买来的AI突然停服、悄悄换了版本——企业采购生成式AI服务的三个合同判断

#引言：一份只有一页的"服务条款"，撑不起一条业务线

　　先说一个这两年反复出现的场景。一家做企业法务工具的公司，把大模型接进了自己的合同审查产品：客户上传合同，系统给出风险提示，人工再复核。上线一年，功能成了卖点，续费率也不错。然后麻烦一件接一件地来。

　　先是服务商发来通知，说某代模型将于几个月后下线，请尽快迁移到新版本。迁移之后，输出风格变了，原来稳定的条款识别开始漏项，客户投诉集中爆发。紧接着是价格调整，服务商把按次计费改成了按 token 阶梯计价，成本结构整个被推翻。再往后，一家大客户在安全评估时问了一句：我们上传的合同，会不会被你们或者你们的模型供应商拿去训练？公司这才翻出当初签约的那份文件——只有一页服务条款，是服务商提供的格式文本，里面写着"有权随时调整服务内容和模型版本"，还写着"因上游供应商原因导致的服务中断不承担责任"。

　　这类纠纷的难处，不在于"企业该不该用AI"，而在于采购AI服务和采购一套软件，法律结构完全不同。软件买的是许可，边界清楚；AI服务买的是一条会持续变化的链路：模型会迭代、价格会调整、上游会变更、数据会流动。链路上每一个会变的环节，如果没有在合同里提前分配好，最后都会变成企业的成本。

　　更麻烦的是，这条链路上叠着三套彼此独立的规则。第一套问的是身份：你把AI能力对客提供出去之后，还是不是单纯的"使用者"。第二套问的是数据：客户内容进入模型服务商手里，是委托处理，还是被另行使用，甚至构成出境。第三套问的是合同：上游变了，谁承担；服务商那几行格式条款，能不能真的免责。下面三个判断，建议在每一次AI服务立项和续约时都过一遍。

#一、把API接进产品之后，你还是"使用者"吗

#规则：身份由"向谁提供"决定，不由"技术从哪来"决定

　　《生成式人工智能服务管理暂行办法》第二条划了一条很容易被忽略的线：利用生成式人工智能技术向境内公众提供生成文本、图片、音频、视频等内容的服务，适用该办法；而行业组织、企业、教育科研机构等研发、应用生成式人工智能技术，未向境内公众提供生成式人工智能服务的，不适用该办法。这一款对采购方极其重要——它意味着，纯粹内部使用（内部合同初审、内部知识库问答、内部代码助手），通常不落入该办法所规范的"生成式人工智能服务"范围。

　　但"不适用该办法"不等于"没有义务"。内部使用仍然完整地落在《个人信息保护法》《数据安全法》《网络数据安全管理条例》的射程内，这一点后面第二个判断会展开。

　　真正需要警惕的是身份转换。一旦企业把AI能力封装成对客户开放的功能，情况就变了。《暂行办法》第二十二条第二项在定义"提供者"时写得很明确：利用生成式人工智能技术提供生成式人工智能服务，包括通过提供可编程接口等方式提供服务的组织、个人。也就是说，"我只是调了别人的API"这件事，在定性上不构成抗辩。同时第九条第一款要求，提供者应当依法承担网络信息内容生产者责任，履行网络信息安全义务；涉及个人信息的，依法承担个人信息处理者责任。第十二条要求按《互联网信息服务深度合成管理规定》对图片、视频等生成内容进行标识；第十七条则要求，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当开展安全评估，并按《互联网信息服务算法推荐管理规定》履行算法备案手续。

　　把这些条文连起来看，逻辑其实很朴素：监管关心的是"谁把内容送到了用户面前"，而不是"模型是谁训练的"。你在前台，你就要对前台负责。

#风险：三种最常见的误判

　　第一种误判，是把合规义务当成随服务一起采购的赠品。"我用的是已经备案的大厂模型，备案是它的事。"这句话只对了一半。上游的备案解决的是上游作为提供者的准入问题，解决不了你作为另一个提供者的义务。你对外提供的是什么功能、面向什么人、有没有标识、有没有投诉入口，这些都要按你自己的产品来落地。

　　第二种误判，是把责任推给用户。"内容是客户自己输入、自己生成的，我们只是工具。"这个说法在纯工具场景下有一定空间，但当产品做了prompt封装、做了结果加工、做了风险分级提示，企业实际上已经在内容形成过程中加入了实质性判断，再主张"纯管道"就很勉强。尤其是在合同审查、医疗建议、投资建议这类场景，产品给出的结论本身就是卖点，也是责任的落点。

　　第三种误判，是拿"我们只做B端"当护身符。B端是否属于"向公众提供"，不能一概而论，要看客户是否特定、是否可以自主注册开通、生成内容是否在平台上对外可见。一个只对签约客户开放的封闭系统，和一个任何人都能注册试用的自助平台，法律评价并不相同。这个判断必须结合具体业务形态做，不能靠一句"我们是To B"带过。

#实务建议

　　律师介入这类项目，第一件事不是改合同，而是做一张身份判定表：服务对象是谁、是否可自主开通、生成内容是否对外可见、是否涉及特定行业（医疗、金融、新闻等另有规定的领域）、是否具有舆论属性或社会动员能力。这张表决定了后面所有义务的清单。

　　如果判定落入"提供者"，那么标识、内容审核、投诉举报机制、安全评估与备案要作为一个上线包同步准备，而不是上线后再补。同时，在与上游服务商的合同里，应当要求对方提供其备案信息、标识能力说明和技术文档，并在其模型变更影响你的标识方案时承担通知与配合义务。《人工智能生成合成内容标识办法》第十二条也提到，服务提供者在履行算法备案、安全评估等手续时，应当按照该办法提供标识相关材料——这条虽然规范的是服务提供者自身，但反向提示了采购方：上游能不能拿出这些材料，本身就是尽调项。

#二、客户传上来的合同，到底被怎么处理了

#规则：委托处理、另行使用、出境，是三件不同的事

　　这是AI采购里最容易被一句"我们重视您的数据安全"糊过去的地方。

　　《个人信息保护法》第二十一条规定，委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督；受托人不得超出约定处理，委托合同终止后应当返还或删除，未经同意不得转委托。第二十三条则规定，向其他个人信息处理者提供个人信息的，应当告知接收方信息并取得单独同意。第二十八条、第二十九条把生物识别、医疗健康、金融账户、行踪轨迹等列为敏感个人信息，处理需取得单独同意。第五十五条进一步要求，在处理敏感个人信息、利用个人信息进行自动化决策、委托处理或向他人提供、向境外提供等情形下，事前进行个人信息保护影响评估；第五十六条要求评估报告和处理情况记录至少保存三年。

　　《网络数据安全管理条例》第十二条把这条线拉得更实：网络数据处理者向其他网络数据处理者提供、委托处理个人信息和重要数据的，应当通过合同等约定处理目的、方式、范围以及安全保护义务，并对接收方履行义务的情况进行监督；相关处理情况记录应当至少保存三年。第十九条则专门就生成式人工智能作出要求：提供生成式人工智能服务的网络数据处理者应当加强对训练数据和训练数据处理活动的安全管理。

　　《暂行办法》第十一条同样明确：提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供。

#风险：那句"用于改进服务"最贵

　　服务商条款里最常见的一句话是："为改进服务质量，我们可能使用您提交的内容。"这句话在法律上不是装饰。它意味着服务商把自己定位成了一个独立决定处理目的的处理者，而不是只听指令的受托人。对采购方来说，这直接改变了义务结构：如果构成"向其他处理者提供"，就需要告知并取得单独同意；如果涉及敏感个人信息，门槛还要再抬一层。

　　第二个坑是把"关闭训练开关"等同于"数据不留存"。训练、日志、缓存、人工审核抽样、灾备副本，是几条不同的路径。关掉训练，不代表日志不留；承诺零留存，也可能不包括安全审计所需的访问记录。合同里如果只写"不用于训练"，出了事仍然说不清。

　　第三个坑是跨境。如果模型推理节点、运维支持或母公司在境外，输入内容进入对方系统的那一刻，就可能构成个人信息出境。《促进和规范数据跨境流动规定》给出了明确的分层：关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，免予申报安全评估、订立标准合同或通过认证；累计10万人以上不满100万人，或者不满1万人敏感个人信息的，应当订立标准合同或通过认证；累计100万人以上个人信息，或者1万人以上敏感个人信息的，应当申报数据出境安全评估。企业内部使用同样会累计，不能因为"没对外提供"就认为不构成出境。

#不同路径的利弊

　　直接调用公有云API，成本最低、弹性最好，但数据控制力最弱，条款基本是对方给的，谈判空间有限。私有化部署或专属实例，数据留在自己环境里，可控性最强，代价是资本开支、运维人力和模型迭代速度，而且"私有化"并不自动解决合规问题——训练数据来源、日志、账号体系仍要自己兜。介于两者之间的，是境内合规节点加零训练承诺加短期留存（例如仅保留必要日志并设定删除周期），这在多数中型企业里是性价比最高的折中，但前提是把承诺写成可核查的条款，而不是停留在销售口径。

#实务建议

　　落地时至少要有三份文件：数据处理协议，写清处理目的、期限、方式、信息种类、安全措施、子处理者清单与变更通知；零训练与删除承诺，明确"不将输入内容用于模型训练或微调"，并约定终止后的删除时限与删除证明；审计与配合条款，保留对服务商安全措施进行检查或要求其提供第三方审计报告的权利。

　　同时，把影响评估真正做一遍并归档。第五十五条列举的情形里，"委托处理""自动化决策""向境外提供"三项在AI采购中往往同时出现，一份评估覆盖三项，成本并不高，但它是事后唯一能拿出来的证据。

#三、上游停服、换版、涨价，谁来兜

#规则：格式条款不是想怎么写就怎么写

　　《民法典》第四百九十六条对格式条款设了两道闸：提供格式条款的一方应当遵循公平原则确定权利义务，并采取合理方式提示对方注意免除或者减轻其责任等与对方有重大利害关系的条款，按照对方要求予以说明；未履行提示或说明义务，致使对方没有注意或者理解这些条款的，对方可以主张该条款不成为合同的内容。第四百九十七条进一步规定，不合理地免除或者减轻自己责任、加重对方责任、限制对方主要权利的格式条款无效，排除对方主要权利的格式条款无效。

　　第五百零六条则划出了免责条款的绝对底线：造成对方人身损害的免责条款无效；因故意或者重大过失造成对方财产损失的免责条款无效。这条在AI服务里并非无关——如果服务商明知某次模型变更会导致客户生产环境批量出错，仍然不通知、不提供迁移窗口，那就不是"技术风险"，而是可能落入重大过失的评价范围。

　　还有一个常被忽略的条文：第五百九十三条。当事人一方因第三人的原因造成违约的，应当依法向对方承担违约责任；该方与第三人之间的纠纷，依照法律规定或者按照约定处理。这意味着，服务商在合同里写"因上游模型供应商原因导致的服务中断不承担责任"，并不能对抗它的合同相对方。上游是它选的，链路是它搭的，对客户而言，违约方就是它。

#风险：三类条款，三种后果

　　第一类是"任意变更型"："服务商有权随时调整模型版本、功能及计费方式，无需另行通知。"这类条款如果未作提示说明，客户可以主张其不成为合同内容；即便作了提示，若实质上排除了客户对服务内容的核心预期，也可能被评价为不合理地免除自身责任。但要注意，主张条款不成为合同内容，是事后救济，业务中断的损失已经发生了。

　　第二类是"上游免责型"：把供应商变更、模型下线、机房故障统统装进"不可抗力"或"第三方原因"。这与第五百九十三条直接冲突。真正能构成不可抗力的，是不能预见、不能避免且不能克服的客观情况；上游自己决定下线一代模型，是商业决策，不是不可抗力。

　　第三类是"责任上限型"："赔偿总额不超过过去十二个月服务费。"这类条款在商业上并非全然不合理，法院通常也会尊重一定程度的限额约定，但它的边界在于第五百零六条：故意或重大过失造成的财产损失，不能靠限额条款一笔勾销。对采购方来说，务实的做法不是一口咬定"限额条款无效"，而是就特定风险（数据泄露、批量错误输出、长时间停服）谈出独立的赔偿安排。

#实务建议

　　谈判时值得死磕的条款其实不多，但每一条都对应一个真实场景。服务范围里要写清具体的模型版本或能力等级，而不是笼统的"大模型服务"；变更机制要写提前通知期、版本锁定窗口、迁移协助义务，以及对客户已上线功能的兼容性责任；服务级别要写可用性口径、计算方式、未达标的补救（服务抵扣或终止权），而不是一句"尽力保障"；停服与终止要写数据导出格式、导出期限、删除义务与过渡期支持；上游依赖要写披露义务——服务商应当告知其关键上游供应商，并在上游发生重大变更时及时通知；责任条款要把数据泄露、批量错误输出、长时间中断单列，并明确不适用限额的情形；此外还要保留审计权和年度复审权。

　　路径上，接受对方的单方变更权换取低价，短期看省钱，但把业务连续性押在了别人的产品节奏上；谈下版本锁定加迁移窗口，价格通常更高，却能把"换版"从突发事件变成可计划的项目；对核心业务做双供应商冗余，成本最高，但对不能停的业务是唯一稳妥的解法。三条路没有对错，关键是先想清楚这项AI功能停一天，损失是多少。

#四、律师视角：把一次采购做成可审计的项目

　　把上面三层拉回到操作层面，AI服务采购其实可以按五个节点嵌入法律动作。

　　立项阶段做用途分级：这项功能是对内还是对外，是否处理敏感个人信息，是否涉及医疗、金融、新闻等特殊领域，是否可能被认定为具有舆论属性。分级结果直接决定后面要准备哪些材料。

　　采购阶段做供应商尽调：看它有没有完成相应的备案、有没有等保测评、能不能提供数据处理协议模板、子处理者有哪些、推理节点在境内还是境外、模型版本迭代的节奏和历史上的下线记录。这些问题的答案，比参数跑分更能预测风险。

　　签约阶段把条款清单落地，尤其是变更、停服、数据、责任四组条款。这里值得提醒一句：很多企业习惯在采购合同里只签对方的标准条款，然后把数据合规单独交给法务"看一下"。但数据条款和责任条款是互相咬合的——如果没有约定删除义务，责任条款里的"数据泄露赔偿"就没有抓手。

　　上线阶段做三件事：按身份判定结果落地标识与投诉机制；把输入内容的处理规则写进自己的用户协议和隐私政策；对业务人员做一次培训，明确哪些内容不能往对话框里贴。最后这件事听起来最琐碎，却往往是泄露的实际入口。

　　运行阶段做年度复审与退出演练。模型会换代，供应商会被收购，价格会调整，这些都不是意外，而是常态。每年复核一次条款与实际情况是否匹配，并实际演练一次"如果明天停服，数据怎么导、业务怎么切"，比在合同里写十句"应当保障连续性"更有用。

#结语

　　AI采购的本质，是买一条会变化的链路，而不是买一件静态的产品。链路上有三件事必须先说清楚：你是谁——对客提供之后，你是否已经成为需要承担内容责任和备案义务的提供者；数据去哪——输入内容是委托处理、被另行使用，还是已经构成出境；变化谁担——停服、换版、涨价时，合同有没有把程序、通知和退出写进去。

　　这三件事，任何一件靠"对方应该会处理好"来兜底，最后都会回到自己身上。如果企业正在接入大模型、准备把AI功能对客上线，或者手上那份服务条款还没逐条看过，建议在下一版合同签署前，把这条链路完整梳一遍。

---

需要AI服务采购的合同审查、数据处理协议梳理或提供者身份判定？预约测绘，帮你把这条链路上的责任提前划清。