摘要：2026年4月24日，上海率先将数据出境负面清单从自贸区扩展至整座城市；5月11日，北京跟进发布“1+9”制度体系，成为全国首批将负面清单管理机制由自贸区拓展至省级行政区全域的改革举措。从政策发布到实操落地，仅用了两个月。本文从制度逻辑、AI企业操作框架、风险防控、趋势判断四个维度，为企业提供一份可执行的数据出境合规操作手册。
负面清单不是在“放宽”监管，而是在“精准化”监管——让该管的管住，该放的放活。
一、全域化后“变了什么”：从“试点探索”到“全域治理”
1.1 “1+9”的制度跃升
北京此次发布的“两区”负面清单政策设计为“1+9”，即1套“两区”管理办法和9个领域负面清单，一次性构建适用于全市域的数据出境负面清单管理体系。在适用区域上，负面清单的适用范围由自贸试验区扩展至国家服务业扩大开放综合示范区（即北京全市域），实现从“点”到“面”的扩展，让优势政策惠及全市所有企业。
上海于2026年4月24日由市网信办和市数据局联合发文，正式将负面清单覆盖范围从自贸区扩大至上海全域。这意味着数据跨境流动便利化改革从“试点探索”正式迈向“全域治理”阶段。
1.2 9个行业领域与AI企业的关联度
北京“两区”负面清单共涵盖9个行业领域、67个业务场景和612个字段。首批自贸区负面清单直接转为“两区”清单，包括汽车、医药、民航、零售、人工智能等5个领域；新编制了医疗器械、自动驾驶（智能网联汽车）、贸易物流、银行业等4个领域负面清单。
人工智能作为首批纳入的领域之一，其训练数据出境已有明确的负面清单指引。根据北京负面清单，人工智能训练数据出境的，需要履行相应的数据出境安全评估、标准合同备案、个人信息保护认证程序。负面清单明确列出了“需要通过数据出境安全评估的数据清单”，包括与行业竞争力相关的高价值敏感数据（算法源代码、关键组件数据、控制程序、基础模型数据等），以及自当年1月1日起累计向境外提供内容中涉及5万人以上敏感个人信息的音频数据和图像数据等。
对AI企业的关键提示：负面清单的核心价值在于“清单外豁免”——清单以外的数据开展跨境传输时，可豁免安全评估、标准合同订立、个人信息保护认证等合规流程，大幅精简数据跨境流动环节、降低流通合规成本。
1.3 “一地创新、多地适用”的跨区域机制
按照国家“一地创新、多地适用”原则，北京建立了外省市负面清单应用机制——对于本市企业后续确有使用需求的外省市负面清单，履行评估备案程序后动态纳入本市负面清单体系。这意味着企业在北京运营，但业务场景可能适用上海、江苏等地的负面清单。
对IT决策者的启示：数据出境合规不再是“一地一策”的碎片化管理，而是可以在全国范围内选择最优合规路径。对于在多城市布局的AI企业而言，合规成本的可预测性显著提升。
二、AI企业如何用好负面清单：三步操作框架
2.1 第一步：判断适用范围
企业需对照负面清单进行字段级数据映射。苏州自贸片区发布的《操作指引》明确建议企业第一步进行“判断适用范围”——数据处理者可依据负面清单进行数据识别，初步判断适用符合性。
核心判断逻辑是：如果出境数据落在负面清单内，需要履行数据出境安全评估、标准合同备案或个人信息保护认证中的对应程序；如果出境数据落在负面清单外，可豁免上述全部程序。
需要特别注意的“存算分离”场景：根据《数据出境安全评估申报指南（第三版）》，即便数据存储在境内，只要境外具有了“可以查询、调取、下载、导出”的可能，也属于数据出境行为。存算分离模式下，数据从境内传输至境外GPU显存进行计算，这一传输行为本身即构成数据出境，无论数据是否在境外“落地存储”。
对运维和架构师的实操建议：在设计AI训练架构时，如果使用境外GPU集群，必须将“数据传输行为”本身纳入合规评估范围，不能因为数据不落地就忽略合规义务。
2.2 第二步：准备申报材料
北京在材料简化上力度最大：按照最小必要原则仅保留“一表”“一书”（即《使用申请表》和《企业承诺书》），其他申报材料全部取消。福建自贸试验区同样采取简化模式，企业提交数据出境负面清单备案申报表、承诺书2类材料即可，片区实施机构在5个工作日内完成审核。
对运维/架构师的具体指导：虽然材料简化，但“一表一书”的前提是企业已完成数据分类分级和出境场景梳理。建议企业在申请备案前完成以下技术准备工作：建立训练语料的个人信息识别与分级机制；完成字段级数据映射，明确出境数据项与负面清单的对应关系；准备数据出境安全自评估报告（虽不要求提交，但需内部留存以备监管核查）。
2.3 第三步：提交备案与后续管理
上海案例：爱特思亚太企业管理有限公司（ZARA母公司Inditex集团亚太运营主体）在静安区数据跨境服务中心指导下，顺利通过上海市网信办、上海市数据局数据出境负面清单备案审核，收到全市首张数据出境负面清单备案结果通知书。企业在日常运营中涉及大量跨国订单处理、客户沟通及供应链协同等数据交互需求，备案较此前流程大幅简化，帮企业省下了不少时间和合规成本。
北京案例：北京经开区瓦里安医疗器械贸易（北京）有限公司（西门子医疗旗下）通过北京市“两区”数据出境负面清单备案，成为负面清单扩至“两区”后北京经开区首个获批的企业。
苏州案例：苏州自贸片区依据《操作指引》助力企查查科技股份有限公司、强生（苏州）医疗器材有限公司率先完成数据出境负面清单备案。目前已助力6家企业通过国家网信办数据出境安全评估，占江苏省总量的32%。
对IT决策者的操作建议：建议优先联系所在区域的数据跨境服务中心（北京已有朝阳、海淀、大兴、亦庄等站点），由专业人员指导对照负面清单梳理出境数据项。静安区在全市率先研究编制了商贸领域数据出境操作指引，编写了会员管理场景案例及备案申报表填写范例，可作为可借鉴的合规操作范本。苏州自贸片区还依托“苏数通”数据跨境公共服务平台和苏州国际数据港数据跨境服务中心，以“平台中枢+服务窗口”模式为企业提供一站式合规服务，服务团队已累计完成800余次服务。
三、风险防控与合规底线：负面清单不是“一放了之”
3.1 风险防控的三层体系
北京市互联网信息办公室副主任王飞明确表示：数据出境不是“一放了之”，未来将重点强化三方面措施。一是跨部门风险联动，网信部门与行业主管监管部门建立跨领域风险研判管理机制，推动数据出境与技术出口、人遗资源等全要素协同监管，实现事前事中事后全链条闭环管理。二是 “信用+风险”分级监管，优化数据出境合规信用风险评价指标体系，绘制企业数据出境合规能力图谱，对合规意识与合规能力强的高评级企业实施轻量化监管，对高风险的业务场景加强风险识别管控。三是市区两级技管并重，提升违规出境行为的发现力与处置力。
投行视角提示：负面清单制度下，企业的合规能力将成为可量化的“信用资产”。高评级企业享受轻量化监管，意味着合规投入可以转化为监管便利，形成“越合规、越便利、越发展”的良性循环。这一机制对于评估AI企业的合规风险和估值溢价具有重要参考价值。
3.2 AI企业的特殊合规风险
训练数据出境的合规路径选择：自《数据安全法》《个人信息保护法》施行以来，大规模训练数据的跨境传输须在安全评估、标准合同、认证三条路径中择一完成合规程序，涉及境内个人信息或重要数据的出境，应结合处理者性质、数据类型、数量和具体场景选择适用路径。
具身智能数据的特殊问题：在北京市组织的政策宣讲中，专家针对人形机器人具身智能数据、AI训练数据集合规出境等企业普遍关心的问题进行了解读。专家建议企业采集机器人相关数据时尽量不绑定个人信息，确需收集员工个人信息的，务必单独取得员工授权，并完备个人信息保护相关报告。值得关注的是，天津东疆保税区已落地全国首单具身智能领域数据跨境交易，帕西尼感知科技（天津）有限公司完成了天津首单数据出境负面清单使用备案，为具身智能数据跨境流通提供了可参照的实践样本。
Token出海的数据合规挑战：企业面向境外客户提供在线推理服务时，跨境传输的数据可能包括用户输入、模型输出、接口参数及相关日志数据等。在“存算分离”架构下，即便数据不在境外存储，训练数据从境内传输至境外GPU显存进行计算的行为本身即构成数据出境，需在业务设计阶段即明确日志存储位置、留存期限与跨境调取的合规边界。
3.3 合规成本的真实账本
思科2026年数据与隐私基准研究显示，85%的组织表示数据本地化给跨境服务交付增加了成本、复杂性和风险，78%的组织报告因AI发展而增加了与本地化和数据主权相关的成本。2026年全球数据流通报告显示，数据流通的合规成本平均上升约18%，但技术驱动的自动化合规工具渗透率从2025年的23%预计提升至2026年的37%，部分抵消了成本压力。
对投行分析师的启示：在评估AI企业的跨境业务拓展能力时，数据合规成本应作为一项独立的估值调整因子纳入模型。负面清单全域化降低了制度性交易成本，但企业仍需投入资源进行数据分类分级、合规体系建设和持续监测。净合规收益在营收的2.5%左右达到峰值，超过3.8%则可能陷入“合规陷阱”。
四、趋势判断与行动建议
判断：合规确定性的提升比“松绑”更有价值
2026年负面清单全域化的核心价值不在于“松绑”，而在于合规确定性的提升。未来12个月内，负面清单制度的推广将呈现两个趋势：
一是行业覆盖面的持续扩展。按照“成熟一批发布一批”的动态管理机制，预计金融、医疗健康、智能网联汽车等领域将率先落地更多场景化负面清单。国家数据局数据显示，2025年全国数据跨境流通总量达142.34 EB，同比增长14.88%，数据跨境流动需求正在加速释放。
二是区域协同的深化。“一地创新、多地适用”机制将从目前的备案互认走向更深层的标准统一。横琴粤澳深度合作区已上线数据跨境综合服务平台，内置覆盖全球36个国家和地区的数据跨境法律法规知识库，为企业提供规则查询、合规评估、可信流通、日志留存等专业服务。这种“平台化运营”模式可能成为未来数据跨境服务的主流形态。
企业应关注的核心指标是：负面清单备案的平均审批周期——这个指标将直接决定企业能否将数据跨境合规纳入产品迭代的正常节奏。
分阶段行动建议
初创企业（研发早期） ：优先利用负面清单豁免机制降低合规成本，重点关注数据分类分级的内部管理基础建设。对于不在负面清单内的数据出境场景，可依规免予申报安全评估、标准合同备案和认证。
成长期企业（有明确出海业务） ：尽快完成字段级数据映射，对照负面清单梳理出境数据项。建议接入区域数据跨境服务中心获取专业指导，可参照静安区编写的场景案例和备案申报表填写范例，或参考苏州自贸片区“苏数通”平台的一站式服务模式。
大型企业/跨国企业：建立常态化的数据出境合规管理机制，将合规能力纳入“信用+风险”分级监管体系的评级管理。已在境外有数据处理需求的企业，可评估利用横琴等地的数据跨境综合服务平台，降低多法域合规管理的复杂度。建议参照“业务事前审批—传输事中管控—留存事后追溯”的闭环管理模式，实现从被动整改到主动常态化合规的转变。
合规是安全带，不是枷锁——负面清单制度的目标是让企业形成越合规、越便利、越发展的良性循环。