AI 合规不是"锦上添花"，而是"入场门票"——技术再先进，合规不过关就不能上线；一次数据泄露足以摧毁整个项目。

前置知识

• 什么是 FDE
• 生产部署架构
• 可观测性体系

为什么合规是 AI 落地的第一道门槛

很多企业花数月做模型选型、调优、部署，却在上线前夕被合规审查卡住。核心原因：

1. 技术可以迭代，法规不能违反——模型效果差可以调优，但违规罚款是刚性的。欧盟 GDPR 最高罚 2000 万欧元或全球营收 4%。
2. AI 引入新的风险维度——传统软件不涉及"模型幻觉输出"、"训练数据版权"、"Prompt 注入"等问题。
3. 行业监管趋严——金融、医疗、法律等高风险行业的 AI 应用受到更严格的审查。
4. 供应链合规要求——使用 OpenAI API 意味着数据出境；使用开源模型涉及许可证合规。

各行业的合规要求概览

本系列文档导航

快速自检清单

在 AI 项目上线前，对照以下清单自查：

• [ ] 是否完成了数据分级分类？敏感数据是否加密存储？
• [ ] 用户数据是否出境？是否有跨境传输合规审批？
• [ ] 系统是否记录了完整的推理链日志？
• [ ] 模型版本是否锁定？回滚方案是否测试？
• [ ] Prompt 输入是否有注入防护？
• [ ] 输出是否有内容安全过滤？
• [ ] 是否做过红队测试？
• [ ] 用户是否知情并同意 AI 服务的数据使用方式？