2024大模型企业出海法律实务报告AI出海先过数据关：GDPR域外适用，美国管到算力
1中国不在欧盟14国充分性名单，数据传回需SCCs；Uber因此被罚2.9亿欧元
2国内个人信息出境：不满10万人免报，100万人以上须安全评估
3美国实体清单已有845个中国实体，管制从芯片延伸到云算力和模型权重
4%GDPR罚款上限（全球年营业额）或2000万欧元，取较高者 p.74
2.9亿欧元Uber数据传美被罚荷兰数据保护局，2024-08 p.88
10万人国内个人信息出境免申报门槛当年累计，不含敏感信息 p.111
845个实体清单上的中国实体截至2024-08-23 p.161
老板之问
- 要卖AI软件或带AI功能的产品到欧洲，必须在当地设公司吗？
- 只卖标准化授权给B端可不设；做ToC或处理欧盟个人数据，不设主体合规成本会很高。 p.10
- 把欧洲用户数据传回中国处理，风险有多大？
- 中国不在欧盟14国充分性白名单，需SCCs等保障；Uber因数据传美被罚2.9亿欧元。 p.117
- 欧盟罚款上限是多少？
- 违反GDPR最高罚2000万欧元或全球年营业额4%，取较高者。 p.74
- 用代持或信托隐藏中国背景能躲开美国管制吗？
- 不能指望：美国以“控制”为标准，被发现即失效，代持还可能违反EAR否认条款。 p.17
- 国内企业向境外传个人信息，什么情况要报批？
- 当年累计不满10万人（非敏感）可免；100万人以上或1万人以上敏感信息须安全评估。 p.111
对德国、瑞士和欧洲的含义
对中国企业进欧洲有四点直接含义：①数据：GDPR对向欧盟用户提供商品服务的境外企业同样适用，中国不在欧盟14国充分性名单（瑞士、英国在名单内），把欧洲用户数据传回国内须签SCCs等，否则最高罚全球营业额4%；处理欧盟个人数据的企业不在欧盟设主体合规成本高。②AI产品：带AI功能的产品进欧盟要先认清自己是提供者、部署者还是进口商/分销商，并叠加《机械指令》、RED、GDPR及车载WP.29要求。③税务：德国增值税19%且按月申报；欧盟自2024年起对大型跨国集团实行15%最低税；德国对境外信托适用受控外国公司（CFC）规则，用信托做税务筹划要谨慎。④知识产权：德国直接申请发明专利约5—8年、10-12万元，可走EPO或中德PPH加快。瑞士只在充分性名单中被提到，报告没有专门讨论瑞士的法规。
逻辑链：为什么 → 怎么传导 → 所以怎么做
驱动因素
GDPR域外适用 p.102向欧盟用户提供服务即受管辖
美国以控制为准 p.17代持被发现即失效，易被一并制裁
算力与模型管制 p.163芯片、云算力、模型权重都纳入管制
传导机制
数据跨境受限 p.117中国不在白名单，需SCCs或在欧设主体
双向出境审查 p.111国内数据出境与技术出口都要许可
隔离架构有代价 p.17代持、信托有资产安全和上市披露冲突
结论/打法
按业务定主体 p.10ToC或处理欧盟数据就在欧盟设法人
先完成ODI p.34商务、发改备案加外汇登记
认清AI法案角色 p.83提供者、部署者、进口商义务不同
知识产权组合保护 p.137商业秘密+专利+著作权
关键数据图
欧盟三国增值税标准税率与新加坡GST对比（2024）（%）
企业所得税法定税率对比：中国、沙特、新加坡（2024）（%）
核心观点
- 是否设立境外主体首先由业务模式决定，ToC业务因数据跨境合规往往需要在当地设主体。 p.10依据仅卖标准化本地授权可直接与境外主体签约；ToC需境外设主体；欧盟对外国主体处理欧盟个人数据要求严格，不设主体合规成本高；沙特要求在当地设商事主体。推理不同业务模式触发的数据、用工、外汇、财税义务不同，主体是承载这些义务的载体。前提作者的一般性判断，未给出成本测算；具体以目标国法律为准。
- 境内外主体间设“防火墙”可降低制裁和出口管制传导，但隔离越彻底越与融资上市信息披露相冲突。 p.13依据境外业务对制裁更敏感；按美国出口管制规则境外主体不被认定为“中国”企业；TikTok在美印遭遇；招股书准则要求披露子公司控制情况。推理切断可识别的控制链可减少被一并制裁的概率，但上市规则要求股权权属清晰、披露控制关系。前提作者自己在第17页、第164页指出美国以“控制”为识别标准，代持一经发现即失效，且可能违反EAR否认条款。
- 协议控制（代持）成本低、隐蔽，但资产安全和东道国合法性风险大；信托保护更强但成本高、周期长且有被击穿风险。 p.17依据泰国违规代持最高三年以下刑罚；受托人离婚、死亡、被执行可致权益变动；信托设立需数月；张兰信托被新加坡法院认定无效，1.42亿美元被视为个人资产。推理代持依赖合同自治，信托有信托法和衡平法保障，但委托人过度控制会使信托失去独立性。前提东南亚多国禁止代持；信托效果取决于法域与日常管理。
- 中国企业设境外公司须完成商务部门、发改委备案（核准）及外汇登记（ODI），否则资金无法合法出境。 p.34依据《境外投资管理办法》《企业境外投资管理办法》（11号令）及汇发〔2015〕13号文；证书与备案通知书有效期2年；外汇登记改由银行办理。推理未取得发改委核准或备案的，外汇、海关不予办理，金融机构不予结算融资。前提敏感国家/行业适用核准；中国籍创始人设境外架构还需37号文登记。
- GDPR具有域外效力，不在欧盟设主体也要遵守；中国不在充分性名单，数据传出欧盟须靠SCCs、BCRs等保障措施。 p.102依据GDPR对向欧盟境内数据主体提供货物服务或监控其行为的境外主体适用；14国获充分性认定（含瑞士、英国、日本、韩国），中国不在其中；Uber因传数据到美国未提供第五章保障被罚2.9亿欧元。推理监管以数据主体所在地和行为指向为管辖连接点，而非企业注册地。前提适用于处理个人数据的场景；纯工业非个人数据不受GDPR约束。
- 欧盟《人工智能法案》按风险分四级监管，并按提供者、部署者、进口商/分销商划分义务，中国企业进欧盟首先要认清自身角色。 p.66依据不可接受、高风险、特定透明度、最低风险四级；第16、17、43、72条规定提供者义务，第26、27条规定部署者义务，第23、24条规定进口商和分销商义务。推理义务按供应链角色分配，角色判断错误会导致合规缺口。前提法案2024年8月生效，各条款分阶段适用；开源系统有有限豁免。
- 数据出境应按数量门槛选择路径：小规模豁免，中等规模签标准合同，大规模或含重要数据须安全评估。 p.111依据《规范和促进数据跨境流动的规定》：当年累计不满10万人个人信息免于申报；10万至100万人签标准合同；100万人以上或1万人以上敏感个人信息须申报安全评估。推理监管强度与数据规模和敏感度挂钩。前提关键信息基础设施运营者另有规定；豁免不免除其他数据保护义务。
- 大模型核心知识产权宜组合保护：研发阶段用商业秘密，可公开部分用专利或软件著作权；开源可借鉴Llama 2的用户数“熔断”条款兼顾生态与商业利益。 p.135依据专利审查指南允许算法与技术特征结合授权；百度602件大模型专利；深圳法院判决算法可作为商业秘密；Llama 2对月活超7亿的被许可方附加商业条款；特斯拉开源基础层、闭源应用层专利。推理著作权只保护表达不保护思想，专利需公开，商业秘密保护范围广但依赖保密措施，三者互补。前提不同法域可专利性标准不同；开源与闭源随企业所处阶段调整。
- 美国已把管制从芯片硬件延伸到云算力和模型权重，中国AI企业通过境外云规避硬件禁令的空间在收窄。 p.163依据BIS 2022/2023/2024三轮芯片规则（TPP 4800等）；NPRM要求IaaS提供商核验外国客户身份并报告大模型训练；ENFORCE法案拟将模型权重纳入出口管制，委员会43票赞成3票反对。推理管制对象覆盖硬件、云服务和模型参数后，替代路径都被纳入许可管理。前提NPRM为拟议规则，ENFORCE法案当时尚在立法程序中。
- 我国对外出口AI技术也受管制：《禁止出口限制出口技术目录》中的中文处理、语音识别、个性化推送等技术属限制出口，须先取得许可意向书再谈判。 p.154依据《技术进出口管理条例》属地管辖，电子邮件等非正式技术提供也可构成技术出口；限制类须提交申请书，30个工作日内审查，意向书有效期3年。推理技术出口以技术产生地为准，跨国公司内部交流也可能被认定为技术出口。前提目前AI技术未列入禁止出口和两用物项清单，但可能调整。
- 跨境用工中，单一由境外企业发薪的模式劳动争议风险最低；境内外分别发薪且存在关联时，境内公司仍可能被判补足境外欠薪。 p.52依据宁夏某锰业与雍某案：境内公司须支付加纳子公司未足额支付工资；董某会、柳某双案：完全由境外公司雇佣发薪的被排除中国法院管辖。推理法院按人身、经济、组织从属性认定事实劳动关系。前提基于中国法院判例，结论限于中国法院管辖的争议。
可落地的做法
- 先定业务模式再决定是否设境外主体：B端标准授权直接签约；ToC或处理欧盟个人数据则在欧盟设主体 p.10条件：需权衡许可费、租金、用工、财税法律咨询等运营成本，无必要且成本过高可暂缓
- 单一市场把主体设在目标国；区域或全球业务按开放度、优惠政策、政治经济稳定、法治、基础设施、合规成本选总部 p.11条件：优惠政策须向当地企业核实能否落地
- 优先设立法人子公司，不用分支机构直接经营 p.13条件：分支机构债务直接传导总公司；代表处在新加坡、越南、卡塔尔不能签商务合同
- 代持架构下不直接用受托人设立的公司运营，再在其下设子公司；过渡期结束后用资产交易而非股权交易移交海外业务 p.15条件：东南亚多国禁止代持，泰国违规代持有刑责；上市须披露
- 出海前按顺序完成商务部门备案、发改委备案和银行外汇登记（ODI）；中国籍创始人搭建境外架构须办37号文登记 p.34条件：证书有效期2年；敏感国家和行业须核准
- 外派员工尽量由境外公司单一签约发薪，并买以员工为受益人的意外险，不要只买雇主责任险 p.52条件：境内外关联或混同用工时境内公司仍可能担责
- 向欧盟以外传输个人数据时签署欧盟标准合同条款（SCCs）或集团BCRs，并在隐私政策中说明 p.117条件：中国不在充分性名单；违规最高罚全球营业额4%
- 进入欧盟前判断自身属于AI系统的提供者、部署者还是进口商/分销商，高风险系统建立质量和风险管理体系 p.84条件：适用欧盟《人工智能法案》第16、17、23、24、26、27条等
- 带AI组件的设备出口欧盟同时核对《机械指令》、无线电设备指令（RED）、GDPR；车机系统核对UNECE WP.29网络安全 p.99条件：适用制造业和车载AI产品
- 国内数据出境按规模选路径：不满10万人免报，10万-100万人签标准合同并在10个工作日内备案，超100万人或1万人敏感信息做安全评估 p.111条件：非关键信息基础设施运营者，按当年1月1日起累计
- 在德国申请专利可走巴黎公约、PCT或EPO，并利用中德PPH加快审查（须德语提出请求） p.125条件：直接申请需5—8年、约10-12万元；EPO授权后须指定德国当地代理接收官方文件
- 技术研发阶段用商业秘密保护，维护阶段按是否需保密分别申请专利或软件著作权，并留存数据窃取的网络日志 p.137条件：商业秘密须满足秘密性、价值性和保密措施三要件
- 建立KYC制度，对照《禁止出口限制出口技术目录》按禁止—限制—自由顺序给技术定位，限制类先拿许可意向书再谈判 p.157条件：电子邮件等非正式沟通也可能构成技术出口
论证成立
- 中国数据出境三条路径及数量门槛 p.111直接引用《规范和促进数据跨境流动的规定》《数据出境安全评估办法》《标准合同办法》条文，时限与材料清单具体，可逐条查证
- GDPR域外适用、中国不在充分性名单、需SCCs等保障 p.117引用GDPR条款并配有Uber 2.9亿欧元罚单的执法实例，规则与案例一致
- ODI三部门手续及证书有效期 p.34逐一列明商务部令2014年第3号、发改委11号令、汇发13号文，属可核验的监管规定
- 外派员工工资与社保责任的司法认定 p.52引用多份裁判文书案号（如(2022)宁05民终122号），结论有判例支撑
- 闭源大模型用商业秘密、专利、著作权组合保护 p.136分析了三种权利各自的保护边界（著作权只保护表达），并有深圳法院判决作依据
存疑之处
- 在敌对国家隐藏中国身份、用代持做境内外隔离更安全 p.14与作者第17页“一旦被发现无法规避风险”和第164页“代持可能违反EAR否认条款”的分析相矛盾；律所提供架构服务有利益关系
- 德国和西班牙企业所得税率为16% p.27无出处，未说明税种口径，与同页瑞典、丹麦约25%的说法比较时口径可能不一致
- 全球最低税适用门槛75亿欧元（或7.5亿欧元） p.28两个数字相差10倍却并列，作者未厘清
- 超过60%出海企业初期因缺乏合规遭遇法律问题 p.142只引报告名，无发布机构、样本和年份，属出处不全的宣传口径
- 特斯拉充电站300余项核心专利中23项开源、231项闭源 p.13423+231=254，与“300余项”不符；无出处
- 美国企业多自建合规部门，英国公司多聘外部律所 p.149个人印象式概括，无数据支撑
反方意见
- 处理欧盟个人数据的企业应在欧盟设立主体以降低合规成本设主体后GDPR全面适用且需配DPO等，固定成本对小企业不低；如果业务只涉及B2B非个人数据，或数据存储与处理全部放在欧盟境内（报告第80页提到的私有化部署），不设主体也可能合规。
- 信托比协议控制更能保障资产安全张兰案说明委托人一旦保留实质控制，信托会被击穿；而企业做隔离的目的恰恰是保留控制权，两者天然冲突，此时信托的优势可能不存在。
- 应改用欧盟或其他地区的大模型以减少对美国技术的依赖报告没有评估欧盟模型的可用性、性能和成本；欧盟模型同样受GDPR和AI法案约束，且可能使用美国框架，替代不一定能降低风险。
需要用官方数据核实
| 关键数字或判断 | 核实来源 |
|---|---|
| 欧盟充分性认定国家名单（是否仍为14个、瑞士和英国是否在列、中国是否在列） | 欧盟委员会（European Commission）数据保护充分性决定页面 |
| 德国企业所得税及增值税税率与申报周期 | 德国联邦财政部（BMF）、德国统计局Destatis |
| 欧盟全球最低税适用门槛（7.5亿欧元）及实施进展 | 欧盟委员会、欧盟官方公报（EUR-Lex） |
| 中国数据出境免申报、标准合同、安全评估的人数门槛是否有更新 | 国家互联网信息办公室 |
| 美国实体清单中国实体数量、BIS芯片与云算力规则、ENFORCE法案立法状态 | 美国商务部工业与安全局（BIS）、美国国会网站congress.gov |
| 加州SB-1047是否最终生效 | 加州立法信息网站（leginfo.legislature.ca.gov） |
| 《中国禁止出口限制出口技术目录》中AI相关条目是否调整 | 商务部、科技部 |
| Uber 2.9亿欧元罚款及后续诉讼情况 | 荷兰数据保护局（Autoriteit Persoonsgegevens） |
一图看数据
占比与比率一览（%）
关键数据
2000万欧元或全球年营业额4%（取较高者） 欧元/%GDPR违规罚款上限 p.74 官方或公告法定上限 · 现行 · 欧盟《通用数据保护条例》
GDPR可能导致高达2000万欧元或全球年营业额4%（以较高者为准）的罚款
2.9亿 欧元荷兰数据保护局对Uber罚款 p.88 官方或公告因2021-08-06至2023-11-27向美国传输欧洲个人数据未提供GDPR第五章保障 · 2024-08-26 · 荷兰数据保护局（AP）
Uber B.V.处以2.9亿欧元的行政罚款
14 个获欧盟数据保护充分性认定的国家数 p.117 官方或公告含瑞士、英国、日本、韩国等，中国不在其中 · 2024 · 欧盟委员会充分性认定
目前获得充分性认定的国家有14个
15 %欧盟全球最低有效税率 p.28 官方或公告适用跨国企业集团和大型国内集团，原文门槛写作75亿或7.5亿欧元 · 2024-01-01起 · 欧盟最低税指令
国的跨国公司实行15%的最低有效税率
19 %德国一般商品增值税率 p.27 第三方机构标准税率；德国要求按月申报增值税 · 2024 · 作者整理
德国的一般商品增值税率为19%
17 / 25 %卢森堡/瑞典增值税标准税率 p.27 第三方机构标准税率 · 2024 · 作者整理
卢森堡的增值税标准税率是17%，而瑞典的标准税率
16 %德国、西班牙企业所得税率（原文） p.27 宣传口径原文未说明是否含团结附加税和地方营业税，口径存疑 · 未注明 · 作者整理，无出处
德国和西班牙的企业所得税率为16%
17（中国25） %新加坡企业所得税率 p.29 第三方机构法定税率 · 2024 · PwC全球税务概要（原文标注）
新加坡的企业所得税税率为17%，相较于其他国家如中国的25%
4.25 %新加坡初创企业首10万新币应税收入实际税率 p.29 第三方机构首三个税务年度，减免75% · 2024 · 新加坡税法（作者整理）
首10万新币以内的应税收入减免75%，相当于税率4.25%
9 %新加坡GST税率 p.30 第三方机构年收入超100万新币须注册 · 2024 · 新加坡税务局（作者整理）
目前GST税率为9%
107份（约100个国家和地区）新加坡税收协定数量 p.31 第三方机构含97个DTA · 2024 · 作者整理
新加坡共与约100 个国家和地区签订了107 份税收协定
20 %沙特标准所得税率 p.32 第三方机构居民企业及常设机构 · 2024 · 沙特所得税法
标准所得税税率为20%
10（法定15） %中沙协定下特许权使用费预提税率 p.32 第三方机构中国母公司向沙特子公司收取特许权使用费 · 2024 · 中沙税收协定
适用10%的税率就取得的特许权使用费缴纳预提所得税
47 %澳大利亚针对信托回流安排的最高税率 p.23 作者测算反避税特别规制 · 未注明 · 作者整理
税率最高可达47%
1.42亿 美元张兰信托被新加坡法院认定无效涉及现金 p.23 第三方机构BVI公司在两家新加坡银行账户持有 · 判决时 · 新加坡法院判决
持有1.42 亿美元现金
当年累计不满10万人（不含敏感个人信息）个人信息出境免申报门槛 p.111 官方或公告关键信息基础设施运营者以外的数据处理者 · 2024 · 《规范和促进数据跨境流动的规定》
10万人个人信息（不含敏感个人信息）的
100万人以上个人信息或1万人以上敏感个人信息数据出境安全评估门槛 p.111 官方或公告自当年1月1日起累计 · 2024 · 《规范和促进数据跨境流动的规定》
万人以上的个人信息（不含敏感个人信息）或者1万人以上的敏感个人信息
3 年个人信息保护认证证书有效期 p.113 官方或公告到期前6个月内申请延续 · 2024 · 《个人信息保护认证实施规则》
认证证书有效期为3年
2 年ODI《企业境外投资证书》有效期 p.34 官方或公告按最终目的地颁发 · 2014年办法 · 商务部《境外投资管理办法》
有效期是2年
845 个被列入美国实体清单的中国实体数 p.161 第三方机构累计 · 2024-08-23 · 美国商务部BIS实体清单（作者统计）
已有845个中国实体被列入清单
TPP≥4800，或TPP≥1600且性能密度≥5.92美国最高性能芯片管制阈值（3A090a） p.162 官方或公告2023-10-17规则 · 2023-10 · 美国商务部BIS
综合运算性能（Total Processing Performance，TPP）达到4800
70 Weighted TeraFLOPS4A003计算机许可要求阈值（调整后峰值性能） p.162 官方或公告2024-04-04规则 · 2024-04 · 美国商务部BIS
超过70 Weighted TeraFLOPS
43赞成/3反对 票ENFORCE法案众议院外委会首轮投票 p.166 官方或公告2024-05-22 · 2024-05 · 美国众议院外交事务委员会
结果显示有43票赞成，3票反对
30 个工作日限制出口技术申请地方商务部门审查时限 p.156 官方或公告会同科技部门贸易审查和技术审查 · 现行 · 《禁止出口限制出口技术管理办法》
地方商务主管部门自收到《申请书》之日起30个工作日内
5—8年；约10-12万元人民币 年/元德国发明专利授权周期与费用 p.125 作者测算直接向DPMA申请 · 未注明 · 作者估计
一般需要5—8年的时间
3-5 年欧洲专利（EPO）授权周期 p.124 作者测算申请到授权 · 未注明 · 作者整理
整个过程从申请到授权通常需要3-5年的时间
602 件百度大模型发明专利数 p.135 第三方机构中国AI大模型企业发明专利排行TOP50第一 · 2024 · IPRdaily
百度以602件大模型
91.2 %2023年全球机器学习模型数量增速 p.85 第三方机构同比 · 2023 · 《2023全球人工智能创新指数报告》
2023年全球机器学习模型数量同比增长91.2%
1.7万（2022）→6万（2023） 个生成式AI开源项目数 p.85 第三方机构全球 · 2023 · 《2023全球人工智能创新指数报告》
开源项目数量从2022 年的1.7 万个激增至2023 年的6
>60 %初期因缺乏合规管理遭遇法律问题的出海企业占比 p.142 宣传口径原文仅称《中国企业出海专题研究报告》，无机构和样本 · 未注明 · 《中国企业出海专题研究报告》（出处不全）
超过60%的出海企业在初期因缺乏合规性管理而遭遇法律问
紧急3小时/普通24小时越南跨境信息提供者内容移除时限（草案） p.88 第三方机构法令草案 · 2024 · 越南信息与通信部
内移除紧急违规内容，24 小时内移除普通违规内容
企业案例
| 企业 | 市场 · 模式 | 做了什么 | 结果 |
|---|---|---|---|
| 上海港湾（605598） p.18 | 菲律宾 · 本地建厂 | 因菲律宾公司法对董事股东组成的限制，由中国员工、新加坡人和三名菲律宾人代持菲律宾子公司股份，新加坡子公司实际控制全部投票权和100%收益权 | 在菲律宾律所出具合规意见后保持代持结构完成A股IPO |
| 鼎丰股份 p.18 | 中国香港 · 其他 | 上市前全部股份由非实际权利人代持 | 维持代持结构完成港股IPO |
| 张兰（俏江南创始人） p.23 | 新加坡 · 其他 | 在库克群岛设信托，BVI公司在新加坡银行持有1.42亿美元现金 | 新加坡法院认定其对信托财产控制过强，信托无效，资产用于清偿债务 |
| Uber p.88 | 欧盟/荷兰 · 其他 | 2021-08至2023-11将欧洲个人数据传输到美国，未提供GDPR第五章保障 | 2024-08-26被荷兰数据保护局罚款2.9亿欧元 |
| 宁夏某锰业公司 p.52 | 加纳 · 本地建厂 | 外派员工工资由境内公司与加纳子公司分别发放，海外部分欠付 | 法院判境内公司补足加纳子公司未足额支付的工资 |
| 昕臆配件公司 p.59 | 安哥拉 · 其他 | 外派员工至安哥拉，欠薪后公司主张适用安哥拉法律 | 法院以强制性规定和法律规避为由适用中国法，作者认为论证不当 |
| 深圳某远洋渔业公司 p.54 | 莫桑比克 · 其他 | 劳动合同约定买意外险或商业保险，实际只买雇主责任险，员工在海外突发疾病死亡 | 法院认定违约，须向继承人承担责任 |
| Meta（Llama 2） p.139 | 全球 · 授权/代理 | 开源协议附加商业条款：月活超7亿的被许可方须另行向Meta申请许可 | 作者认为属半开源，可借鉴其“熔断”机制兼顾生态与商业利益 |
| 特斯拉 p.134 | 全球 · 其他 | 2014年开源电池管理、充电站等七类基础专利，应用层专利保持闭源 | 充电站技术300余项核心专利中仅23项基础层开源，231项应用层闭源 |
| OpenAI p.140 | 全球 · 其他 | GPT-1、GPT-2阶段开源吸引社区，GPT-3起改为闭源 | 作者作为“随阶段调整开源策略”的范例 |
| 深圳市智搜信息技术有限公司 p.136 | 中国 · 其他 | 诉光速蜗牛侵犯商业秘密 | 法院明确模型选择与权重排序等算法成果可作为商业秘密保护 |
| OpenAI（ChatGPT） p.85 | 意大利 · 其他 | 2023年3月被意大利暂停服务 | 作者作为欧洲重视个人隐私的例证 |
风险与门槛
- 代持和信托隔离一旦被识破即失效，美国以“控制”和受益所有人为识别标准，代持还可能违反EAR否认条款 p.17
- 东道国禁止代持（印尼、泰国、越南等），泰国违规代持最高三年以下刑罚，协议可能无效 p.17
- 信托被法院击穿（如张兰案），且面临受益人、设立地、运营地多重征税和德国等国的受控外国公司（CFC）规则 p.23
- GDPR域外适用，数据传出欧盟未提供保障可被重罚（Uber 2.9亿欧元） p.88
- 境内公司外派员工仍可能被认定存在事实劳动关系，承担境外欠薪、社保补缴和滞纳金 p.53
- 美国实体清单扩容（845个中国实体），列入后受EAR管控物项须许可且推定拒绝 p.161
- 美国云算力KYC与大模型训练报告制度，限制通过境外云规避芯片管制 p.163
- 依赖TensorFlow、PyTorch和GPT等美国框架与预训练模型，若被纳入出口管制将面临重构成本和交付违约 p.168
- 我国限制出口技术目录覆盖中文处理、语音识别、个性化推送等AI技术，未经许可出口有行政乃至刑事责任 p.156
- AI生成内容的文化、宗教禁忌（泰国王室、印度牛、伊斯兰猪肉、美国种族议题）引发法律和声誉危机 p.89
预测
- 欧盟《人工智能法案》可能成为其他国家AI立法的基准 p.66中长期
- 美国半导体出口管制框架已基本搭建完毕，重心转向执法和监管 p.1632024年后
- 《出口管制执法强化法案》将加快实体清单更新，可能导致更多中国实体被列入 p.163法案通过后
- 受监管AI系统最终定义将由商务部长会同国务卿等在ENFORCE法案颁布后365天内确定 p.167法案颁布后1年
- 我国两用物项清单暂未列入AI技术，但不排除未来列入 p.154未定
时效提醒
报告写于2024年下半年，美国ENFORCE法案、云算力NPRM、加州SB-1047等当时都在审议或拟议阶段，欧盟AI法案按阶段生效，中国数据出境规则也在继续调整，2025–2026年的状态需要逐项重新核实。
读书笔记
①报告由律所联合智谱、深度求索、零一万物等大模型企业编写，视角是AI软件公司，但数据合规、欧盟AI法案角色划分、劳动用工判例和ODI流程对一般出口制造企业同样有用。②报告前后有张力：第13–15页教企业用代持隐藏中国背景，第17页又说美国以“控制”为标准、被发现即失效，第164页更指出代持可能违反EAR否认条款；读者应以后者为准，不宜照搬“隐藏身份”的建议。③数据口径问题：第27页称德国、西班牙企业所得税率16%，无出处，也未说明是否含地方营业税；第28页全球最低税门槛写作“75亿欧元（或7.5亿欧元）”并列；第134页特斯拉充电站“300余项”与23+231=254项对不上。④第142页“超过60%出海企业初期遭遇法律问题”只给了报告名，无机构和样本。⑤第69、88页称加州SB-1047“通过”“要求一键关停”，第80页把美国大量敏感个人数据行政命令写成2023年发布，需核实。