选择 AI 供应商，也是在决定由谁掌握组织的一部分工作知识。签约之前，你需要弄清信息会流向哪里、谁能够访问、模型如何变更，以及合作结束后团队能否继续工作。这些问题与准确性、速度和价格一样，值得认真评估。
AI 主权意味着组织能够对内部 AI 的运行方式保有实质性的决定权，包括了解信息流向、决定允许哪些系统处理信息、调查重要操作，以及在必要时切换到其他方案。本指南将这一概念转化为适用于采购、IT、安全和业务负责人的供应商访谈框架。它适用于云端、本地和混合部署，也适用于对 KarmaBox 的评估。
这份 AI 供应商主权评估清单将上述关切转化为六个领域的 12 个问题，并提供证据要求和实用评分方法。你可以用它比较方案、识别缺口，让控制能力成为采购决策中可核实的一项标准。
01为什么需要评估清单
精心准备的演示能够展示软件是否可以完成任务，却很少说明谁能更换模型、查看私人文件、保留对话或中断工作流。当同事已经围绕产品建立工作流程时，这些问题才会变得紧迫。评估清单将它们提前到架构、合同条款和价格仍可调整的采购阶段。
先描述一个具体的预期应用场景，记录数据类别、用户、连接工具、部署区域、产品套餐及失效后果。汇总公开报告的助手，与处理保密合同的智能体，需要不同的保护措施。评分对象应是拟采用的实际配置。供应商的企业版功能清单，并不能证明你购买的套餐包含这些控制措施，也不能证明它们已在你的环境中启用。
监管背景说明了证据的重要性。《欧盟人工智能法案》第 26 条规定了高风险 AI 系统部署者的义务，包括人工监督和运行监测。其通过文本还规定了部署者控制范围内自动生成日志的保存要求，并附有条件和例外。这些义务有明确适用范围，并非所有 AI 工具都承担完全相同的要求 [1]。
DORA 为其适用范围内的金融实体提供了另一项采购参考。第 30 条规定了 ICT 服务合同应涵盖的事项，包括服务地点、数据恢复、事件协助和终止安排。支持关键或重要职能的服务，还涉及审计和过渡安排等额外要求。本清单借鉴了要求可执行控制措施的实践思路，但评分本身并不构成 DORA 合规评估 [2]。
可以结合 KarmaBox 面向个人和团队的主权 AI 入门文章阅读本指南。入门文章解释整体概念，本清单则检验具体供应商能够提供哪些证明。会前将问题发给供应商，并邀请技术和合同负责人参与。销售人员不应被迫临场回答分包处理者、保留例外或迁移承诺等专业问题。
02数据驻留
数据驻留描述数据的存储或处理地点；数据主权则关注支配数据的权力、规则和实际控制措施。区域托管选项可以支持数据主权，但不能直接解决远程访问、备份位置、模型路由或法律管辖问题。应评估完整的信息流转路径，包括主应用之外的服务，以及用户后续可以启用的功能。
1. 我们的每一类数据会流向哪里？
要求供应商绘制提示词、附件、输出、向量嵌入、遥测数据、支持工单和备份的数据流图。明确每类数据的存储地点、推理地点、相关法律实体，以及能够访问它的人员。还应覆盖故障切换：区域服务在中断期间可能改变处理方式。要求书面确认位置限制究竟覆盖整个工作流，还是仅覆盖部分存储资源。
好的回答会明确例外，并展示实际配置下的路由方式。回避式回答则只是「我们托管在欧洲」。试点时，可以使用带有识别标记的模拟文档，由技术团队检查可获得的请求记录和网络目的地。这只是有限范围的测试，不能证明所有后台处理过程。应将观察到的行为与架构说明及合同承诺相互核对。
2. 你们可以如何使用数据，保留多久？
应区分提供服务与模型训练、评估、滥用监测、产品改进和人工查看。询问默认设置是什么，以及相关权限是否覆盖组织内所有用户。要求提供各类数据的保留期限表，包括备份和支持记录。明确删除操作会立即移除什么、哪些内容稍后到期，以及哪些法律或安全例外允许继续保留数据。
好的回答会提供与合同对应的数据用途及保留期限表。回避式回答则用「数据归你所有」代替实际处理限制。还要仔细检查术语定义：OpenAI 公布的 DPA 将其涵盖的 Customer Data 定义为代表客户处理的个人数据。不属于该定义的商业机密材料，也需要依据相关协议进行审查 [3]。
03模型可迁移性
模型可迁移性，是指工作负载能够在合适的模型之间迁移，同时保留关键行为、控制措施和业务记录。它不要求不同模型产生完全相同的答案，而是要求有文档化的迁移路径、可衡量的验收标准，以及对依赖关系的现实认知。模型菜单提供多个选项，只能说明存在选择，并不能证明工作流可以安全迁移。
3. 我们能否在不重建工作流的情况下更换模型？
要求列出与特定供应商绑定的依赖项，包括提示词格式、工具调用、结构化输出、向量嵌入、检索索引、微调和安全设置。询问哪些可以导出、哪些需要转换、哪些必须重建。托管服务可能不提供模型权重，而开放权重许可证也可能附带条件。采购时应区分可迁移的客户资产、供应商专有技术，以及第三方许可组件。
好的回答会用替代模型演示同一个示例工作流，并记录质量、延迟、成本和权限差异。回避式回答则将「兼容 OpenAI 的接口」视为完整证明。使用规模适中且具有代表性的评估集，明确预期结果及不可接受的错误。准备产品问题时可以查阅 KarmaBox 使用文档，但仍应核实所选部署方案，不能假定所有文档功能都已包含。
4. 谁控制模型变更和退役？
询问版本识别、重大变更通知、评估窗口、回滚和生命周期终止支持。明确供应商移除模型或改变其安全行为时会发生什么。如果无法锁定版本，应要求其他可执行的变更管理流程。记录由谁批准迁移，以及供应商能否在负载高峰或事件期间静默切换提供方。敏感工作流应有应对意外路由的明确措施。
好的回答会明确通知机制、测试责任，以及团队能够实际运行的备用方案。回避式回答则承诺「自动使用最新模型」。升级后的模型仍可能改变分类、引用风格或工具行为，进而干扰业务流程。应依据自己的验收标准评估变更。通用基准测试成绩更好，并不意味着模型适合你的文档、语言和决策边界。
04审计访问权限
审计访问权限意味着能够获取相关控制措施的证据，并还原重要事件。认证或鉴证报告可以提供帮助，但其范围、日期、排除事项和覆盖产品同样重要。采购方还需要能够实际获取自身的运行记录。应先明确调查必须回答哪些问题，再决定哪些日志和报告足以支持拟定的应用场景。
5. 我们能否还原 AI 的一次重要操作？
询问记录能否识别用户或智能体、时间、模型版本、连接工具、权限决定，以及适用时的人工批准。要求说明导出格式、保留设置、访问限制和防止未经授权修改的措施。不要仅因为「以后可能有用」就默认收集敏感提示词内容。日志设计应同时支持调查、数据最小化和组织的保留政策。
好的回答能够让团队利用导出的证据还原一次示例操作。回避式回答则只提供仪表盘截图。《欧盟人工智能法案》对高风险系统部署者的规定，使人工监督和运行监测在适用场景中尤为重要，但日志的价值并不限于这些场景。日志应能显示实际工作流是否遵守组织批准的权限和审核步骤。
6. 我们能获得哪些调查权利和事件协助？
要求提供相关独立鉴证材料，并明确追加问题、检查以及必要时配合监管机构的合同流程。定义事件类别、通知触发条件、升级联系人和协助费用。区分个人数据泄露、服务中断、未经授权的工具操作和模型失效。一项通知条款可能无法覆盖全部情况，而组织内部的响应时限可能短于供应商的报告承诺。
好的回答会将事件定义、指定联系人和经过测试的响应流程对应起来。回避式回答则是「我们已经通过认证」。作为条款示例，Anthropic 公布的 DPA 规定，在知悉其所定义的 Security Breach 后，通知最迟不得超过 48 小时。应结合定义和适用合同理解这一时限，不能将其视为针对所有运行事件的承诺 [4]。
05分包处理者
分包处理者是受委托代表处理者执行相关个人数据处理的组织。组织的运行依赖图还可能需要覆盖模型托管方、监测工具、集成服务和支持提供方。询问哪些参与方会接收内容、元数据或管理访问权限。只有供应商名单，却没有处理目的和地点，就难以判断具体工作流带来的风险。
7. 哪些第三方可以处理或访问我们的信息？
要求提供最新清单，列明法律名称、处理目的、地点、数据类别，以及触发其参与的功能。询问启用网页搜索、分析、连接器或支持服务是否会改变该清单。明确合同义务如何向下传递，以及由谁对失误负责。还应区分分包处理者与用户自主连接的独立第三方服务，因为两类安排的责任和适用条款可能不同。
好的回答会沿着示例工作流说明涉及哪些提供方，并识别可选服务。回避式回答则是「我们使用可信合作伙伴」。信任不能代替清单。本地部署也应询问遥测、更新检查、崩溃报告和远程协助等问题。推理在设备上运行，并不能证明所有辅助服务都留在本地，或不会接收可识别身份的信息。
8. 分包处理者变更时，我们可以采取什么措施？
询问通知如何送达、新方何时开始访问、异议期多长，以及异议未解决时有哪些救济措施。确认是否需要自行订阅更新。无人监控的合同权利，难以形成有效的运行保护。指定接收邮箱和负责人，并记录救济措施究竟是替代服务路径、限制某项功能，还是附带明确财务后果的合同终止。
好的回答会同时说明通知机制和可实施的救济措施。回避式回答则是「名单就在我们的网站上」。公开 DPA 条款说明了比较的重要性：OpenAI 规定了 30 天异议期及解决流程；Anthropic 针对特定顾虑规定了 15 天异议期。这些只是公开条款的示例，并非通用标准，也不能代替对实际签署协议的审查 [3][4]。
06法律要求处理机制
法律要求处理机制，关注供应商在有关机关要求提供客户信息或访问权限时如何应对。仅凭数据位置无法回答这一问题。相关实体、适用法律、运行访问权限和加密架构都很重要。任何供应商都无法可信地承诺，一份合同能够使所有具有约束力的法律要求失效。真正有价值的问题涉及流程、透明度、范围，以及披露可读信息的技术能力。
9. 你们如何核实并回应披露要求？
询问由哪个实体接收要求、谁审核其有效性和范围、何时通知客户，以及禁止通知时如何处理。要求说明在法律允许时对不当或过度宽泛要求提出异议、尽量减少披露并保存记录的政策。汇总透明度报告可以提供背景，但不能保证未来个案的结果，也不能证明你的具体数据无法被获取。
好的回答会说明有边界的处理流程，并承认通知可能受到法律限制。回避式回答则承诺「政府不可能访问」。对于敏感工作负载，应由具备资格的法律顾问评估相关司法辖区和数据传输安排。采购团队可以收集证据并识别不确定性，但不应把供应商的营销说法转化为「可以免于披露」的法律结论。
10. 谁能够解密或调取信息？
梳理加密密钥、密钥管理员、应用访问、支持权限和恢复流程。客户管理密钥可以增强控制，但这一标签本身并不能证明提供方在推理过程中无法访问明文。询问系统运行时必须解密什么，以及解密发生在哪里。应单独检查日志和备份，因为它们可能采用与主内容存储不同的保护及恢复安排。
好的回答会解释常规访问、紧急访问，以及撤销密钥的后果。回避式回答则只说「静态和传输中均已加密」。应在非生产环境中使用模拟材料测试撤销操作，并记录哪些内容仍可访问。同时考虑可用性影响：取消访问或销毁密钥可能中断工作流，甚至导致无法恢复，因此控制权必须配套负责任的恢复方案。
07退出与导出
退出能力，是指离开供应商后能够取回有用资产，并维持可接受工作水平的能力。「取消订阅」按钮几乎无法证明这种能力。既要规划有序迁移，也要考虑意外中断。明确哪些资产影响连续性、必须多快恢复，以及替代系统需要重建哪些依赖。
11. 我们能否导出继续工作所需的全部内容？
要求提供示例导出，覆盖可用的源文档、对话历史、提示词、工作流定义、权限、评估数据和日志。明确无法导出的资产及原因。向量嵌入可能不兼容另一模型，重建索引需要源材料和配置信息。专有模型权重也不会自动成为客户资产。完整清单比没有限定条件的「完全可迁移」承诺更有价值。
好的回答会把导出内容导入另一个可用环境，并核验示例记录和权限。回避式回答则只提供对话 PDF。应评估文档、格式稳定性、速率限制、导出时长和专业人员投入。对于关键工作流，应衡量恢复最低可用服务需要多久。归档文件能够正常打开，并不意味着足以恢复实际业务流程。
12. 合同终止或供应商失效后，哪些保障仍然有效？
询问数据取回窗口、迁移协助、费用、通知期、过渡期间的持续服务，以及删除证明。既要覆盖主动取消，也要覆盖资不抵债或停止经营。明确哪些承诺在合同终止后继续有效，哪些依赖其他提供方。如果协助的可用性、范围和价格要等到组织准备退出时才确定，这种承诺的价值就十分有限。
好的回答会提供列明成本的过渡方案，并解释删除例外。回避式回答则反复强调「随时取消」。DORA 第 30 条包含数据恢复和返还条款，并针对支持关键或重要职能的服务规定额外过渡要求。即使不在其适用范围内，采购方也可以采用背后的采购问题：更换供应商时，组织能否继续运行，而不必依赖对方临时的善意配合 [2]？
08如何对回答评分
每个问题按 0 至 3 分评分，满分 36 分。没有回答或回答不可接受记 0 分；解释具体但存在重要证据缺口记 1 分；文档充分且有适用合同承诺记 2 分；在此基础上还有相关运行证据支持记 3 分。即使给满分，也要记录限制。一次成功演示只能验证已测试范围，不能证明未来所有可能情形。
一档 = 供应商已拿出的一样东西。分数衡量的是证据，不是印象——即使给满分，也要记录限制。
六个类别各包含两个问题，每类满分 6 分。展示总分时，应同时展示各类别得分。访谈前标记强制控制要求，以及通过这些要求所需的证据。如果未满足，应记录为审批受阻，或走正式授权的例外流程。不能用数据位置方面的高分，抵消无法取回关键业务记录的问题。
假设 HarborPilot AI 是一款虚构的内部知识助手。在这一示例评估中，数据驻留得 5/6 分、模型可迁移性 3/6 分、审计访问 5/6 分、分包处理者 4/6 分、法律要求处理 4/6 分、退出机制 1/6 分，总分 22/36。这些虚构分数用于演示方法，不是对 KarmaBox 或其他真实供应商的测量结果，也不代表行业基准。
22/36 看起来还过得去，直到你看最后一行。退出与导出是强制要求——它没通过，总分就救不了这次审批。HarborPilot AI 为虚构供应商。
| 类别 | 示例得分 | 说明 |
|---|---|---|
| 数据驻留 | 5/6 | 路由已记录，故障切换行为仍有缺口 |
| 模型可迁移性 | 3/6 | 有替代模型，但未演示迁移路径 |
| 审计访问权限 | 5/6 | 可导出证据，保留设置需确认 |
| 分包处理者 | 4/6 | 有清单，异议救济措施未明确 |
| 法律要求处理机制 | 4/6 | 流程有边界，管辖评估待法律顾问确认 |
| 退出与导出 | 1/6 | 强制要求未通过——审批受阻 |
| 总分 | 22/36 | 总分不能抵消未通过的强制要求 |
HarborPilot AI 为虚构供应商，分数用于演示评分方法，不代表对任何真实供应商的测量结果。
该采购方已将成功导出和恢复设为强制要求，因此即使其他方面得分尚可，审批仍然不能通过。整改方案要求在投入生产前提供可用导出、文档化恢复测试，以及明确报价的过渡协助。不存在通用及格线。应根据应用后果设定门槛，对不同竞标者采用相同证据标准，并在架构、合同或分包处理者发生重大变化后重新评分。
09整理一份评分记录
用一份评分表记录全部 12 项回答、证据索引、分数、强制要求、整改负责人和复核日期。每家供应商及每种拟采用配置分别保留一份。它的作用是保留决策依据，使同事在销售会议数月后仍能理解这次评估。
填写前，收集服务协议、DPA、架构图、分包处理者名单、事件处理程序、导出文档及相关鉴证报告。要求供应商指出每项回答由哪份文件支持。评估 KarmaBox 时，应将拟采用的部署与 KarmaBox 服务条款对照，再处理需要专项合同承诺的要求。对所有供应商都应采用同样的审查标准。
10将访谈结果转化为审批决定
评估可以分三步进行。首先收集书面回答，在安排演示前识别证据缺口。其次使用模拟或获准使用的数据，测试对目标工作负载最重要的控制措施。最后将演示与合同核对。如果销售材料、技术文档和合同不一致，应记录差异，并在依赖该能力之前解决。
评估供应商时，也要认真分配组织内部责任。采购负责管理商业承诺，安全团队评估访问和调查证据，技术负责人测试路由和迁移，法律顾问判断适用义务。业务负责人则决定剩余限制是否适用于目标流程。供应商无法代替组织作出这项风险决定。
使用具体测试场景。例如，创建一个模拟项目，包含文档、角色限制、需要审批的智能体操作，以及小型评估集。跟踪它从上传、模型执行、审计检查，到导出和删除的完整过程。这能够揭示独立功能之间的缺口：供应商可能分别支持权限和导出，却无法在迁移后保留相同限制。
维护证据登记表，记录文档版本、产品配置、测试日期、负责人及未解决的限制，并将每项分数与登记表关联。当某项能力从「计划中」变为「已上线」时，应先确认它在你的环境中可用，再提高评分。合同续签时，也应核实此前协商的保护条款是否继续有效，而不是直接将去年的评估复制到新的采购决定中。
最后，应让用户清楚了解获准使用的范围：哪些数据可以进入系统、允许哪些连接器、何时必须人工审核，以及谁有权批准变更。再完善的供应商协议，也无法阻止每位员工选择不安全的配置。只有采购承诺、技术设置和日常工作指引描述同一运行边界时，主权才能真正落实。
11常见问题
数据驻留等于 AI 主权吗？
不等于。数据驻留关注位置，AI 主权还包括访问决定权、模型选择、供应链依赖、监督、法律风险和退出能力。区域托管可以支持控制，但采购方仍须核实工作流的其他环节及适用承诺。
云端 AI 供应商能满足主权要求吗？
可以，取决于工作负载和所需控制措施。应评估处理位置、访问、允许的数据用途、变更管理和退出安排。本地部署同样需要审查，因为遥测、更新、支持和可选云端功能都可能引入外部依赖。
主权评分多少才算合格？
不存在通用及格线。本框架满分 36 分，但强制要求优先于总分。应在比较供应商之前定义审批门槛，并根据预期应用的后果要求相应证据。
DPA 能证明 AI 供应商具备主权保障吗？
不能。DPA 规定的是特定处理义务。采购方还须检查服务协议、架构、实际配置、访问证据和退出流程。在将条款视为整个组织的保障之前，应检查定义、例外和覆盖产品。
本清单能够证明符合《欧盟人工智能法案》或 DORA 吗？
不能。本清单是采购工具，不是法律意见或认证。适用义务取决于主体、用途、系统分类、司法辖区和现行规则。应由具备资格的法律及技术人员确定义务，并评估支持证据。
12关于发布方
KarmaBox 发布本指南，旨在帮助团队就 AI 控制和供应商依赖提出具体问题。本清单同样适用于 KarmaBox 及其他提供方。评分方法属于编辑设计的采购框架，虚构示例仅供说明。产品适用性和法律合规性，需要结合实际部署及适用协议进行评估。
来源核对日期：2026 年 11 月 2 日。文中法律讨论引用上述已通过文本。在作出合规决定前，请核查生效修正、施行规则，以及适用于你所签协议的条款。