周杨：AI出海合规应前置，而非事后补救

8月26日，HICOOL 2026峰会期间，竞天公诚律师事务所合伙人周杨在“数智出海场景、价值与合规论坛”上系统梳理了AI出海的主要合规风险点。她指出，AI企业出海面临的合规挑战已从“要不要做”变为“必须怎么做”，合规应当从“事后补”转为“事前做”。

周杨介绍，2025年竞天公诚承办了53宗香港上市项目，占当年具有中国境内权益企业香港上市总数的46.09%。在这一过程中，监管机构对AI企业的核查日益深入。中国证监会和港交所重点关注四类问题：模型部署位置的合规性、模型本身的合规性（开源、自研或第三方）、训练数据的合规性（公开数据、开源数据、采购数据、客户委托数据）以及算力服务采购的合规性。

在数据合规方面，周杨强调企业需建立“双域”思维，既要满足中国法对数据出境的要求，也要满足目的国对数据处理的要求。中国法下，数据出境涉及安全评估、标准合同备案、个人信息保护认证三条路径；目的国方面，欧盟有《通用数据保护条例》和《欧盟人工智能法》，美国有出口管制和特定州法律，中东、东南亚等新兴市场也陆续出台数据保护法规。

周杨重点分析了美国出口管制的影响。美国商务部2025年在出口管理条例（EAR）中新增ECCN 4E091条目，将达到一定计算门槛的AI模型权重纳入管制，并适用外国直接产品规则（FDPR）。这意味着，即便中国企业在海外使用非美国设备微调模型，只要基座模型落入管制范围，微调后的产物仍受EAR管辖。她同时指出三条豁免路径：开源权重模型整体豁免；基于开源权重微调的闭源模型，若追加训练不超过10的25次方次操作或不超过原训练操作数的10%，仍可豁免；比最强开源模型更弱的闭源模型也获豁免。她建议企业在模型训练和微调前，先评估基座模型的来源和计算量，避免触碰管制红线。

周杨总结道，AI出海的合规不是“事后补”，而是“事前做”。企业应在出海早期就将合规纳入产品设计，建立从数据采集、模型训练到跨境交付的全流程合规体系。