检查点。相关条款设计可参见商业合同服务，跨境数据安排可参见数据合规服务与 GDPR 跨境传输服务。

对同时面向中国与欧盟市场交付的企业，还需要把 GDPR 的传输机制与国内数据出境路径放在同一张表上比对，避免出现同一批数据在两套规则下采用互相矛盾的传输依据。

本文依据现行有效的技术进出口管理与数据出境管理相关规定编写，仅供参考，不构成法律意见。具体适用应以主管机关最新规定、指南及个案审查结论为准。