数据主权是设计决策

跨国公司在中国，往往会和数据主权打两次交道。第一次在法律备忘录里，人人都读过、都同意。第二次在审计里，这时才发现架构从来没听说过那份备忘录。

《个人信息保护法》《网络安全法》和《数据安全法》的要求，其实并不罕见：清楚自己持有哪些个人信息和重要数据；某些数据要留在境内；对任何出境的数据加以控制并留下记录。GDPR、欧盟《人工智能法》以及越来越多的美国州法律，也在用不同的措辞问相近的问题。

把它画进架构图

这些问题是架构问题，所以答案也必须在架构里：

• 数据驻留是服务部署位置的属性，不是合同里的一个条款。
• 跨境传输是一条有负责人、有法律依据、有日志的数据流，不是一个邮件附件。
• 模型训练和推理同样是数据流。训练数据和提示词，也有它们的存放位置。

我们为一家精密光学集团编写《中国数字化手册》时，目的就是把全球的数据治理和安全标准，翻译成工程师可以照着建的控制措施。后来在一家工业机械集团，同样的思路用在了统一的全球信息安全平台上：覆盖 60 多个国家、170 多项法规，每个司法辖区都是同一条基线上的一个差异，而不是一个单独的项目。

成本曲线

一开始就把数据驻留设计进去，花的是几次架构评审。事后返工，花的是一次迁移、一段延期，外加一次和监管机构的尴尬对话。工作量其实一样，变的只是时机和价格。

在设计评审时就把主权当作一项需求，它就不会在审计时变成意外。