训练数据的合法来源与使用范围

（一）数据采集与训练使用需要分别审查

Anthropic披露，其训练数据包括公开互联网信息、第三方许可或委托制作的数据集，以及自身模型生成的合成数据，采集方式涉及网页抓取、网络爬取和图书扫描。数据能够被取得，并不意味着其后续使用已经具备充分依据。网站访问限制、作品权利、个人信息和合同约定，可能分别约束同一批数据。

据招股书披露，Anthropic于2025年9月就Bartz案达成15亿美元和解，相关和解于2026年7月获得地区法院批准。公司还列示了音乐出版商及Reddit等主体提起的争议，并提示不利裁判可能限制数据或模型使用，甚至要求重新训练。和解解决的是特定争议，不能据此概括判断所有模型训练行为的法律性质。

中国企业需要依据中国法律独立审查。我国《著作权法》对特定使用行为规定了权利限制条件，美国法上的合理使用抗辩不能直接成为境内训练活动的依据。购买数据库、取得网页访问权限或获得供应商授权，也仍需核查许可是否覆盖训练、微调和商业使用，以及授权方是否有权作出相应承诺。

同一数据集还可能同时包含单纯事实、受保护的表达及可识别个人的信息，各自适用的规则不同。企业取得其中一类内容的使用权限，不代表其他权益也已解决。审查时宜保留必要分类，避免把平台许可、作品许可和个人信息处理依据合并为一个笼统结论。

（二）来源记录决定争议发生后的处置能力

对于数据供应商提供的海量素材，仅在合同中约定“保证来源合法”，难以替代必要核查。企业宜根据数据类型、取得方式和使用场景确定审查深度，要求供应商提供能够核验的来源及授权材料，并约定争议通知、停止使用和协助调查的义务。权利保证可以用于分配合同责任，但不能当然补足原本不存在的权利。

核查强度应与风险相适应。对授权链条清楚的数据，可以重点核对使用限制；对来源不明、经过多次转手或包含大量敏感内容的数据，则需补充材料或限制使用。建立分级审查，有助于把有限资源用于最可能影响产品的事项，也能说明企业在采购时实际采取了哪些措施。

来源记录还应当关联到具体训练任务和模型版本。发生争议时，企业需要确认哪些数据被使用、用于什么目的、影响哪些产品。删除原始文件是否足以消除影响，应结合争议对象、训练方式及后续使用判断；不能因为资料已转化为模型参数，就假定风险已经消失，也不宜在缺乏分析时直接推定全部模型必须停用。

（三）数据管理需要延伸至产品运行之后

在适用范围内，《生成式人工智能服务管理暂行办法》第七条对训练所用数据和基础模型的来源及相关权益提出要求；《网络数据安全管理条例》第十九条还要求加强训练数据及处理活动的安全管理。企业据此建立的流程，应覆盖数据取得、加工、训练和争议处置，而非止于采购验收。

合成数据同样需要来源记录和质量检验。Anthropic提示，合成数据可能放大偏差、造成模型退化并引发权属或许可争议。对于以模型输出继续训练的企业，应评估生成过程是否复现受保护内容或个人信息。产品上线后不断进入系统的客户资料，也需要单独确定使用依据，不能自然沿用训练阶段的安排。

客户数据处理与安全监测的边界

（一）客户授权应当对应实际处理目的

客户向AI服务商提交合同、代码或业务记录，通常是为了完成特定任务。履行该任务所需的推理，与通用模型训练、人工审核或其他产品改进，可能具有不同目的。Anthropic提示，客户或数据供应商缺乏充分处理权限，可能导致功能受限、数据隔离或重新训练。这说明客户已经交付数据，并不能单独证明服务商可以继续扩大用途。

在中国法下，各方责任需要结合实际决定数据用途和处理方式的主体判断。服务商按客户指令处理信息，与自行决定将信息投入通用模型训练，法律评价可能不同。属于委托处理的，应遵守相应约定，委托方亦需履行监督义务。客户签署服务合同，不能当然代替员工、消费者或其他相关个人所需的合法处理依据。

这一差异应落实到产品和合同中。企业需要分别说明完成任务、保存历史记录、处理反馈和改进模型的数据用途，并确认客户是否有权提交有关资料。对于商业秘密、个人信息等内容，还应根据其性质设置访问和使用限制。将不同用途统一写成“优化服务”，容易使客户无法理解实际安排，也不利于服务商证明处理范围。

对企业级产品，还应区分服务于单一客户的处理与跨客户的模型改进。二者接触资料的主体、使用期限和受益范围可能不同。客户允许资料进入专属业务环境，不宜被解释为同意在其他客户的服务中继续利用；服务商拟扩大用途时，应先确认相关依据，并提供与约定相符的配置。

（二）安全监测不能脱离必要性审查

Anthropic披露，为保障AI安全，公司在某些情况下需要访问和处理个人及敏感数据。识别攻击、欺诈或其他滥用行为确有必要，但安全目的不能替代个人信息处理的合法性基础。企业仍需说明监测对象、所需数据、人员权限和保存期限，并判断是否触发个人信息保护影响评估等要求。

实践中，应优先评估能否通过限制数据字段、缩小人工复核范围或采用风险评分完成监测。仍可关联特定个人的日志和评分，不能仅因删除姓名就视为匿名信息。安全记录如果再被用于训练或用户分析，还需重新审查该用途是否符合原有依据，避免安全系统成为不受约束的数据汇集渠道。

（三）零数据留存需要与调查能力相衔接

对于适用零数据留存条款的部分流量，Anthropic仅保留分类器评分，不保留提示词和输出。这减少了内容留存，却也限制了离线分析、跨会话调查和人工复核，并可能影响回应监管或司法要求。企业对外作出类似承诺时，需要事先评估事故发生后能够查明什么、依靠哪些记录。

调查能力也不等于无期限保存全部内容。企业可以事先设计异常触发后的记录提取和访问审批，明确哪些材料足以确认事件、何时应当删除，以及谁能决定扩大调查范围。对确需保全的材料，应控制复制和再次使用，防止原本为调查设置的例外演变为长期留存的常态。

中国《网络数据安全管理条例》第十二条要求对个人信息、重要数据的对外提供和委托处理情况记录至少保存三年。该类记录并不等同于完整会话内容，不能据此一概延长全部内容的保存期限。较为可行的安排，是区分任务内容、操作记录和异常事件材料，分别确定必要范围，并在合同中准确说明承诺及例外。这也为涉及现实操作的智能体保留了必要的追溯条件。

智能体的操作权限与责任分配

（一）外部信息不能直接转化为操作授权

Anthropic披露，攻击者可能通过网页、文档或API响应操纵智能体，使其利用客户凭据和权限实施未授权行为，导致数据外泄、交易损失或代码注入。与单纯生成错误答案相比，这类风险会借助系统连接转化为实际后果。

例如，客户要求智能体读取合同并起草邮件，附件却含有向外部地址发送全部文件的恶意指令。附件属于任务资料，并不代表用户授予了新的操作权限。如果系统未能区分二者，合法读取就可能成为外泄入口。防护因而需要同时覆盖模型对信息的处理，以及工具对操作的独立校验，不能完全依赖模型自行识别。

（二）权限应当按资源和动作分别配置

企业宜将读取、修改、删除、发送及公开发布分别授权，并根据任务限定可访问资源。能够读取某个知识库，不应自然获得导出全部内容的能力；获准起草邮件，也不宜默认拥有发送权限。关键限制应尽可能由工具、账户和业务系统执行，避免仅以提示词约束高后果操作。

人工确认还需要提供足够信息。审核者应能看到目标对象、数据范围及预期后果，而非面对含义模糊的同意按钮。长时间任务可以设置阶段检查，对付款、批量导出等动作实行限额或再次授权，同时保留暂停和撤销权限的途径。控制措施的有效性，应通过越权和异常场景测试验证。

对于难以撤销的操作，确认机制尤其需要独立于模型判断。系统可以在执行前核验收件人、金额或数据范围是否超出任务约定，并限制凭据的有效时间。这样即使模型误解任务，错误也有机会在执行环节被阻止。将全部安全责任交给同一模型，容易使一次判断失误连续影响后续步骤。

（三）责任约定应当匹配实际控制能力

Anthropic提示，智能体自主行为的责任规则仍存在不确定性，客户负责配置或监督，并不意味着开发者不会面临索赔。中国企业也需要依据具体法律关系分析各方义务，不能仅因行为由AI完成，就省略对权限配置、风险提示和监督措施的审查。

合同可以分配配置、测试、调查和赔偿责任，但应说明各方能够控制的事项。部署企业承担人工审核义务，服务商就应提供必要的信息和干预工具；应用开发者要求基础模型厂商配合调查，也需要约定记录提供及响应机制。《民法典》第五百零六条对特定免责约定设有限制，笼统免责无法替代有效控制。

事故发生后，关键证据通常涉及模型版本、当时的权限和工具调用过程。事先记录这些信息，既有助于发现缺陷，也有助于区分模型错误、应用配置和客户操作的影响。上述措施是否足够，最终仍需在具体场景中接受检验。

模型评测与持续安全管理

（一）评测结论具有明确的适用条件

Anthropic披露，模型可能在察觉或推断正在接受评测时表现不同，某些未被预期的能力也可能在部署后才被发现。公司同时介绍了多阶段评测、对抗测试和模型系统卡。这些安排可以提供风险证据，但其结论始终对应一定的测试条件。

应用开发者需要关注这些条件与真实业务的差距。标准问答中表现稳定的模型，在接入企业数据库、获得写入权限或连续执行任务后，可能产生不同风险。更换基础模型、调整系统提示和接入新工具，都应判断是否改变原有安全结论。否则，版本变化可能使既有评测与客户实际使用的产品逐渐脱节。

（二）管理体系认证与产品验证各有范围

招股书披露Anthropic已取得ISO/IEC 42001认证。该标准针对组织的AI管理体系，有助于评价其管理安排，但不能由此直接推定每项输出或每个应用场景均已安全。采购方应了解认证覆盖的主体和活动，并结合所购服务审查，避免把管理体系材料当作具体应用的全部证明。

产品验证还需要明确可以接受的错误及其处置方式。写作辅助中的事实错误，与医疗或金融业务中的错误建议，影响程度和复核要求不同。企业应根据真实用途确定测试和专业审核安排，并向客户说明适用限制，不能仅以通用榜单或单一准确率支持广泛的能力承诺。

（三）持续运营需要吸收事故与用户反馈

模型上线后，投诉、异常输出和工具调用失败应进入同一风险管理流程。对已经发现的严重缺陷，企业需要确定临时限制、修复条件和复测要求，并根据影响决定是否回滚或暂停功能。用户被告知模型可能出错，并不能使企业忽略已经掌握的具体风险。

人工复核的承诺同样需要运行条件支持。业务量扩大后，审核人员是否仍有时间理解材料、发现异常和暂停操作，应当纳入容量评估。如果只能抽查，就应说明抽查的范围和剩余风险，不能把有限审核对外表述为全面审查。人力安排与技术指标不一致，可能使原本可行的控制在规模增长后失效。

安全评估、算法备案和生成合成内容标识等要求，也应按具体业务判断适用。一般性能测试不能替代依法需要履行的程序。对于依赖第三方模型的产品，还应确保能够及时获得影响自身评测和合规判断的版本及政策变更信息，持续管理由此延伸至供应商关系。

第三方模型与跨境服务风险

（一）供应商审查应覆盖实际服务流程

Anthropic提示，不同法域的AI监管、数据保护及出口限制可能增加成本、影响产品可用性或延迟交付。这些变化也会传递给下游应用。中国企业即使不参与基础模型训练，也需要了解所采购能力的使用条件，以及条件变化时自身能够采取的措施。

审查不能仅停留在签约主体。推理服务器、日志保存位置、技术支持团队和分包商可能分处不同地点。企业应查明哪些主体可以接触客户数据、是否留存或用于训练、能否继续转交处理。供应商的认证和合规说明可以作为依据，但仍需确认其覆盖的版本、地域与服务内容。

采购合同还应检查上游承诺与下游责任是否衔接。供应商是否承担特定侵权或数据事件的赔偿，可能受到额度、通知期限及使用方式限制。应用企业若向客户承诺更广的保障，差额风险就由自身承担。理解这些限制，有助于合理确定报价、服务范围及需要自行承担的控制措施。

（二）跨境判断需要依据真实数据流动

数据出境分析应当从业务架构开始。除向境外接口发送资料，还需关注境外的访问和调用安排。国家网信部门政策问答已对境内存储、境外查询或调取等场景作出说明。因此，服务器位于境内，不能单独证明不存在出境活动；外资供应商参与服务，也不能单凭其身份推定数据已经出境。

《促进和规范数据跨境流动规定》对不同活动设置了门槛和豁免条件。企业需要结合数据性质、规模和处理目的选择适用途径；符合特定程序豁免，并不意味着其他适用的数据保护义务一并免除。接收方、用途或访问安排发生变化后，还应判断原有结论是否需要调整。

（三）交付连续性需要在采购阶段安排

如果应用依赖单一模型，停服、版本退役或使用政策调整可能直接影响客户合同履行。企业宜在采购阶段关注变更通知、迁移协助和数据返还，并了解替代方案需要的时间与成本。对关键业务，至少应当能够识别依赖程度，并明确中断后的服务安排。

替换模型也需要重新验证。不同模型对权限、指令和异常情况的处理可能存在差异，原有测试及客户说明未必仍然适用。供应链调整因此应与产品发布管理衔接，避免为恢复交付而引入未经评估的新风险。能否作出并执行这些决定，取决于企业内部的治理安排。

安全承诺与内部治理机制

（一）安全决策需要明确权限和程序

Anthropic通过公益公司和长期利益信托等安排，将AI安全纳入治理结构，同时承认安全判断可能延迟训练或产品发布。对中国企业而言，具体组织形式具有制度差异，但谁能够在商业压力下决定暂停、限制或推迟，仍是共同问题。

安全负责人需要能够获得评测、事故和客户使用信息，并有途径把未解决的问题提交有权决策的管理层。对于争议事项，应当记录风险依据、可选措施及决定理由；决定继续上线时，也应明确临时控制、复查时间和退出条件，使风险判断可以落实和追溯。

权限安排还需要配套可执行的判断标准。企业可以根据损害程度、可逆性和影响范围，确定哪些问题必须升级处理，哪些可以在限制条件下继续运行。程序应允许技术、业务和法务交换不同意见，并在出现新证据时重新审查。仅设立安全岗位，却不给予信息获取和决策参与条件，难以发挥预期作用。

（二）商业承诺应当随产品变化持续核实

“不用于训练”“数据完全隔离”等表述，会影响客户是否交付资料及如何部署系统，应有相应的技术和合同依据。销售人员作出的个别承诺也应进入履行管理。基础模型、分包商或系统配置变化时，需要核对既有承诺是否仍然成立，不能只更新技术文档而忽略客户关系。

事故响应则需明确调查、证据保存和对外沟通职责，按照具体情况履行补救、报告及通知义务。对反复出现的问题，还应检查是否源自采购、权限或发布流程的缺陷。只有处置结果能够影响后续经营决定，个别事件的整改才可能减少同类风险。

（三）不同业务应当确定相应责任范围

中国规则对服务对象和业务方式作了区分。《生成式人工智能服务管理暂行办法》区分向境内公众提供服务与未向境内公众提供服务的研发、应用活动。内部部署不当然适用同一套服务监管要求，但仍需遵守适用的数据、个人信息、知识产权及行业规则。

企业应据此判断自身在具体业务中的角色。模型厂商需要说明基础能力和已知限制，应用开发者负责把能力配置到适当场景，部署客户则需管理自己的资料和操作权限。各方职责可以通过合同细化，但最终仍应回到实际决定、控制和使用服务的情况。

结语

Anthropic的披露说明，AI业务的合规问题会随数据用途、系统权限和服务关系的变化而变化。训练阶段的合法来源，不能代替对客户资料用途的判断；模型评测提供的证据，也需要在真实部署和版本变更后继续验证。企业需要把这些变化纳入日常经营，才能及时识别原有安排何时失效。

中国AI企业可以从一项正在运行的产品入手，核对其核心数据依据、实际操作权限、供应商处理安排和客户承诺，再据此补足责任及记录。与业务事实相对应的控制措施，既能减少争议，也能在问题发生后支持解释、补救和责任划分。这种持续履行能力，是客户愿意长期使用AI服务的重要基础。

资料说明：本文涉及Anthropic的事实，以2026年10月26日提交的S-1披露为依据；法律分析依据截至2026年10月28日检索的公开文本。