数据不出境：AI 智能体该部署在哪里

先说结论：一个智能体在四个地方接触数据——静态存储、模型调用、凭据、以及它自己积累的记忆与日志。厂商的"数据存储在境内"通常只覆盖第一项。其中最容易被忽略、又最难事后补救的是第四项：智能体的记忆是对其他三者的提炼，往往是整套系统里最敏感的一份材料，却常常躺在某个服务商的共享数据库里，而没有人问过。

本页引用的第三方数据与政策信息，均于 2026 年 9 月 26 日对照发布机构的公开材料核对。该领域变化很快，任何没有标注日期的数字都值得怀疑——包括我们自己页面上的。本文为一般性介绍，不构成法律意见。

四个位置，逐一要有答案

1. 静态存储。文档、对话记录、业务数据实际存在哪台机器、哪个区域。这是唯一一个人人都会问、也人人都能答的问题。
2. 模型调用。智能体每一次"思考"，提示词被送到哪里处理、留存多久、是否用于训练。一个文件从不离境、但每一次推理都跨境的系统，只解决了容易的那一半。
3. 凭据。智能体持有你邮箱、CRM、文件系统的访问令牌。它们存在哪里、谁能解密、按什么流程调取——这是一个合规问题，也是一个应急响应问题。
4. 记忆与日志。智能体学到了什么、做过什么、谁批准的。这份材料是前三项的提炼，敏感度往往最高，也最常被忽略。

出境的三条路径，以及各自的门槛

按国家网信办公开的政策问答，向境外提供数据主要有三条合规路径：数据出境安全评估、个人信息出境标准合同、以及个人信息保护认证。适用哪一条，主要看规模：

• 关键信息基础设施运营者以外的数据处理者，累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的，可以通过订立标准合同或通过认证的方式出境。
• 已订立标准合同或通过认证，但累计出境超过 100 万人个人信息（不含敏感个人信息），或超过 1 万人敏感个人信息的，应当申报数据出境安全评估。

另外两点值得记下：《个人信息出境认证办法》自 2026 年 1 月 1 日起施行，认证依据 GB/T 46068-2025，证书有效期 3 年；《数据出境安全评估申报指南》已更新至第三版，申报材料持续简化，多地扩大了预评估试点。

智能体特有的那道坎：调用算不算出境

这是聊天机器人不会遇到、而智能体必然遇到的问题。

一个智能体在处理一张工单时，可能读取了客户资料、调用了模型、查询了一个第三方接口、又把结果写回 CRM。如果链路里任何一环在境外，那次处理就可能涉及跨境传输——而且发生在毫秒之间，没有人按下过"发送到境外"的按钮。

所以判断不能停在"我们的服务器在境内"。要问的是：这个智能体的每一次运行，数据依次经过了哪些地方。画一张图，把模型调用那条线单独画出来——这条线是最常被省略的，也是审核时最先被问到的。

给供应商的六个问题

建议以书面形式提出，口头答复在事后没有意义：

1. 计算在哪个司法辖区进行，我能不能指定？给出一份可选区域清单，和把租户固定在某个区域，是两件事。
2. 模型推理在哪里发生，留存条款是什么？默认模型要问，平台自己内部调用的那些（摘要、向量化、分类）也要单独问。
3. 智能体的凭据存在哪里，谁能读取？合格的答案包括静态加密，以及权限范围限定到单个智能体而不是整个账户。
4. 智能体的记忆存在哪里，能否导出和删除？能导出，才谈得上是你的；能删除，才说明他们是认真的。
5. 如果我停止付费，上述四项会怎样？这个问题的答案，区分了"供应商"和"依赖"。
6. 能否部署在我自己控制的基础设施上，代价是什么？即便你永远不用这个选项，答案的形状也会告诉你这个产品是怎么造的。

私有化部署不是目的，是手段

常见的反应是直接跳到"全部私有化"。有时这是对的，但更多时候只是用一种风险换了另一种：一台没人打补丁的服务器、一份没人验证过的备份，比一个部署在正确区域的托管环境更脆弱。

务实的中间态是：一个你能控制、区域由你选择、而且随时可以迁走的部署。配置、凭据和数据归你，运维值班不归你。这也是面对审核时最站得住的表述——不是"我们自己运维"，而是"这四项分别在哪里，以及我们要改变它需要做什么"。

先做的一件事

在采购之前，用一页纸写下这四个位置各自的答案，留白的地方就是要问供应商的问题。这件事花半小时，能省掉后面半年——因为这四项里有三项是无法事后补救的：没有记录过的日志补不回来，已经流出的凭据收不回来，散落在别人系统里的记忆导不出来。

如果你的服务同时面向中国境内公众提供，备案与内容标识是另一套并行的要求，见生成式 AI 合规。模型侧的取舍则在国产大模型怎么选。