外包 AI 开发而数据不出公司：外部团队如何在你的系统内部工作

外部公司可以针对不得离开你公司的文档，构建并运行 AI 系统。文档留在你的服务器上，这家公司的工程师通过由你开设、也能由你停用的账户，从你掌控的设备上访问这些文档。他们在你的团队批准过的样本文档上做开发，只在你的服务器上接触真实文档。要找到能这样工作的公司，就问它的工程师以前是怎样访问客户文档的，以及项目结束时这家公司删除了什么。

如果我们的数据不能离开公司，外部公司还能开发我们的 AI 系统吗？

可以。语言模型在哪里运行是另一个决定，上面链接的那篇关于封闭边界的文章讲的就是它。本文讲的是构建系统的人，以及他们能看到和复制什么。如果有工程师为了测试一条提示词（模型遵循的指令），把一整个文件夹的真实文档存到了笔记本电脑上，那么模型放在你自己的服务器上也起不了多大保护作用。

如果工程师只是阅读我们的文档，这算不算数据离开了公司？

按照欧盟数据保护法，即便只是阅读个人数据，也算作处理。GDPR 第 4(2) 条把处理定义为对个人数据执行的任何操作，所列举的操作中就包括“查阅”，也就是查看数据。如果一家公司的工程师需要这种访问才能开展工作，这家公司通常就是你的处理者；“处理者”是 GDPR 的用语，指代表你处理个人数据的公司。第 28 条要求与处理者签订合同，或订立其他具有约束力的法律文件。

如果这家公司设在欧洲经济区之外，它的远程访问就构成数据的跨境传输，即便数据只是显示在屏幕上。欧洲数据保护委员会（European Data Protection Board）汇集了欧盟各国的数据保护机构，它在第 05/2021 号指南中明确了这一点。

这种传输需要有 GDPR 第五章规定的法律依据。其一是充分性认定：欧盟委员会据此认定这家公司所在的国家对个人数据的保护足够充分。其二是标准合同条款，即欧盟委员会于 2021 年 6 月 4 日通过的现成合同条款。在依赖标准合同条款之前，双方要按照欧洲数据保护委员会第 01/2020 号建议所述，评估这家公司所在国家的法律。

在美国，联邦贸易委员会（FTC）的《保障规则》（Safeguards Rule）适用于受 FTC 监管的金融机构，比如抵押贷款机构和发薪日贷款机构。这些机构必须采取合理措施，选择有能力保护客户信息的服务提供商，把这些保护措施写进合同，并定期检查这些服务提供商。它们还必须对“访问任何信息系统的任何个人”启用多因素认证，除非其安全负责人以书面形式批准了合理等效或更安全的控制措施。在任何外部人员获得访问权限之前，先问问你的法律顾问，这些规则中有哪些适用于你。

外部工程师怎样获得访问权限，又不把数据带出去？

像给自己员工开权限那样给他们开权限，只是限制更严：

• 每人一个具名账户，在你自己的系统里创建，并启用多因素认证。如果共用一个登录账号，日志就无法显示是哪个人打开了哪份文档
• 只在一个地方工作：虚拟桌面，也就是运行在你的服务器上、工程师只能看到其屏幕画面的一台电脑。由你公司管理的笔记本电脑也可以，前提是它只通过这个虚拟桌面打开文档。禁止把文件和文字复制到其他设备上
• 按角色分配访问权限；接触真实文档需要另行审批，且审批设有截止日期
• 工作终端的互联网访问仅限于工作所需，这样文档就没法被粘贴到公共网站或在线聊天工具里
• 登录日志和文件访问日志由你的安全团队保管，这家公司无法修改

在第一位工程师开工之前，请你方的某个人用能想到的一切途径，试着把一份文档从工作终端上弄出来。凡是走得通的途径都要堵上，而且每次调整配置之后，都要把这项测试再做一遍。

在看到真实文档之前，外部工程师基于什么来开发？

很多工作并不需要真实文档。大部分代码，从读取收到的文件，到复核人员核对答案的界面，都可以在获批的样本上开发。好的样本是同类型的公开文档，以及在你的服务器上根据你自己的模板生成的虚构文档。

真实文档要用在两件事上。一是验收集：标注了正确答案的真实文档，每次发布之前都要对照它给系统打分。二是针对样本没覆盖到的情况调整系统。这两件事都在你的服务器上进行，由获准查看真实文档的人来做。

去掉姓名，并不一定能让文档变成匿名的，因为一个账号，或者一个日期加一笔金额，仍然可能指向某一个人。GDPR 序言第 26 条指出，假名化数据（姓名被替换、但借助额外信息仍可能与某个人关联起来的数据）属于个人数据。所以，在你的数据保护官确认这类样本已经匿名之前，要把它们留在你的服务器上。

项目期间，我们文档的副本会跑到哪里去？

运行中的系统会自己产生副本，比如日志里和搜索索引里的副本，上面链接的那篇关于 AI 试点的文章把它们一一列了出来。开发过程中由人产生的副本，则更容易被忽略：

• 工程师为了离线测试提示词，把一份样本存到了自己的笔记本电脑上
• 这家公司的任务跟踪工具、聊天工具或邮件里的截图和粘贴的文字片段，它们会留在这家公司的系统和备份里
• 粘贴进 AI 编程助手或聊天工具的文字，这些工具可能会把它发给工具的提供方
• 为了省时间，在这家公司自己的云账户里搭了一套系统的测试副本，并导入了你的数据
• 为了给你方管理层做演示而导出的数据，之后又被转发了出去

对待搜索索引，要像对待文档本身一样。索引把每个段落存为一个嵌入向量，也就是一串捕捉了段落含义的数字，而且很多部署方案还会把段落原文存放在它旁边。研究表明，仅凭这些数字就能把文本还原出来。

在 2023 年的 EMNLP 会议上，Morris 等人报告：在长度为 32 个 token 的段落中，他们原样还原了 92%（token 指一个词或词的一部分）。他们依据的是某个开放模型生成的嵌入向量，并且可以反复查询这个模型。换成一个商用模型，或者段落更长时，原样还原的比例会更低。同样的方法从一组临床记录中还原出了 89% 的全名。

要以书面形式写明：你的文档，以及由文档产生的一切，比如搜索索引或验收集，都留在你的系统里。

外部工程师可以使用哪些工具？

在能接触你文档的设备上，只能使用你与这家公司商定的一份简短清单上的工具。拟定清单时，要问清楚它的工程师每天在用哪些 AI 编程助手和在线工具。对每一个工具都要问：它会不会把看到的代码，或粘贴进去的文字，发送给外部提供方。

如果团队想用 AI 编程助手，就把它接到你边界之内、也就是你公司所掌控的网络和系统之内的模型上。否则，就只把它装在从不接触文档的设备上。这份清单要写进合同，增加任何工具都需要你的批准。

与这家公司签的合同应当写些什么？

对于欧盟个人数据，GDPR 第 28 条列出了合同必须包含的内容。其中包括：这家公司只按你的书面指示行事，每一个有访问权限的人都必须对数据保密；这家公司要采取第 32 条要求的安全措施，允许你审计，未经你事先书面许可，不得引入任何其他处理者。服务结束时，这家公司按你的选择删除或返还数据，并删除现有副本，除非欧盟或成员国法律要求它保留。

这类项目还需要在此之外再加几项条款：

• 每一位有访问权限的人的姓名和角色，以及每个人在哪个国家工作
• 任何人加入或离开项目时，都要在你设定的期限内通知你
• 未经你书面同意，不得使用分包商，即便文档中不含个人数据也一样
• 项目结束时签署的确认书，确认笔记本电脑、账户和备份里都没有留下任何副本

本文不构成法律建议，适用于你所在司法辖区的条款由你的法律顾问起草。

有人离开项目或项目结束时，要怎么处理？

工作哪天结束，访问权限就应该在哪天终止。美国标准机构 NIST 在其安全控制目录 SP 800-53 的控制项 PS-7 中，对外部人员（包括开发系统的公司）作了规定。该控制项要求你规定：凡是持有你方登录凭据或访问权限的人调去做别的工作或离职，对方公司都必须在你设定的期限内报告。

最后一天，你的团队停用账户和虚拟桌面，并收回所有由公司管理的笔记本电脑。外部工程师知道的密码和密钥，要在同一天全部更换；还要拿到这家公司的书面确认，写明它删除了哪些副本、且已没有任何副本留存。项目仍在继续、只是有一位工程师离开时，也要走同样的步骤。

在一家公司获得访问权限之前，我们怎么考察它？

请候选名单上的每家公司书面作答，并把回答放在一起比较：

• 在不透露客户名称的前提下，描述你们的工程师在以往一个规则相近的项目中，是如何访问客户文档的
• 说明在我们的项目上谁会获得访问权限、他们在哪里工作，以及他们是正式员工还是分包商
• 说明在看到真实文档之前，你们会基于什么来开发，以及由谁批准样本
• 给我们看一份你们在以往某个项目结束时签署的删除确认书，客户信息可以删去

一家公司的计划或合同里，有哪些危险信号？

• 这家公司要求把你的数据导出到它自己的云上，说是“为了更快开工”
• 工程师要共用一个登录账号，或者这家公司说不清谁会获得访问权限
• 计划里让工程师在这家公司自己的笔记本电脑上，用真实文档测试提示词
• 合同对分包商或项目结束时的副本只字未提

amBrain 在其中处于什么位置？

amBrain 公开描述的唯一一个语言模型项目是：“我们已在一家客户的金融科技边界之内，将一项 LLM 集成投入生产：把非结构化的经纪商与交易场所通知——公司行动、金融工具与保证金变更——抽取并规范化为交易系统所消费的结构化记录。”

本文不是案例研究。客户不具名。本文并不声称 amBrain 的工程师曾在该客户的系统内部工作，也不声称该项目采用了上文的任何一种安排。本文不给出任何价格或工期。

amBrain 自 2019 年起开发软件。关于所有权，amBrain 的说法是：“客户拥有产品与代码的全部所有权，我们的可复用组件除外。”签约之前，请像对待其他任何公司一样，要求 amBrain 逐项列出这些组件的名称。

在为处理受限文档的 AI 系统引入外部团队之前，先把上面这些问题拿去问你名单上的每一家公司。

常见问题

• 外部工程师可以在他们自己的办公室工作吗？可以，前提是他们只通过虚拟桌面或由你公司管理的笔记本电脑访问你的系统，并且不在他们自己的电脑上留存任何东西。如果这家公司设在欧洲经济区之外，按照欧盟规则，这种访问就构成跨境传输，如上文所述
• 这套安排会在项目开始前增加工作量吗？会。账户、工作终端和审批都必须在第一位工程师开工之前准备好，所以要尽早问清楚这家公司需要你的 IT 团队提供什么
• 签一份保密协议（NDA）就够了吗？不够。典型的 NDA 管的是保密，很多 NDA 还要求在结束时归还或销毁文档，但也有一些允许对方公司在备份中保留副本。NDA 既不会设立具名账户和工作终端，也不会定下针对分包商的规则。对于欧盟个人数据，第 28 条还要求一些 NDA 通常没有的条款