AI供应商评估指南-含数据安全和服务条款

AI供应商评估指南——含数据安全和服务条款

标签：AI供应商评估|数据安全审查|服务条款审核|尽职调查|供应链风险|合规管理|2026最新

日期：2026年9月22日

一句话简介：系统梳理AI供应商评估的完整框架——从数据安全审查的八个核心维度、服务条款的六项关键条款，到

分层评估框架、尽职调查清单和评估报告模板，每一步都有具体操作指引和可复制模板。

关键词/标签：AI供应商评估、供应商尽职调查、数据安全审查、服务条款审核、ISO42001、SOC2、数据出境合规、

供应链风险管理

适用人群：企业采购负责人、法务合规人员、信息安全负责人、AI项目负责人、技术管理者、CTO/CIO

文档类型：模板工具类

目录

第一章：法规框架与评估义务

第二章：分层评估框架

第三章：数据安全审查——八个核心维度

第四章：服务条款审核——六项关键条款

第五章：供应商尽职调查清单

第六章：供应商评估报告模板

第七章：合同签署后的持续监控

第八章：常见问题解答

附录：速查表与隐私安全规范

第一章：法规框架与评估义务

1.1为什么要建立AI供应商评估制度

2026年，76%的企业在购买AI解决方案而非自建，这一比例较2024年的53%大幅上升。然而，许多企业的采购流程尚

未针对AI系统的特殊性进行更新。传统采购在购买时点评估性能，但AI系统会随时间变化——模型被重新训练、能力

被扩展、供应商条款被修订。签约时准确的评估，六个月后可能已不反映实际情况。

AI供应商风险不同于传统IT供应商风险。AI供应商不仅在处理你的数据，还在塑造你的员工和客户所依赖的输出，其

行为会随着模型重新训练和更新而变化。监管机构、客户和保险公司越来越期望企业能够证明其主动评估和监督了AI

供应商的行为，而不仅仅是签了合同就完事。

1.2核心法规要求

中国法规

《生成式人工智能服务安全基本要求》（GB/T45654-2025）明确规定，服务提供者在基于第三方基础模型提供服务

时，必须采用已通过主管部门审核备案的基础模型，确保底层技术资源的安全合法。该标准从语料安全、模型安全、

安全措施等方面提出了服务提供者需遵循的安全标准，要求服务提供者评估并确保生成式人工智能系统运行在安全环

境中，隔离训练与推理环境以防止数据泄露，持续监测输入内容防御恶意攻击，定期开展安全审计保障智能系统供应

链安全漏洞。

欧盟AI法案

欧盟《人工智能法案》要求高风险AI系统的部署者承担明确的合规义务。对于AI供应商评估而言，需要关注供应商是

否能够提供符合欧盟AI法案要求的技术文档和合规证明。

国际标准

ISO/IEC42001:2023是首个专门针对AI管理系统的可认证国际标准，在附件A.10中直接处理第三方AI关系。超过一半在

Gartner魔力象限中推广AI功能的供应商缺乏ISO42001认证，这一差距值得客户仔细审查。ISO42001和SOC2应被视

为互补而非冗余的标准。

第二章：分层评估框架

2.1四类AI供应商

企业使用的AI供应商通常分为四类，每类风险不同，评估重点也不同：

供应商类型定义典型示例核心风险

通过API提供基础模模型行为不可控、数据训练用

基础模型供应商大语言模型API服务商

型能力途、供应商锁定

会议记录、代码助手、

AI原生SaaS工具AI即产品的工具数据留存、模型更新、服务中断

客服副驾

现有软件中新增的CRM中的AI摘要、HR中

嵌入式AI功能合同未覆盖AI条款、默认开启

AI功能的AI评分

数据标注与训练数据模型上游的数据供标注服务商、数据供应数据来源合法性、偏见、知识产

供应商应方商权

2.2分层评估标准

根据供应商类型和业务重要性，建议采用三层评估标准：

评估层级适用场景评估深度评估周期

快速评估低风险工具、内部辅助书面问卷+公开材料审查1-2周

标准评估中等风险、涉及业务数据问卷+技术演示+参考客户访谈3-4周

深度评估高风险、涉及敏感数据或核心业务问卷+现场审计+渗透测试+法律审查6-8周

2.3评估流程五阶段

第一阶段：AI资产盘点。在评估新供应商之前，先对现有供应商进行盘点。检查管理后台和发布说明，确认哪些产品

已添加AI能力、是否默认开启。直接以书面形式询问每个主要供应商：你的层级中哪些AI功能可用、哪些默认开启、

过去十二个月有什么变化。

第二阶段：风险分类。根据供应商类型、数据敏感度、业务影响程度，确定评估层级和评估重点。

第三阶段：尽职调查。按评估层级执行相应的调查活动，包括书面问卷、技术演示、参考客户访谈、安全审计等。完

整的评估流程需要6-8周。

第四阶段：合同审查。重点审查数据训练条款、数据留存与删除、变更通知、事件通知时限、退出与可移植性等关键

条款。

第五阶段：持续监控。签约后建立定期复审机制，监控供应商的模型变更、条款更新、安全事件等。

第三章：数据安全审查——八个核心维度

数据安全审查是AI供应商评估的核心。以下八个维度必须逐一审查，任何一项无法获得满意答复，都应作为重要发

现。

3.1数据使用与训练

这是最具实质性的单一问题。必须明确：供应商是否使用客户数据训练或改进任何模型（包括供应商自己的或第三方

的），以及这一行为能否通过书面方式而非设置开关来关闭。合同应明确禁止供应商使用客户数据训练、再训练或改

进其模型。

操作要点：要求供应商在合同中以书面条款明确承诺不使用客户数据训练模型，而非仅在政策页面中声明。政策页面

可以在不通知的情况下更改，合同承诺则不能。

3.2数据留存与删除

需要明确：数据留存多长时间、客户能否自行设置留存期限、客户能否要求删除、删除实际覆盖哪些范围（包括日

志、缓存和备份）。

操作要点：要求供应商提供数据留存和删除政策，确保与企业内部治理和相关数据保护法律一致。

3.3数据处理地理位置

需要明确：数据在哪个地理位置处理、涉及哪些子处理商、子处理商列表变更时如何通知客户。

操作要点：如果涉及数据出境，需评估供应商是否满足中国法下的数据出境合规要求。中国法下数据出境涉及三条路

径：数据出境安全评估、个人信息标准合同备案、个人信息保护认证。

3.4加密与访问控制

需要明确：数据在传输和存储时如何加密、如何认证、是否与企业身份提供商集成、产品内部如何控制访问权限、AI

功能是否遵循用户已有的权限设置。

3.5租户隔离

需要明确：租户隔离在架构的哪一层实施。租户隔离应在应用层实施，通过令牌派生身份和数据库范围限定，确保一

个客户的数据对其他客户不可见。

操作要点：要求供应商提供架构图，架构图比复选框更难伪造。

3.6提示词注入防护

需要明确：文件在从上传到模型摄入的这段时间内发生了什么、是否在模型看到之前对文件中的恶意指令进行筛查。

3.7独立安全验证

需要明确：供应商持有何种独立安全认证（SOC2、ISO27001、ISO42001）、验证频率如何、能否查看审计报告而

非仅看到认证徽章。

操作要点：SOC2TypeI确认控制措施在某一日存在，TypeII确认控制措施在数月内持续有效。两者在销售页面上都

显示为“SOC2合规”，但含义不同。

3.8事件响应

需要明确：供应商在发生安全事件时的通知承诺是什么、通知谁、通知时限是多少。仅仅承诺通知而不附带时限，等

于没有承诺。

数据安全审查表

以下审查表可直接复制使用：

AI供应商数据安全审查表

供应商信息

供应商名称：【供应商名称】

服务类型：【基础模型/SaaS工具/嵌入式功能/数据服务】

评估日期：【日期】

评估层级：【快速/标准/深度】

数据安全审查

审查维供应商答风险等

审查问题评估结论

度复级

数据训通过/不通过/需高/中/

是否使用客户数据训练模型？能否书面关闭？

练补充低

数据留留存多久？能否设置？能否要求删除？删除覆盖日通过/不通过/需高/中/

存志/缓存/备份？补充低

地理位数据在哪里处理？涉及哪些子处理商？变更如何通通过/不通过/需高/中/

置知？补充低

通过/不通过/需高/中/

加密传输和存储时如何加密？

补充低

访问控通过/不通过/需高/中/

如何认证？是否集成企业IdP？是否遵循已有权限？

制补充低

租户隔通过/不通过/需高/中/

隔离在架构哪一层实施？

离补充低

注入防通过/不通过/需高/中/

文件在摄入模型前是否筛查恶意指令？

护补充低

审查维供应商答风险等

审查问题评估结论

度复级

安全认通过/不通过/需高/中/

持有哪些认证？验证频率？能否查看报告？

证补充低

事件响通过/不通过/需高/中/

通知承诺？通知时限？

应补充低

第四章：服务条款审核——六项关键条款

服务条款审查中，以下六项条款缺失任何一项都应视为重要发现，而非形式问题。

4.1数据训练用途的书面声明

这是最具实质性的单一合同条款。必须确保合同中包含供应商不使用客户数据训练模型的明确承诺。关注点：该承诺

是否在合同中而非仅链接的政策页面中、客户数据是否包括AI输入和输出、供应商是否合同性地禁止其第三方服务提

供商使用客户数据训练。

4.2数据留存与删除条款

合同应包含：客户能否要求按需删除和终止时删除、删除覆盖的范围（包括日志、缓存、备份）、哪些数据被排除在

删除范围之外。

4.3重大变更通知条款

模型变更、能力变更和默认设置变更都会影响企业已经完成的评估。没有变更通知条款，重新评估的触发条件就只能

依赖于“注意到”变更。

操作要点：合同中应明确供应商在模型变更、条款变更、默认设置变更前的通知期限和通知方式。

4.4事件通知条款

合同应包含明确的事件通知时限。没有附时限的通知承诺等于没有承诺。建议要求供应商在发现安全事件后72小时内

通知客户。

4.5退出与可移植性条款

合同应明确：客户退出时可以带走什么数据、以什么格式、数据在多长时间内仍可获取、切换成本如何。

4.6服务等级协议（SLA）

需要明确：适用于AI能力的服务等级是什么、是仅覆盖产品整体还是专门覆盖AI能力、性能劣化时的响应机制和赔偿

方案。

服务条款审查清单

以下清单可直接复制使用：

合同中是否明确约定供应商不使用客户数据训练模型？

该承诺是否在合同中而非仅在链接的政策页面中？

是否明确客户可要求按需删除和终止时删除？

删除范围是否覆盖日志、缓存和备份？

是否约定模型变更/条款变更/默认设置变更的通知期限？

是否约定安全事件的通知时限（建议72小时）？

是否约定退出时的数据导出格式和保留期限？

SLA是否明确覆盖AI能力？

是否明确供应商对其子处理商的合规责任？

是否明确知识产权归属和赔偿条款？

第五章：供应商尽职调查清单

5.1十二项核心尽调问题

以下是AI供应商尽职调查的十二项核心问题，覆盖架构、评估、供应链、部署、数据、集成、审计、合规、事件响

应、定价、总成本和退出：

序号评估维度核心问题

1架构引擎+LLM还是纯LLM？推理的基础是什么？

2评估方法发布了哪些基准测试？数据集来源是什么？

3模型供应链推理使用什么模型？如何固定版本？

4部署选项支持SaaS、本地部署还是气隙部署？

5数据处理客户数据去哪里？什么被留存？

6集成能力API覆盖范围、SDK维护、Webhook语义

7审计追踪结构化日志能否让客户重建决策过程？

8合规状态SOC2、ISO42001、EUAIAct—实际状态vs路线图

9事件响应72小时通知承诺、明确的升级联系人

10定价模型按Token？按席位？变异性是否有界？

11总成本供应商可辩护的三年预测

12退出方案切换成本、数据导出、合同终止条款

5.2尽调执行流程

第一阶段：书面问卷。向供应商发送上述十二项问题的书面问卷，要求书面回复并附相关链接的政策文件而非仅看摘

要。实质性的答案通常在与合同关联的文档中，而非合同本身。

第二阶段：技术演示。与供应商的工程团队深入探讨架构和部署方式。重点关注：租户隔离在架构哪一层实施、文件

从上传到模型摄入的处理流程、模型版本固定机制。

第三阶段：参考客户访谈。联系2-3个在类似环境中运行的客户，了解实际使用体验、供应商的响应速度和支持质量。

5.3供应商问题清单（可直接复制使用）

AI供应商尽调问题清单

一、数据治理

1.客户数据（包括prompts和交互日志）是否用于训练模型？能否书面关闭？

2.数据留存多久？客户能否要求删除？删除覆盖哪些范围？

3.数据在哪个地理位置处理？涉及哪些子处理商？

4.数据在传输和存储时如何加密？

二、模型与能力

5.使用什么基础模型？模型变更时如何通知？

6.模型的评估基准有哪些？数据集来源是什么？

7.模型输出是否可解释？是否提供可解释性报告？

三、安全与合规

8.持有何种独立安全认证（SOC2/ISO27001/ISO42001）？

9.租户隔离在架构哪一层实施？

10.是否有提示词注入防护机制？

11.安全事件的响应时限和通知承诺是什么？

四、服务与支持

12.SLA是否明确覆盖AI能力？

13.技术支持响应时效是多少？

14.性能劣化时的修复承诺是什么？

五、合同与退出

15.退出时数据导出格式和保留期限？

16.切换成本预估？

17.合同终止条款和通知期限？

第六章：供应商评估报告模板

6.1评估报告完整模板

以下报告模板可直接复制使用：

AI供应商评估报告

一、评估信息

供应商名称：【供应商名称】

服务类型：【类型】

评估日期：【日期】

评估层级：【快速/标准/深度】

评估负责人：【姓名脱敏】

审核人：【姓名脱敏】

二、供应商概况

成立时间：【年份】

主要产品：【产品名称】

服务模式：【SaaS/API/本地部署】

主要客户：【客户类型描述】

安全认证：【SOC2/ISO27001/ISO42001/其他】

三、数据安全评估

评估维度评估结论风险等级备注

数据训练用途通过/不通过高/中/低

数据留存与删除通过/不通过高/中/低

地理位置与出境通过/不通过高/中/低

加密与访问控制通过/不通过高/中/低

租户隔离通过/不通过高/中/低

注入防护通过/不通过高/中/低

安全认证通过/不通过高/中/低

事件响应通过/不通过高/中/低

四、服务条款评估

条款项评估结论风险等级整改建议

数据训练声明通过/不通过高/中/低

留存与删除条款通过/不通过高/中/低

变更通知条款通过/不通过高/中/低

条款项评估结论风险等级整改建议

事件通知条款通过/不通过高/中/低

退出与可移植性通过/不通过高/中/低

SLA条款通过/不通过高/中/低

五、综合评估

总体风险等级：高/中/低

最关键的风险项：

1.【风险1】

2.【风险2】

3.【风险3】

整改要求：

1.【要求1】

2.【要求2】

评估结论：

通过，可签约

有条件通过，需完成整改后签约

不通过，建议更换供应商

评估人签字：

日期：

第七章：合同签署后的持续监控

7.1为什么需要持续监控

AI系统与静态软件产品不同，模型会被重新训练、能力会被扩展、供应商条款会被修订。签约时准确的评估，六个月

后可能不再反映实际情况。监管机构、客户和保险公司越来越期望企业能够证明其持续监督了AI供应商的行为。

7.2持续监控要点

监控项频率预警信号应对措施

模型版本变更每次变更重大版本更新未通知要求供应商提供变更说明和影响评估

服务条款更新每次更新涉及数据使用或隐私条款变更法律团队审查，评估是否需要重新谈判

安全事件通知实时发生数据泄露或安全事件启动应急响应流程

认证状态变化每季度认证过期或被撤销要求供应商提供最新审计报告

合规状态变化每季度新增监管要求评估供应商是否满足新要求

性能表现每月性能下降超过阈值启动SLA赔偿流程

7.3年度复审清单

供应商的安全认证是否仍然有效？

供应商的服务条款是否发生重大变更？

供应商是否引入了新的子处理商？

供应商的模型是否发生了重大版本更新？

供应商是否发生过安全事件？

合同中的数据处理条款是否仍然满足最新法规要求？

SLA执行情况是否达标？

是否需要根据业务变化调整评估结论？

第八章：常见问题解答

Q1：为什么传统软件采购流程不适用于AI供应商？

传统采购在购买时点评估性能，但AI系统会随时间变化——模型被重新训练、能力被扩展、供应商条款被修订。签约

时准确的评估，六个月后可能已不反映实际情况。AI采购涉及数据主权、责任风险、监管合规和长期运营依赖等不同

层次的问题，标准尽调框架并非为此设计。

Q2：评估AI供应商时最重要的单一问题是什么？

最具实质性的单一问题是数据训练用途。必须明确供应商是否使用客户数据训练或改进任何模型，以及这一行为能否

通过书面方式而非设置开关来关闭。合同应明确禁止供应商使用客户数据训练、再训练或改进其模型，该承诺必须在

合同中而非仅链接的政策页面中。

Q3：SOC2和ISO42001有什么区别？

SOC2验证的是安全控制措施（安全、保密性、可用性等信任原则），ISO42001是专门针对AI管理系统的可认证国际

标准。SOC2TypeI确认控制措施在某一日存在，TypeII确认控制措施在数月内持续有效。两者应被视为互补而非冗

余的标准。

Q4：供应商不回答数据训练和留存问题怎么办？

拒绝书面回答训练和留存问题的供应商，实际上已经给出了答案——这个答案就是不合作。这类供应商应被视为高风

险，建议在评估报告中标注为不通过，或要求其在签约前提供书面承诺。

Q5：如何处理“嵌入式AI”——已经购买的软件中新增的AI功能？

嵌入式AI是大多数企业AI风险的核心来源——大多数AI并非作为AI被购买，而是作为其他产品的一部分到来，在原合

同条款下被更新开启。需要检查管理后台和发布说明，确认哪些产品已添加AI能力、是否默认开启，然后以书面形式

询问供应商。

Q6：数据出境合规在供应商评估中如何处理？

如果AI供应商涉及数据出境，需要评估其是否满足中国法下的合规要求。中国法下数据出境涉及三条路径：数据出境

安全评估、个人信息标准合同备案、个人信息保护认证。企业需要建立“双域”思维——既要满足中国法对数据出境的

要求，也要满足目的国对数据处理的要求。

Q7：评估流程需要多长时间？

快速评估约1-2周，标准评估约3-4周，深度评估约6-8周。完整的评估流程包括书面问卷、技术演示和参考客户访谈三

个阶段。

Q8：中小企业如何低成本完成AI供应商评估？

推荐路径：第一步，使用本手册的尽调问题清单向供应商发送书面问卷；第二步，优先审查数据训练用途、数据留存

与删除、事件通知三项核心条款；第三步，要求供应商提供安全认证报告（至少SOC2或ISO27001）；第四步，对高

风险供应商进行参考客户访谈。核心是“有询问、有记录、有结论”，不必追求形式上的完备。

附录：速查表与隐私安全规范

附录A：数据安全审查维度速查表

审查维度核心问题最低要求

数据训练用途是否使用客户数据训练模型？合同书面承诺不使用

数据留存与删除留存多久？能否要求删除？可按需删除+终止时删除

地理位置与出境数据在哪里处理？满足数据出境合规路径

加密与访问控制如何加密和认证？传输和存储加密+IdP集成

租户隔离隔离在哪一层实施？应用层实施

注入防护文件摄入前是否筛查？