2026年6月17日，上海证券交易所发布《发行上市审核规则适用指引第10号——人工智能大模型企业适用科创板第五套上市标准》（以下简称“《指引第10号》”），为尚未形成规模收入的AI大模型企业打开了科创板大门。然而，上市通道的开启并不意味着门槛的消失，像数据合规、AI伦理治理与算法备案恰恰构成了其中最硬核的“隐形门槛”。

引言：以旷视科技为镜，映射AI企业合规的五年变化

旷视科技有限公司（Megvii Technology Limited）向上海证券交易所提交《关于旷视科技有限公司首次公开发行存托凭证并在科创板上市申请文件的审核问询函之回复》。在这份长达560页的文件中，有一个章节格外引人注目“问题20：关于数据合规及科技伦理”。

彼时的中国，《数据安全法》尚在草案阶段，《个人信息保护法》尚未正式通过。旷视科技作为全球计算机视觉领域的头部企业，也是中国最早被美国列入“实体清单”的AI公司之一，其科创板IPO之旅天然带有探索性质，当时中国AI四小龙均被美国列入了投资黑名单，商汤IPO也因此延缓。

问题20，上交所的问询的内容中，从数据采集的技术细节到供应商合同的合规条款，从产品交付的合规要求到公开报道中的负面舆情，几乎穷尽了当时监管层对AI企业数据合规的所有关切。

站在2026年7月的时间节点回望数据合规发展的这五年，旷视科技面对问询回复的许多内容在当年读来堪称“满分答卷”，但用今天的标准审视，却恰好暴露了AI企业在数据合规治理可能存在一个问题：被动应对有余，而主动治理不足。

2026年6月17日，证监会主席吴清在陆家嘴论坛上宣布科创板第五套上市标准适用范围扩大至人工智能大模型领域。同日，上交所发布《指引第10号》，为尚未形成一定收入规模的优质AI大模型企业铺开了一条明确的上市通道。这条通道最令人振奋之处在于“市值40亿、不看营收利润”，但最麻烦之处则在于：它在“不看营收”的同时，前所未有地将合规问题提升到了发行条件的实质要求。

一、旷视科技的数据合规答卷：回溯与审视

（一）“问题20：关于数据合规及科技伦理”中的七个子问题：监管关切的全景

上交所的“问题20：关于数据合规及科技伦理”通过递进式问询框架，提问了七个子问题：

这个七个问题，形成了一个完整的“数据合规审查闭环”，即从企业自证（1-3），到体系验证（4-5），到场景穿透（6），再到客观验证（7）。结合《指引第10号》第十条所要求的合规义务来看，与此七个问题的关切维度高度重合，只是将“请你说明”升级成了“你应当做到”。

（二）数据来源的双轨架构：配合式采集与公开数据集

根据《关于旷视科技有限公司首次公开发行存托凭证并在科创板上市的发行注册环节反馈意见落实函之回复》、《首次公开发行中国存托凭证并在科创板上市的补充法律意见书（一）》等文件关于数据来源的回复，旷视科技将自身核心技术研发中的数据来源归纳为两条路径：

这两条路径在2021年的监管情况下是站得住脚的，配合式采集强调“授权同意”原则，公开数据集依赖“公开即合法”的逻辑，二者都指向《数据安全法》对数据处理活动合法、正当、必要的基本原则要求。

（三）三层防护体系：技术、制度、组织

旷视在合规措施的组织体系，比较完善：

（四）“角色切割”逻辑：技术提供方 vs 数据控制者

旷视合规论证的核心策略，是在“研发端”与“业务端”之间建立一道防火墙。大致可以拆解为以下三层：

第一层：研发端 vs 业务端

旷视将自身的数据处理活动严格限定在“技术研发过程”之中。配合式采集、公开数据集、数据清洗、算法训练——这些都在受控的内部环境中完成。而当产品交付给客户后，“公司并不直接参与客户的运营和使用过程，对客户使用公司产品过程中获取的数据并无所有权”。

第二层：三大业务场景下的“不接触”声明

供应链物联网、城市物联网、消费物联网，这三大业务场景“不接触客户数据”：

第三层：服务采购 vs 数据买卖

当被问及数据来源是否涉及供应商采购时，旷视明确回答：“报告期内，发行人的数据来源中不包含向供应商采购数据的情形。”供应商仅在配合式采集中提供场地、被采集人员（模特）招募、拍摄管理等“服务”，而非“销售数据”。（五）伦理治理架构：从准则到组织

二、《指引第10号》：从“粗放问询”到“精细尺规”

对比旷视当年面对的问询函和今天的《指引第10号》，最直观的感受是：监管的逻辑已经从“你告诉我你是怎么做的”升级为“你必须按照这个标准做”。

（一）数据治理能力被纳入“技术优势”评价

《指引第10号》第四条在论证“明显技术优势”时，明确将“数据获取和治理能力”列为技术先进性的衡量指标之一。这意味着数据治理不再是合规部门的后台工作，而是与模型规模、复杂度、鲁棒性并列的技术竞争力。这意味着：

（二）合规要求从“原则性表述”升级为“可核查事项”

《指引第10号》第十条：“发行人的人工智能大模型业务或产品应当符合法律、行政法规、国家有关规定和强制性国家标准等要求，符合国家安全、数据安全与隐私保护、知识产权保护等相关规定，遵守网络信息内容相关政策法规与市场公平竞争秩序。”

对于涉及境外业务的，应当符合技术出口、数据跨境等相关安全规定。通过这个条文，可以逆向推演出至少七层合规义务：

它们共同构筑了一张从数据采集、算法训练、模型部署到商业运营的全周期合规网络。保荐机构需要对上述每一项进行“审慎核查”，并关注“相关认定依据是否真实、客观、合理”。这意味着，企业不能再像旷视科技当年那样，用“严格遵守《数据安全法》等相关法规”一句话来完成论证，审核机构需要看到制度文件、流程记录、技术措施、第三方认证等实际证据。

（三）第十二条：中介机构责任的全面升级

《指引第10号》第十二条：“保荐机构、证券服务机构应当对发行人科创属性、取得的阶段性成果、取得国家有关部门批准、主要业务或产品市场空间大、具备明显的技术优势、商业化安排、合规使用情况、相关信息披露等事项进行审慎核查，关注相关认定依据是否真实、客观、合理，相关信息披露是否真实、准确、完整，并发表明确意见。”

这意味着律师事务所不能再像处理旷视当年的问询那样，仅做“取得发行人书面说明、查阅协议模板、核查制度文件”等基础性核查，而是要深入到数据来源的实质合法性、算法备案的实质完成度、乃至技术伦理评估的实质有效性。

如果旷视的IPO在今天重新启动，它当年那份“配合式采集+公开数据集+不接触客户数据”的三件套回答，恐怕很难让中介机构以“未发现重大合规风险”为结论顺利过关。

三、五年之变：AI数据合规制度的全面升级

在旷视问询的2021年与指引第10号颁布的2026年之间，我国AI数据合规制度体系完成了从“法律框架搭建”到“细则密集落地”的质变。下表梳理了这一过程中的关键节点：

这个时间轴揭示了一个清晰的趋势：从2022年算法推荐监管起步，到2026年拟人化互动办法出台，AI监管体系已从“框架性立法”进入“精细化治理”阶段。在这个阶段，“不知法”不再是免责理由，“补材料”不再能满足审核要求。

四、前置合规路径：从创立到上市的合规时间线

基于以上分析，给AI企业从创立到上市，合规前置的几个提示：

五、从旷视到大模型：数据合规的新增量

（一）训练数据的规模与来源复杂性呈指数级增长

一个千亿参数的通用大模型，其训练数据通常涵盖数万亿Token的文本、图像、音视频内容，来源包括公开网页爬取、书籍、代码库、对话数据等。在这种规模下，逐条审查数据来源的合法性几乎不可能，给企业合规几个提示，可以通过建立“数据来源分级+合规风险分层”的机制来防控：

（二）数据出境的合规复杂性显著提升

大模型企业的数据出境场景远比计算机视觉企业复杂：

其一，大模型训练可能需要使用境外算力（如英伟达GPU集群部署在境外数据中心），训练数据需要跨境传输至算力所在地。其二，多模态大模型的训练数据可能包含境外来源的文本和图像，涉及境外数据引入的合规审查。其三，大模型的API服务可能面向全球用户，用户请求中的数据（可能包含个人信息）在境内服务器处理，但响应内容可能涉及境外交互。

《第10号指引》第十条第二款专门规定“涉及境外业务的，应当符合技术出口、数据跨境等相关安全规定”。这意味着大模型企业需要在申报前完成以下合规动作：（1）梳理数据出境场景并开展数据出境安全评估（或签订个人信息出境标准合同、通过个人信息保护认证）；（2）评估模型出口是否涉及《中国禁止出口限制出口技术目录》中的技术；（3）核查与境外算力提供商、数据供应商之间的合同是否包含数据安全条款。

六、数据合规前置的框架：给AI企业的五个提示

综合上述分析，结合“数据合规前置”理念转化为落地操作的五个提示，供准备适用《第10号指引》申报科创板的AI企业参考：

（一）建立“数据合规官”制度，赋予一票否决权

不要让数据合规停留在法务部门的抽屉里。企业应当在C级别设立首席数据合规官（CDO/CPO），直接向CEO或董事会汇报，并在涉及数据采集、使用、出境的重大决策中拥有一票否决权。这不是为了好看，而是因为《第10号指引》第十二条要求保荐机构、证券服务机构核查“合规使用情况”，如果企业内部连一个明确的合规决策人都没有，这个核查就无法通过。

（二）在模型研发的“第零步”完成数据合规尽调

传统的研发流程大致可以归纳为：需求分析→数据采集→模型训练→测试验证→产品发布。数据合规前置要求在这之前插入“第零步”，即数据合规尽调，包括：评估拟采集数据的法律属性（个人信息、重要数据）、确定合法处理基础（同意、合同、法定职责、）、设计数据来源审查清单、规划数据保留与删除机制。

（三）构建数据全生命周期的技术合规工具链

数据合规不能只靠制度文件，还需要技术工具的支撑。企业可以建设以下工具链：（1）数据来源追溯系统，记录每条数据的来源、采集时间、授权状态；（2）数据脱敏与去标识化工具，在数据进入训练管道前自动执行；（3）数据使用审计平台，记录谁在什么时间、出于什么目的使用了哪些数据；（4）模型输出安全检测工具，检测模型输出是否包含训练数据中的敏感信息。

（四）提前12—18个月启动上市合规专项

《第10号指引》的合规要求涉及数据安全、隐私保护、算法备案、大模型安全评估、数据出境、技术出口等多个维度，这些评估和备案程序本身就需要数月时间。企业需要在计划申报前的12—18个月启动上市合规专项工作，可参考以下时间线推进：

（五）将数据合规叙事融入“技术先进性”论证

这是最容易被忽视但最重要的一条。《第10号指引》第四条将“数据获取和治理能力”纳入技术先进性评价体系，这意味着数据合规不仅是“防守”，也可以成为“进攻”，成为论证技术优势的加分项。企业需要在招股说明书中，将数据治理平台、数据安全技术创新、隐私计算能力等作为技术先进性的有机组成部分进行论证，而非仅“风险因素”章节做风险提示。

七、结语：数据合规是AI企业的长期主义

对于AI这种能够深度嵌入社会运行各环节的基础设施型技术，数据合规不是企业的“选修课”，而是“必修课”；不是“IPO前的突击补习”，而是“整个学制内的持续学习”。

更深层次的变化在于，我国AI监管法规体系已经从“基本法+部门规章”的初级形态，发展为涵盖算法推荐、深度合成、生成式AI、内容标识、伦理审查、拟人化互动等多维度的立体化体系。《国务院2026年度立法工作计划》已明确表态“加快推进人工智能健康发展综合性立法”，这意味着当前以部门规章为主的监管拼图将逐步整合升格为法律层级的系统性规范。违法成本将大幅提高，合规要求的刚性和确定性也将显著增强。

在这一背景下，数据合规前置不再是一个可选的策略选项，而是AI企业生存和发展的“底层基础设施”。把合规视为创新的对立面，还是把前置合规转化为穿越监管周期的确定性资产，这个选择将决定AI企业能否在下一程的竞速中留在牌桌上。

参考资料：

[1] 国务院办公厅关于印发《国务院2026年度立法工作计划》的通知（国办发〔2026〕14号）.2026-05-8.

[2] 《上海证券交易所发行上市审核规则适用指引第10号——人工智能大模型企业适用科创板第五套上市标准》. 2026-06-17.

[3] 《上海证券交易所发行上市审核规则适用指引第10号——人工智能大模型企业适用科创板第五套上市标准》起草说明. 2026-06-17.

[4] 关于旷视科技有限公司. 首次公开发行存托凭证并在科创板上市招股说明书（注册稿）. 2021.

[5] 关于MEGVII TECHNOLOGY LIMITED（旷视科技有限公司）首次公开发行中国存托凭证并在科创板上市的补充法律意见书（一）.2021-05-27.

[6] 关于MEGVII TECHNOLOGY LIMITED（旷视科技有限公司）首次公开发行中国存托凭证并在科创板上市的补充法律意见书（六）.2021-12.

睿扬律师事务所大数据与人工智能行业法律服务中心业务范围，包括但不限于以下方面：

（1）数据合规与治理：协助企业建立数据合规管理体系；开展数据风险自评估、数据分类分级、数据安全影响评估（DPIA）；数据资产入表合规；个人信息保护（PIPL）合规框架搭建

（2）算法与AI合规：生成式AI算法备案；训练数据合规审查（网络爬虫合规、版权授权、个人信息处理合法性）；AI生成物权属策略与侵权风险防范；AIGC内容安全机制设计（内容审核、违规处置预案）

（3）数据跨境传输合规：个人信息出境标准合同（SCC）起草与备案；重要数据出境安全评估申报代理；GDPR/CCPA等境外数据合规体系搭建

（4）数据交易与资产化：参与数据交易谈判；起草、审核数据交易合同；协助企业设计数据交易模式；数据要素市场合规；公共数据授权开放模式设计；数据中心公募REITs发行全程法律服务；数据资产估值与入表专项法律顾问

（5）知识产权保护：AI技术、大数据算法、数据产品的知识产权申请、注册、维护；专利布局（PCT国际申请）、专利无效与FTO（自由实施）分析；算法商业秘密保护；处理AI与大数据领域知识产权侵权纠纷；AIGC换脸侵权诉讼（肖像权、姓名权保护）；元宇宙/虚拟形象知识产权保护

（6）争议解决与合规调查：各类与数据相关的诉讼与仲裁案件；反垄断与竞争法合规；平台经济反垄断合规；出口管制与制裁应对；商事刑事风险防范；数据垄断案件代理；制裁金融合规（OFAC授权申请）