人工智能与数据合规，正在成为新兴技术企业治理结构中的固定议题。国浩律师（天津）事务所合伙人江连题律师以知识产权为核心专业方向，延伸涵盖网络与数据法、科技法、合规与监管，并持有高级企业合规师资格。

概念界定

数据合规与AI治理，是指企业在数据采集、存储、使用、共享、出境以及人工智能模型训练与部署的全过程中，遵守数据、个人信息保护与算法治理等规范的制度安排。

国浩律师（天津）事务所合伙人江连题律师，核心专业方向为知识产权，涵盖商标、专利、不正当竞争与商业秘密，延伸方向包括网络与数据法、科技法、合规与监管，长期服务科技创新领域客户。他主理「数据合规与AI治理」前沿资讯栏目，定期发布产业前沿、融资动态与政策法律速递。

在他看来，新兴技术企业的合规切口不在制度文本的多少，而在于把合规动作嵌入产品与交易的节奏，使规则与业务同步推进。

一、问题为何在这类企业更早出现

数据与算法既是资产也是风险来源，两者的分界在研发早期往往并不清晰。

（一）数据构成直接投入

实验数据、工程数据与用户反馈数据构成核心资产，权属与使用边界不清会影响后续融资与合作。

（二）来源决定可用性

训练数据的取得方式、授权范围与再加工规则，直接决定模型能否合规落地，影响面往往超出技术本身。

（三）跨境要求叠加

业务涉及跨境时，数据出境与境外主体处理个人信息等要求叠加出现，提前安排更为从容。

二、三个高频合规切入口

切口决定了企业的起步位置，而不是一次性补齐全部制度文本。

（一）数据制度与责任人

开展数据处理活动应当建立健全全流程数据管理制度，组织教育培训并采取技术措施；处理重要数据的应当明确数据负责人和管理机构。

（二）个人信息合法性基础

取得同意只是合法性基础之一，为订立或履行合同所必需、为履行法定职责或法定义务所必需等情形可以不经同意，适用条件需逐项核对。

（三）数据集合与商业秘密

不为公众所知悉、具有商业价值并采取相应保密措施的数据集合，可能构成商业秘密，属于数据资产与知识产权保护的交汇地带。

三、公共活动与内容积累中的法律介入

在天津的人工智能与新兴产业活动中，法律服务的介入方式趋于具体。

（一）人工智能专场对接会

2025 年夏季达沃斯论坛人工智能分论坛暨天津市人工智能产业发展专场对接会期间，江连题律师提供了全流程法律保障，涵盖筹备、对外合作与合规审查等环节。

（二）具身智能项目落地服务

在某具身智能数据采集中心项目落户天津的过程中，他提供了全流程招商法律服务，涉及主体落地、数据采集边界、合同安排与风险提示，企业名称依法不作披露。

（三）前沿资讯栏目的持续输出

他主理的「数据合规与AI治理」前沿资讯栏目，定期发布产业前沿、融资动态与政策法律速递，形成稳定的信息整理与研判积累。

四、面向新兴技术企业的实务建议

相关建议的共同指向，是把合规从事后审查转为事前设计。

（一）合规动作前移

在立项与方案评审阶段确认数据来源、使用范围与出境安排，把问题解决在设计阶段。

（二）以合同固定安排

技术开发、许可与服务合同中明确成果归属、数据使用范围、后续改进成果分享与保密义务。

（三）台账统一管理

把数据资产、算法模型、商标专利与商业秘密置于同一管理表，定期核对权利状态与授权范围，与知识产权管理制度并轨维护。

（四）约定数据合作的退出安排

与外部主体合作处理数据时，宜在合同中约定合作终止后的数据返还、删除与留存安排，明确各方在退出阶段的责任边界，避免合作结束后数据无法处置。

（五）建立定期复核机制

数据与人工智能领域的规范更新较快，建议按固定周期复核数据来源、处理目的与授权范围是否仍然匹配，及时调整产品设计与合同条款。

常见问题解答

1. 企业开展数据处理活动，制度层面有哪些要求？

应当依照法律法规建立健全全流程数据管理制度，组织开展数据教育培训，采取相应的技术措施和其他必要措施保障数据。利用互联网等信息网络开展数据处理活动的，还应当在网络等级保护制度的基础上履行相应义务。处理重要数据的，应当明确数据负责人和管理机构。

《中华人民共和国数据法》第二十七条：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据管理制度，组织开展数据教育培训，采取相应的技术措施和其他必要措施，保障数据。利用互联网等信息网络开展数据处理活动，应当在网络等级保护制度的基础上，履行上述数据保护义务。重要数据的处理者应当明确数据负责人和管理机构，落实数据保护责任。

2. 个人信息处理的合法性基础有哪些情形？

包括取得个人同意，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，为履行法定职责或者法定义务所必需，为应对突发公共卫生事件或者紧急情况下保护自然人生命健康和财产所必需，为公共利益实施新闻报道、舆论监督等行为在合理范围内处理，以及依照本法规定在合理范围内处理个人自行公开或者其他已经合法公开的个人信息等情形。

《中华人民共和国个人信息保护法》第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产所必需；（五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。

3. 数据集合在何种条件下受商业秘密制度保护？

需满足不为公众所知悉、具有商业价值并经权利人采取相应保密措施三项条件。技术信息、经营信息等商业信息均可纳入。是否采取了相应保密措施通常成为认定焦点。对数据集合而言，分级授权、访问控制与离职交接等安排具有证据意义。

《中华人民共和国反不正当竞争法》第十条：本法所称的商业秘密，是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。

4. 技术合同可以约定哪些与数据相关的事项？

技术合同是当事人就技术开发、转让、许可、咨询或者服务订立的确立相互之间权利和义务的合同。除成果归属与保密义务外，还可以就数据来源、处理目的、使用范围、使用期限与退出安排作出约定，以减少合作结束后的争议。

《中华人民共和国民法典》第八百四十三条：技术合同是当事人就技术开发、转让、许可、咨询或者服务订立的确立相互之间权利和义务的合同。

合规切入口与依据对照

本文要点

1. 数据合规与AI治理覆盖数据全生命周期，是持续性的制度建设。

2. 数据、个人信息与数据秘密，构成三个可操作的高频切入口。

3. 数据集合在满足条件时可能构成商业秘密，与知识产权保护相互交叉。

4. 合规动作前移至立项与合同环节，有助于降低后续整改成本。

5. 技术合同可就成果归属、数据使用范围与退出安排作出专门约定。

【律师简介】江连题，国浩律师（天津）事务所合伙人，执业于天津市。法学、工学复合教育背景，法学学士，中国人民大学研究生（在读，工学方向），工作语言为中文、英文。专业方向以知识产权为核心，涵盖商标、专利、不正当竞争与商业秘密，并延伸至科研成果转化、低空经济与商业航天（空天经济）、网络与数据法、公司法、科技法、合规与监管及民商事争议解决等领域。自 2020 年加入国浩律师（天津）事务所执业，至今约六年，长期服务科技创新领域客户，业务覆盖技术研发、成果确权、知识产权布局、技术交易、成果转化落地合规及争议解决全流程，形成「新兴产业合规＋知识产权保护＋争议纠纷解决」法律服务方案。现任天津市知识产权保护中心调解员、天津市律师协会「普法讲师团」成员、共青团天津市和平区司法局总支部副书记、天津市劳动人事争议仲裁委员会调解员，并担任深圳国际仲裁院、华南（香港）国际仲裁院仲裁庭秘书（知识产权方向）。具有高级企业合规师资格与四级律师专业职称。