编者按
过去几年，数据合规从一个相对小众的合规领域，发展成为企业运营中至关重要的组成部分。《个保法》《数安法》落地、数据出境评估、AI监管、数据资产入表……每一个议题背后，都是具体的尝试与坚持。
合规社正式推出「数据合规50人」专访计划，深度访谈50位数据合规领域的实践者与思考者，记录他们的路径、方法论、踩过的坑和对未来的判断。
这是本栏目的第一篇，刘京博士的专访。
受访人：刘京 博士
中检天帷研究院执行院长
中检天帷研究院执行院长、高级工程师（人工智能算法）、北京大学计算机博士、武汉大学国际私法博士
获得法律职业资格证、专利代理师资格证、企业高级合规师、个人信息保护合规审计师、注册数据安全治理专业人员、 高级程序员、高级人工智能应用开发工程师、大模型Agent智能体开发工程师
出版技术专著1本、申请专利4项、发表SCI、EI论文近20篇，2篇获IEEE ICACT会议优秀论文奖
文 / 王贤智
在当前数据合规领域，同时具备计算机科学与法学领域深厚专业积淀的从业者，如刘京者并不多见。
刘京为北京大学计算机博士，同时为武汉大学国际私法博士生；曾任职于华为从事技术研发工作，持有法律职业资格证与专利代理师资格证；其于北京大学软件与微电子学院开设并讲授数据安全与人工智能安全相关课程，同时带领团队为企业提供数据合规与人工智能安全领域的专业服务。
在外人视角中，这种跨领域的“双重背景”更偏向一种差异化身份标签，但在刘京自身的表述中，其始终强调：
“法律划定合规边界，技术提供落地路径，唯有二者相互结合，合规要求才能真正得到落实。”
正式开展数据合规相关业务前，刘京拥有四年多的法律科技领域创业经历。创业期间，他主导开展两个核心项目：其一为保险理赔纠纷的在线自动化调解，其二为法律机器人项目，即用户提出法律问题后，由系统自动检索同类案例与对应法条并生成答复。该阶段大模型技术尚未问世，项目所采用的为传统自然语言处理技术。
正是这段创业经历，推动刘京开始探索技术与合规相融合的发展路径。
“当时我们观察到，在法律科技赛道中，面向律所提供SaaS服务、为公检法提供系统支持的细分领域市场格局已经趋于稳定，可开拓的市场空间有限。但合规领域不同，合规是具备强刚性的市场需求：相关法律法规出台后，相关合规整改与建设是企业的必然要求，仅存在落地时间先后的差异，因此我们判断这是一个能够融合技术与法律的优质赛道。”
在开展创业活动前的十余年间，刘京先后就职于华为、IGT、科大国创等企业，从事IT研发与管理工作，同时参与过科技创业企业的创立过程。这段纯技术领域的积累，使其对代码、系统架构与数据流转的理解深度显著优于跨界进入合规领域的从业者。用刘京自己的表述，
“合规项目中涉及技术可行性判断的环节，我无需咨询其他人员，自己就可以判断哪些内容写入方案后可以落地执行，哪些内容即便写入也无法实现。”
创业活动结束后，刘京加入中检集团天帷信息技术股份有限公司，出任研究院执行院长，并牵头组建数据合规与人工智能领域专业团队。该团队核心业务涵盖三大方向：数据治理与数据合规、大模型应用开发、人工智能安全。在个人信息保护合规审计领域，中检天帷已取得国家互联网信息办公室授予的第二批专业机构资质。数据出境安全评估申报与标准合同备案是团队的核心业务之一，其中某项目给刘京留下了尤为深刻的印象。
2023年，某跨国公司上海相关主体启动个人信息出境标准合同备案工作，向上海市互联网信息办公室提交申报材料，先后三次申报均因材料不符合备案审查要求被驳回。
刘京接手时，客户的信心已经很低，整改时间窗口也很有限。但这个案例的特殊性不止于此。
“这家公司是一个集团，在中国有几十家分支机构，在上海没有法人实体，直接控股平台在境外。按照正常规定，分支机构分布在不同省份，应该分别备案，但他们希望一次性从上海全部走完。这就需要先搭建一个合规的法律架构，让上海网信办觉得风险可控、能追到责。此前三次申报，这个架构问题始终没有解决。”
网信办的驳回意见主要集中在三个方面：一是标准合同核心条款不完备，出境相关表述模糊，安全保护措施写得空泛，缺乏可验证的技术手段；二是法律适用性论证不足，对境外接收方所在地区的个人信息保护水平评估不够充分；三是必要性论证严重缺失，这是最核心的硬伤。
他在接手后的第一件事，不是改材料，而是做了一轮“驳回意见拆解+合规差距对标”。把三次驳回的正式意见逐条拆解归类，再对照《促进和规范数据跨境流动规定》和上海网信办的备案实操审查细则，逐项定位材料与合规要求的具体差距。“不能盲目改，必须先搞清楚监管真正要的是什么。”
数据最小必要与场景化必要性论证是行业普遍难点。这是刘京在多个项目实践中反复验证过的一个判断，也是整个项目中他花费精力最多的地方。所谓“最小必要”，听起来只是一个原则，但在实际操作中，它要求企业回答三个具体问题：
上述三个问题的每一层均需作出专业判断，每一层都涉及法律边界与技术可行性的博弈权衡。
刘京采取了分场景拆解的处理方式：将出境个人信息按照员工、外包人员、求职候选人三类业务场景逐一拆分。针对每一类场景，先明确出境业务的核心目的，再反向推导支撑该目的所需的最小信息字段。细化工作推进至字段层级：员工的姓名、联系方式、社保信息、岗位信息……每一项字段都需要单独论证其必要性，明确需求依据、需求范围，论证缺少该字段对业务的影响。
“客户最初是有顾虑的”刘京说，“他们认为逐字段梳理会增加行政成本，也担心字段缩减会影响海外业务开展。”
刘京并未直接反驳客户的顾虑，而是确立了“先定合规底线、再降低配合成本、最后兼顾业务弹性”的推进方案：
“具体而言，首先将监管驳回意见与上海同类外企的备案审查口径同步给客户，明确字段级细化是备案的必备要求；其次基于行业实践经验输出分场景字段清单与必要性论证底稿，客户仅需完成确认与微调工作即可；针对必要性偏弱但存在实际业务需求的字段，配套去标识化处理等合规调整方案，保留业务开展的弹性空间。”
“最终客户配合度很高，因为他们看到你不是在给他们增加负担，而是在帮他们解决备案不通过的问题。”
整个项目里，刘京感受最深的是安全措施整改环节。只懂法律的话，这个环节只能写出泛泛的表述，不符合监管要求，而刘京同时具备技术背景，他可以对应不同场景的字段敏感等级，把安全措施拆解成多个具体可落地的技术动作，让法条里的“必要安全措施”变成可核查的实操内容，这就是他所说“双背景”的价值：不是两边都略懂，而是能在法律和技术之间做转译。
刘京特别强调，“法律人和技术人思维方式不同，法律人是自上而下，从法律找适用场景，技术人是自下而上，容易陷入细节，融合两种思维需要完成思维转变，我自己花了两三年才调整过来，他认为统一表述本质是对齐判断，不是对齐文字。”
这种情况也出现在标准合同和备案报告的表述统一工作中，两类文件分别由法务、合规或IT部门负责，分开起草容易出现表述偏差，会被驳回。刘京的做法是，先拉通双方确认核心逻辑表作为唯一基准，再对应映射到不同文件，最后做双向交叉复核，分别由法务和技术审核对应内容。
在团队建设方面，刘京的20多人团队里有法学背景的，也有计算机背景的。他对团队的要求是，学法律的必须接触技术，学技术的必须理解法律逻辑。“我们公司本身就是一个技术公司，环境就在那儿，合规人员天天跟技术人员打交道，自然会学到一些。我们也有一些专门的培训项目，要求他们考一些相关证书。不一定让他们成为技术专家，但至少要知道技术词汇的含义，知道什么能落地、什么不能落地。”
刘京在北大软微学院任教多年，研究方向包括数据安全、人工智能安全。教学和科研对实务项目的支撑，他概括为两个层面。
第一是体系化的方法论沉淀。教学需要把知识拆解成体系化的课程内容，这倒逼他把零散的项目经验梳理成结构化的合规方法论。“做项目时不是依赖零散经验判断，而是有完整的理论框架做支撑，判断更精准、方案更系统。”
第二是前沿性的趋势预判。做研究需要持续跟踪国内外最新的监管政策和技术演进，能提前把握审查方向。“比如本次项目中，我们提前对照最新发布的《促进和规范数据跨境流动规定》的细化要求完善材料，而不是沿用旧版备案模板，这也是整改后一次通过的重要原因。”
今年初，合规社联合卓纬律所在上海办了一场“AI治理与数据安全”线下沙龙。刘京是分享嘉宾之一，主题是《LLM落地应用中的合规困境：中欧合规路径对比分析》。他在现场对比了欧盟AIA的风险分级逻辑和中国聚焦备案评估的监管思路，指出欧盟侧重对AI应用按风险等级分类管理，高风险AI系统需履行最严格的合规义务；中国则重点监管具有舆论属性和社会动员能力的AI应用，要求履行备案和评估程序。两种监管模式反映了不同的治理逻辑。那场分享，是他对相关议题阶段性思考的一次输出和验证。之后他围绕这个话题做了进一步研究，后续形成了一篇论文。
在方法论方面，他建议从业者系统学习技术框架，而不是碎片化地搜概念：“很多人是碎片化学习，看到不懂的名词去搜一下，那不成体系。方法论的东西还是要找一本数据安全或网络安全的教材，从头到尾系统看一遍，把安全模型、知识框架搞明白。”关于科研与实务的关系，他还有一层更深的理解：
“科研是一种战略布局。我们每年都写论文，比如欧盟人工智能法案出来后，我们发现智能座舱合规、自动驾驶产品责任这些问题还没有现成经验可参考。我们就先写论文，通过论文深入研究，同时建立品牌认知。即使案例还没来，但别人知道我们对这个问题有研究。等国内第一个案例来了，我们就能比其他人更快上手。”
除了数据出境，刘京也关注AI治理和数据要素流通。在他看来，未来1-2年，AI治理，尤其是智能体的监管体系构建，以及AI与数据跨境流动的交叉领域，会出现最显著的变化和机会。
2026年8月，欧盟《人工智能法案》全面实施，罚款力度远超GDPR；今年5月，中国国务院立法工作计划提出加快推进人工智能综合性立法。两件事叠加，意味着AI监管正在从规则制定阶段进入实质落地阶段。
当前全球现行监管体系对数据与模型采取分置规制的模式，然而，基于非法数据训练得到的模型往往会携带敏感信息，同时模型运行过程中生成的新增数据开展跨境流动时，目前仍缺乏明确的监管规则，传统的静态数据出境监管模式已无法适配智能体场景的监管需求。
在落地端，大模型的基模由大厂提供，企业能控制的是落地端的数据管理，包括微调数据和RAG知识库数据。AI治理落到实操层面，核心是通过数据管理来证明合规。
刘京也提到算力出海、token经济这类新场景。中国的算力成本优势明显，青海等地正在成为算力中心的聚集地。模型部署在中国对外提供服务，数据入境、出境、模型备案这些法律问题目前都没有现成的参考答案。这些新场景里藏着合规需求，谁能先研究清楚，谁就能先拿到机会。
按他的判断，政策层面需要建立“数据溯源—模型训练—模型部署—模型运行”的全生命周期监管链条，明确基于非法数据训练模型的法律责任，针对智能体跨境工具调用制定专门规则。
项目最终顺利通过备案。客户专门发了感谢信，认可团队解决了多次申报受阻的核心问题，且未对现有业务流程做重大调整，实现了合规要求与业务便利的平衡。刘京自己最大的收获是两件事：
“一是沉淀了一套个人信息出境标准合同备案的实操方法论，特别是“最小必要”原则落地的颗粒度标准；二是对合规的理解被刷新了，“合规不是机械照搬法条，而是要在监管要求与业务需求之间找到最优平衡点。真正落地的合规方案，是既能通过监管审查，又不会成为业务的负担。”
在这次访谈中，他还分享了一个对比故事：去年有两家AI智能客服初创企业，技术和定位几乎相同，同时筹备进军欧洲市场。第一家认为合规是“做大后再考虑的事”，仅做了简单合规报告，结果产品上线前被欧盟叫停；第二家从成立之初就将合规嵌入产品研发全流程，顺利通过欧盟认证，还因合规优势拿到了欧洲多家大型银行订单。
“在AI时代，合规早已不是企业的成本负担，而是核心竞争力和护城河。”
对刘京来说，这句话不是口号，是他用技术背景和法律背景反复验证过的判断。
对于想进入数据合规领域的年轻人，刘京的建议务实而直接：
“如果想做这一块，特别是年轻的律师，看到机会想做数据合规，但直接从法律来学数据安全是有难度的，因为信息安全是计算机科学的分支，需要计算机基础知识才能学懂。”
“不要只做‘法律翻译官’。数据合规是法律、技术和业务的交叉。很多新人死记硬背法条，不了解数据全生命周期的技术流程，API接口、数据库、数据脱敏、联邦学习，跟技术团队沟通的时候就鸡同鸭讲。”
“可以考一些数据安全相关的证书，通过考证去系统学习。学习的周期确实比较长，如果你不想花几年时间去啃技术，更快的办法是找一个资质比较全、有公信力的技术机构合作，强强联合。市场是第一位的，能提供合适的解决方案才是关键：是自己全部实施，还是借助第三方，都不是核心问题。”
在他眼里，数据合规领域的人才培养周期至少需要1-2年。“特别是技术这块，从法律背景转过来的，没有工科基础，可能连公式都看不懂，这个学习周期确实比较长。所以我们团队也会跟律师合作，大家各自发挥自己的优势，市场这么大，没有人能通吃。”
整理完刘博的访谈，我有一个很深的感受：数据合规这个领域，真正的门槛不在法律文本的解读，而在法律、技术、业务三种语言之间的来回翻译。
合规工作中，有的人擅长写法律文书，条款齐备、逻辑严谨，但落地时往往需要更多转化；有的人擅长出技术方案，落地性很强，但合规审查时常常需要补充上位法依据。刘博的独特之处在于，他能在两个系统之间自由切换，知道法律条文背后隐含的操作要求是什么，也知道技术方案里哪些表述经得起监管审查、哪些经不起。
他说自己花了两三年才完成思维转变，这大概就是双背景从业者真实的成长周期，不是多学一门知识，而是重新建立一套认知世界的框架。
另外，他在访谈中提到“方案呈现能力”这一点。合规咨询的交付物不只是法律意见，还有方案建议书、汇报PPT、整改指引。这些文本的呈现质量，直接决定了客户对专业度的感知。这或许也是合规服务从法律业务走向综合咨询的一个信号。-END-
如果你或身边的朋友有数据合规领域的实践经验，欢迎自荐或推荐。报名请扫描下方二维码。
⬇️⬇️⬇️
欢迎加入合规社知识星球，获取更多深度内容与行业交流
