SaaS、BYOC 与自托管的出口合规风险

模型选择与部署选择是两个可分离的决定，将二者视为同一件事会导致错误分析。如今，企业 AI 平台能够针对同一模型目录提供从 SaaS 到自托管的完整部署选项：企业既可以在自有服务器上运行美国模型，也可以通过欧洲 SaaS 中间商使用中国模型。每种部署方式都会改变哪些主体能够接触企业数据，也随之改变出口可能发生在哪里。几乎所有“美国模型还是中国模型”的讨论都会跳过这一部分，但它恰恰是合规团队真正能够控制的部分。

EAR 的框架以“人”为中心。15 C.F.R. § 734.15 所称的“释放”指向外国人，而非服务器；因此，仅有数据跨境流动，根据法规文本并不当然构成出口。在实践中，这一区别往往帮助有限，因为 AI 技术栈的每个环节背后，都有相关人员与实体。

如果向位于美国境内的外国人释放技术，构成视同出口（deemed export）；如果在美国境外释放，则构成出口或再出口。转移能够解锁受控技术的访问凭证，也适用相同的许可要求。加密同样不能当然解决问题。

EAR 对某些传输规定了例外：相关技术必须未被列为机密，采用合格的端到端加密，且不得被有意存储于 D:5 国家组。但端到端加密要求任何第三方均不掌握解密手段，而 AI 平台无法满足这一条件。推理无法在密文上运行，因此数据到达各处理主体时必须解密，并在其处理环境中以明文存在。不同层级的释放点可按下表逐层梳理：

因此，“美国模型还是中国模型”只是一个分析轴，而非全部问题。企业在本地自行托管中国模型，可以完全消除提供商层：数据不流向中国服务器，也不与被列入清单的主体发生交易。但这并不会消除模型层。前文所述的权重级行为仍将在企业自己的硬件上运行；如果重新设计后的 AI 扩散框架管制外国训练的模型权重或其输出，本地部署的权重仍可能被华盛顿视为受 EAR 管辖的资产。

反过来，通过多租户 SaaS 运行美国模型，则会保留模型层的开关风险，同时在应用层和托管层增加服务商的整条分处理方链条。典型多租户服务中，一条提示词在到达模型前会经过边缘代理、后端以及一个或多个大语言模型分处理方，每一跳都会处理明文。单租户和自带云（bring your own cloud，BYOC）部署介于两端之间，可以逐层减少中间环节。但无论还剩下哪些环节，负责管理这些环节的人员及其国籍，在每一层都仍然重要。

我们已经推演过接下来可能发生的情形：重新设计后的美国框架可能在 2026 年秋季以临时最终规则形式出台，而且更可能针对模型及访问，而非芯片；北京将决定中国开放权重生态在多大程度上继续开放；目前休眠的 ECCN 4E091 线路可能被正式拆除、正式恢复，也可能按照监管控制面板的一贯传统，继续留在原处，标签只脱落了一半。

上述结果均不由企业控制。企业能够控制的，是在一名并非由自己聘请的电工开始改造线路之前，先弄清楚自身系统如何接线。

一套可辩护的模型选择策略应包含四个步骤：

1. 梳理哪些工作流程会接触哪些模型，包括嵌入供应商产品中的模型；

2. 识别受出口管制的技术或技术数据会在哪些环节进入这些工作流程；

3. 为每一类工作负载设定模型与部署立场：既要选择模型类型，也要在多租户 SaaS、单租户、自带云和本地部署之间选择具体位置，并记录每种组合会暴露技术栈的哪些层级；以及

4. 留存尽职调查记录，因为未来提出询问的可能是监管机构、客户或保险公司。

这正是我们为客户开展的工作。相比企业日后因传票而求助，我们更愿意现在就帮助企业为控制面板做好标记。[1] 如果企业正在权衡美国与中国模型，或发现自己实际上已经在未经统一决策的情况下采用了多个美国和中国模型，则应考虑聘请外部专业人士，评估模型选择所涉及的法律风险，而不是仅仅评估商业风险或信息安全风险。

一如既往，当我们撰写这类更具预测性的文章时，也很高兴有读者愿意加入讨论。欢迎通过电子邮件与作者分享想法、意见或问题。

联系人