一家国内人工智能企业在引入境外战略投资者的尽职调查阶段，被要求开放线上资料室（VDR）供境外团队查阅。当员工花册、客户信息、研发文档及模型训练数据等陆续上传后，一个关键合规问题浮出水面：允许境外机构在线访问境内数据，是否构成数据出境？
在线查阅权限亦属数据出境
不少企业存在误解，认为数据未实际传输至境外服务器，仅赋予查看权限不属于数据出境。然而，国家网信办《数据出境安全评估申报指南（第三版）》明确指出：将境内运营中收集和产生的数据提供给境外主体查询、调取、下载、导出，或允许境外主体处理境内自然人个人信息，均属于数据出境活动。这意味着，跨境投资的数据风险往往在尽职调查阶段即已产生。
尽调核心：从“是否传输”转向“传输内容”
随着人工智能、生物医药、智能汽车等行业的发展，企业价值日益依托于数据资产。境外投资人不再局限于查阅财务报表，更关注用户画像、算法训练数据、业务运营日志及供应链数据等。这使得传统法律、财务及技术尽调不可避免地与数据出境合规产生交叉。核心关注点应从“有没有传数据”转变为“传了什么数据”。
个人信息的识别与脱敏标准
实践中，许多企业误以为删除姓名、身份证号等直接标识符即完成脱敏。但《个人信息保护法》采用“可识别自然人”标准。若境外接收方能结合员工编号、岗位信息、设备标识符或交易流水等间接信息重新识别特定个人，该资料仍属个人信息。唯有经过匿名化处理且无法复原的信息，方可脱离监管范围。
敏感个人信息的高风险管控
相比普通个人信息，敏感个人信息风险更高。身份证号码、面部识别信息、健康数据、金融账户、行踪轨迹、未成年人信息，以及反映收入、绩效和纪律处分的资料，均可能属于敏感个人信息。此类资料若纳入尽调，企业不仅需证明披露必要性，更应采取严格的访问控制措施，避免简单上传至资料室供全员浏览。
重要数据的行业化判断
除个人信息外，“重要数据”的识别更为复杂。依据《数据安全法》及《网络数据安全管理条例》，企业需结合行业主管部门发布的重要数据目录进行判断。对于人工智能企业的大规模训练数据、模型运行数据，以及智能汽车、医疗健康、测绘地理信息、金融等强监管行业的相关数据，不能仅凭企业自身理解结论，必须结合行业规定综合评估。
监管焦点：访问权限重于服务器位置
跨境尽职调查中，企业常过度关注“服务器是否位于境内”，却忽视了监管的核心在于“访问权限”。即便资料存储于境内服务器，只要境外主体（包括投资人、律师、会计师及顾问等）能够在线查询、下载或导出，依照现行监管口径，仍可能构成数据出境。因此，企业管理的重点应是数据访问的对象、权限、范围、期限及用途。
合规前置：分阶段披露与权限治理
许多项目因直到签署文件时才意识到数据出境问题，导致交易节奏被打乱。数据治理应前移至尽调准备阶段，实施分阶段披露策略：
- 交易初期：主要开放公司治理文件、公开工商资料及财务报表等低风险信息；
- 排他谈判期：逐步开放部分经营数据；
- 核心数据：涉及敏感个人信息、重要数据或核心算法的，可由境内中介完成现场核查，仅向境外出具尽调结论，而非直接开放原始数据。
同时，线上资料室本身应纳入治理范畴。需针对不同角色设置差异化权限，对敏感资料限制下载、复制和打印，并通过动态水印、访问日志等技术措施实现全过程留痕。若涉及重要数据，还需核查服务商所在地及技术支持团队的访问权限。
投后整合：数据流动的持续合规
交易交割并非数据合规的终点。真正的大规模数据流动往往发生在投后整合阶段。当境内公司接入境外集团统一的 ERP、CRM、人力资源或数据仓库系统时，数据出境的目的、规模、频率和接收主体将发生实质变化。此时，企业需重新评估是否触发新的合规要求，不可简单沿用尽调阶段的处理方式。
随着跨境投资活跃，数据治理已成为与税务、外汇、出口管制同等重要的合规议题。尽职调查的目标不应是“尽可能多地披露”，而是在保障交易推进的同时，准确划定数据披露的法律边界。未来，决定跨境交易效率的关键，将是企业的数据治理能力与合规管理水平。