“技术血统”是绕不开的

观察者网：AI核心技术出海，不仅是一个商业行为，更关系到国家技术安全和战略利益。您如何理解“技术血统”这个概念？企业在出海架构设计时，应当如何正确理解注册地变更与技术属性变更之间的区别？

刘新宇：“技术血统”这个词，最典型的案例就是Meta收购Manus被叫停这件事，很有代表性。其实这种操作模式以前也不是没人走过，它应该不是第一个，但被叫停之后，才变成公众普遍关注的新闻热点。

实际上，判断一项技术是否受出口管制法律管辖的时候，注册地并不是唯一的判断标准。很多时候我们会溯源，追溯到技术的“出生地”——那才是它的基因，而不是看你后面把注册地变更到哪里。就好比以前国内企业准备上市，临上市前各地都来招商引资，说“到我这来注册，给你多少优惠政策”，本质上是一个道理。但企业怎么成长起来的，基因在哪里，那是改不掉的。

具体来说，你的底层算法是怎么跑出来的？代码是在哪编写的？核心技术骨干和关键研发人员的工作轨迹在哪里？这些才是我们判断技术血统的依据。这个案子也告诉我们一个原则：重实质、轻形式，更多考察实质性的问题。

其实美国的出口管制法律体系里有“外国直接产品规则”，欧盟也有类似的穿透性审查机制，本质逻辑是一样的。那为什么大家好像觉得这条路径能走得通？核心诉求其实很清楚，无非两方面：一是通过去新加坡注册一个境外法人身份，试图绕开中国的技术出口管制；二是想避开美国对华投资的限制——如果你是个纯粹的中国企业，美国某些基金是不能投的。所以就有“新加坡洗白”这个说法，看似一举多得，出口管制和投资限制好像都解决了。

“新加坡洗白”（Singapore washing）是一个描述特定商业现象的概念，主要指一些企业通过将总部或运营主体迁至新加坡，试图“淡化”其原属国身份，以规避因地缘政治带来的商业风险。

但技术的属性变更，不是说换一个注册地、换个壳就完成的。我们要看的是：你的核心算法是不是准备在新加坡重新编写？研发团队是不是实质性地替换了？还是只是搞了个双轨制？这些才是判断标准。真正的技术属性变更，属于“基因重造”，显然不是简单的改头换面就能实现的。

所以我觉得，如果企业有出海或者拿美国资本的计划，应该在融资或交易达成前六到十二个月，就开始做技术血统的审查。这个审查的标准和刻度，不管是谁来做，都有一定的公理在，不至于完全说不清。

企业需要系统梳理的是：代码到底是在哪写的？核心技术人员是什么背景？训练算法用的数据又来源于哪里？如果你的应用主要面向中国本地用户，那数据大概率是在中国收集和训练的，这些都会成为判断技术原产地的依据。提前摸排清楚，比临时抱佛脚要稳妥得多。

观察者网：AI企业出海面临的其实是一个双重合规的要求，既要满足中国数据出境的监管要求，又要符合目标国本地的数据保护规定。您认为这两套体系之间存在哪些冲突或张力？

刘新宇：这个问题确实存在。我们就以个人信息出境为例，拿中国和欧盟来说。

首先需要明确一个视角：数据出境这个概念，是站在传输国的角度来看的。从中国传到欧盟，在中国监管视角下这叫数据出境；反过来，从欧盟的角度看，它属于入境，目标国对入境数据管得相对较少，主要管的是“什么东西从我这传出去了”。所以监管重心主要在传输国。

在数据出境这件事上，中国这边其实是释放了很大善意的。比如我们有《促进和规范数据跨境流动规定》，给企业松绑减负的意图很明显。上海、北京、天津等自贸区也都推出了负面清单制度，在不违背整体利益、不放松个人信息保护的前提下，尽可能为企业减轻负担。所以无论是对大模型企业还是普通跨国公司，我们在数据出境这块是在简化放权的。

但回到你说的冲突张力问题——至少欧盟对我们这边，目前还没有释放出特别大的对等善意，不信任的基础还没有根本动摇。

当然这里面原因比较复杂，也存在很大误解。解决方法很简单，你欧洲人来中国看看就知道了，我们做得不足的地方确实有，而且不少，但和你认为的“数据随意调取、随意侵犯、无法补救、没有救济途径”之间，那还是有天壤之别的。中国的不足，与欧洲对我们的偏见，这中间的差距挺大的。

在目前这个格局没有实质性改变之前，出海的中企，尤其是去欧盟的企业，确实面临着双重合规的挑战。

但现状就是这样。中企出海要满足不同国家的数据监管要求，我们又不在他们的“白名单”里，没有对等互认机制，只能靠一个个企业不断在合规上做扎实，慢慢改变他们的认识。当然需要强调的是，欧盟也不是只针对中国，对美国或者其他国家该罚也罚，一视同仁。这就要求我们的企业在出海迅猛的同时，合规能力也要尽快跟上。

观察者网：遇到欧盟这样的“合规之壁”，会影响企业出海的积极性吗？

刘新宇：基本上，大家不会因为监管严、执法活跃就放弃这块市场。就像我一开始讲的，两个东西要平衡——我不会为了合规放弃业务，也不会因为被罚了就把这个市场扔掉。大部分企业还是会积极应对。

积极应对就意味着合规成本上来了，这是成长的代价。但这个成本怎么花，路径又不一样：有的是在小修小补；有的干脆把服务器迁到当地；有的更彻底，连算法带工程师连人带设备全出去。

但到了这一步，又会涉及新的问题——出口管制管不管？有的能出，有的不能出。所以企业还得在这些选项之间做权衡和取舍。

观察者网：之前看到您在采访中提到过"AI中转站"的合规问题。您指出中转站从业者要避免一个认知盲区——只要数据经过代理服务器并发生收集、存储、传输，就可能构成法律意义上的数据处理。您还提到API中转绕不开电信业务经营许可和生成式AI服务备案这两道门槛。您能否先简要说明一下这个观点？您觉得这对我们理解更广泛的AI出海合规逻辑有什么帮助？

刘新宇：这算是相对较新的热点。电信业务许可和生成式AI服务备案，是立足中国国内法下的要求——因为我们讨论中转站，肯定绕不开中国的情况。这两道门槛是国内法的规定，你得先满足境内法的合规要求。如果是美国公司、韩国公司在美国和韩国之间做中转，它不需要遵循中国的电信业务许可，逻辑是不一样的。

那放到海外场景下，监管逻辑就完全不同了。你得跟着目标国的规则走，看它对AI的具体监管要求。老实说，我们对欧盟人工智能法目前也还在学习阶段。字面上英文看得懂，中文更看得懂，但有些尺度我们确实还吃不准。有一说一，目前有分量的处罚案例其实还没出来。

立法出来之后，得有有权机关或者本国律师来解释。就像我们解释中国的数据安全法、个保法，肯定比一个看了英文版本的美国律师理解得精准。反过来也一样，欧盟律师对人工智能法的理解肯定比我们细致。而且光有立法还不够，还得有执法和判例，才有教育意义。执法案例出来之后，我们才知道某个点该怎么理解。

所以目前我们只能做一个粗线条的判断，但很多细节我们现在确实还吃不准，还在研究中。

就像GDPR一样，你让中国律师去解释欧盟法，我们谈不上"解释"，但我们需要以我们的理解讲给中国企业听。一方面这是普法，另一方面，中企出海哪怕最终需要欧盟律师给出意见，我们在这个中间也有桥梁价值。合规不是非黑即白的，合规有刻度，做到什么是100分、做到什么是60分，其中是有弹性的。企业如果直接去找欧盟律师，可能问不出具体问题——你只能说"我们有市场，想合规"，对方说"那做到这个程度"，你说"我利润还不够覆盖合规成本"，对话就结束了。

而我们会告诉企业，你目前得先做到60分，业务推进到哪一步，合规的水位就要同步提到哪一步。中企出海现在很迅猛，但合规起步晚，整体上有差距。不能因为合规成本高就放弃业务，也不能业务猛跑、合规不管、等罚了再说。

这是个同步的问题，而要做到同步，得精准判断这个60分在哪。

观察者网：您对于AI出海的中国企业有什么合规方面的建议？

刘新宇：首先，就是要破除之前我们讨论的四大误区。

破除误区之后，核心是两条腿走路：

一是研读立法。比如欧盟人工智能法出来之后，要尽早学习，了解它大概讲了什么、哪些条款和自己相关。暂时理解不透的精细部分，可以请专业律师甚至欧盟当地律师来解读。有解读总比没解读强，知道法条存在总比不知道强。

二是关注执法判例。不要觉得被罚的企业体量比你大、和你无关，要看他们的业务模式和展业逻辑和你有没有相似性。今天发生在他身上的问题，明天或后天也可能发生在你身上。要把执法案例中的经验教训内化成自己的合规动作。

总结一句话：合规水位要随着业务发展同步提高。不要求一步到位100分，但也不能业务猛跑、合规原地踏步。起步晚没关系，但得有起步的意识和行动。

本文系观察者网独家稿件，文章内容纯属作者个人观点，不代表平台观点，未经授权，不得转载，否则将追究法律责任。关注观察者网微信guanchacn，每日阅读趣味文章。