人工智能企业法律尽职调查如何从业务模式穿透到合规闭环——以AI Agent企业为例

作者：钟瑜 吴家俊 梁淑莹 叶宇丰 | 2026.07.27

「正文共计约4600字，阅读全文约需18分钟」

引言

2026年，AI行业的大规模商业应用的浪潮如同大家所见。不同于传统的通用人工智能公司，AI Agent（人工智能体）企业（下称“智能体企业”）着重打造一类复杂的智能系统，这类系统整合了自主感知、任务管理、工具调配、多步骤执行以及实时反馈调整等能力，而不仅仅是提供大模型或API调用服务。这一类型的公司主要依赖于算法模型、训练数据、提示词设计以及工具链逻辑等无形资产，其商业模式涵盖底层模型开发、中间层优化调整及顶层应用服务。合规风险具有高度复杂性和动态变化的特点。

而且目前智能体行业正经历从快速扩张到规范化发展的关键阶段。在投资领域，一家智能体企业是否具备完善的合规能力，这与技术指标一同成为决定其估值的关键因素。即使拥有再尖端的模型技术，若无法顺利通过备案审批、解决数据来源合法性，或者应对出口限制审查，其市场价值将受到严重影响。律师在尽职调查中发现的合规问题，不应仅被视作交易谈判中的“议价手段”，更应作为投后管理中协助企业完善不足之处的实施参考。这不仅展现了律师职业的核心价值，同时也是智能体行业健康发展的必然需求。

上述背景决定了在对智能体企业的法律尽职调查时，如果沿用传统互联网企业的尽调模式，可能会忽视一些重要的风险要素。本文结合笔者2026年上半年在上海、深圳、广州三地对人工智能企业法律尽职调查项目的实践经验，从律师实务角度出发，重点分析智能体企业在法律尽职调查中的关键环节，包括如何从业务模式的认定出发，到无形资产、数据合规性、算法、技术出口限制及相关资质核查等方面，形成该类企业核查合规的重点及特殊行业要求。

一、前期判断智能体企业的业务类型

智能体企业并非仅具有单一的技术形态，其运营模式深刻影响着监管规则的适用范围以及合规责任的界定。在尽职调查的初始阶段，律师应通过进行技术架构访谈、审阅产品相关文档以及解析服务协议，判断目标公司属于哪一类型，并据此制定差异化的调查重点。

（一）自研基座模型

这类公司通过自主开发核心大模型和搭建算力集群，并基于此创建智能体应用层，属于产业链上游，强调技术深度与合规要求的模式。尽调的关键在于关注以下几个方面：算力设备芯片采购是否符合法规要求（是否涉及受出口限制的项目）、训练数据来源的合法性（授权是否完整且覆盖模型训练用途），以及大模型备案是否已完成——这是其面向公众服务的法律合规前提。

（二）开源模型微调型

此类公司并未自主开发底层大模型，而是利用开源模型如Llama、Qwen、ChatGLM等，开展指令调整、参数优化以及融入行业专属知识，从而打造适用于特定应用领域的智能化产品。当前市场上最常见的智能体企业模式，其尽职调查中最大的风险点在于开源许可证的合规性问题。Apache2.0、MIT、GPL等许可证在商业使用许可、修改后发布的规定以及传递性要求方面存在显著不同。律师需逐项审查以下事项：目标公司采用的开源模型所附许可证是否允许将其应用于闭源商业用途；微调模型的行为是否会因被视为“衍生作品”而引发开源义务；以及企业在向客户交付产品的过程中，是否已充分遵守许可证规定的署名或源代码披露等义务。

另外，这些公司的技术自主性也是尽职调查的重要环节。如果企业只是对开源模型进行基础封装，而缺乏专属的行业数据资源和微调技术实力，那么一旦上游开源协议发生变化或授权被撤销，其主要业务可能面临中断甚至完全失效的风险。

（三）API调用型（智能体应用层）

这类公司并不自行开发模型，而是通过调用已注册的大模型API，在此基础上添加任务规划功能、工具调用机制、记忆系统及工作流引擎，从而打造面向最终用户的智能应用。在尽职调查过程中，律师需深入核查：目标公司是否正确履行了关于大模型的登记要求（而非大模型备案），内容审核体系是否涵盖了智能体自动生成内容的相关环节，以及用户协议是否明确规定了AI生成内容的法律地位与责任分配。在实际操作中，一些提供API调用服务的企业常以“技术中立”为理由主张无需承担合规责任。然而，根据现有的监管体系，只要其服务涉及舆论引导或具备社会动员的潜力，便无法回避对算法的备案要求及内容安全管理的责任。

必须说明的是，上述分类是基于法律尽调业务对目标公司的业务运营模式所作区分，实际业务中目标公司或有几种模式，或只有一种模式，或是其他业务类型，甚至已经出现有些目标公司是基于整合智能体行业企业资源，打造智能体企业供应链平台，为传统行业提供人工智能智能体服务的模式。

在实际尽调过程中，投资人同时聘请技术顾问参与项目尽调的情况并不多。作为律师，在没有技术顾问同时协同开展尽调的时候，经过前期摸底，判断出目标公司的运营模式，是法律尽调得以顺利开展、准确判断业务合规性必不可少的工作。

二、无形资产的深入核查

智能体企业的核心资产重点不在于有形的设备或房产，而在于无形资产，如算法模型、训练数据、提示设计策略、工具链的组织方式以及软件代码等。因此尽职调查需要从三个方面进行深入核查：权利的归属情况、潜在侵权风险以及商业秘密的保护机制。

（一）算法与模型的权利归属

对于自主研发的模型，需要确认核心技术人员是否签订了合法且有效的职务发明归属协议，特别是对离职一年内产生的、与之前工作内容密切相关的技术成果需重点关注——这是原雇主发起权属纠纷的常见问题领域。针对合作开发、委托开发或联合训练产生的模型，律师需要逐一检查合作协议中的知识产权相关条款，确保研发成果的所有权、使用权限、后续开发资质以及商业化限制都已明确界定且无歧义。与高校或科研机构合作的项目，还需要确认作为高校教师的主要研发成员是否已完成校内兼职审批及备案相关程序。

（二）训练数据的侵权风险

智能体模型的训练数据通常涵盖文字、图片、音视频和代码等多样化内容，其知识产权侵权风险具有“双向传导”特性——训练数据的合规性问题可能影响模型及其生成的内容，而生成内容的侵权行为同样可能追溯到数据来源是否合法合规。在尽职调查中，应要求目标公司提供训练数据来源的完整清单，并明确区分为自采、采购、开源和用户输入四种类型，逐项核实其授权链的合规性：自采数据需确保符合目标网站的robots协议及服务条款；采购数据需检查是否附有供应商的权利保证条款及完整授权文件；开源数据则需确认其是否满足相关许可证对商业用途的要求。

（三）提示词工程与工具链编排的商业秘密保护

智能体企业的主要竞争优势通常不在于基础模型本身，而是体现在其独创的提示工程、任务流程设计、工具使用方法以及专业领域的知识储备上。这些资产通常以商业机密的方式存在，而不是依靠专利或版权注册来进行保护。在尽职调查中，需要确认企业是否构建了健全的商业机密防护体系——例如，与研发团队签订保密合同和竞业禁止协议，对关键代码及提示语进行分级管理和加密储存，以及设置访问记录追踪机制。此外，还需留意关键技术人员是否有过从竞争对手处不正当获取商业秘密的经历或潜在争议。

三、数据合规与算法备案是智能体企业的“通行证”

（一）训练数据的合规核查

智能体公司管理的数据不仅涵盖传统的用户个人信息，还涉及模型训练所需数据、RAG知识库内容、工具调用过程中产生的中间数据以及用户互动反馈等内容。尽调中应分别核查如下内容：

• 在数据来源合规性上，应审查目标公司是否依法对训练数据中的个人信息完成告知与同意流程，是否对相关数据进行去标识化处理，是否对敏感信息获取了独立的授权许可，以及是否建立便捷的用户撤回同意渠道并具备相应的响应机制。对于从事跨境研发或拓展海外业务的目标公司，应重点检查是否存在未经合规审查而将训练数据传递至境外的情况——这不仅涵盖主动传输，还包括数据虽存储在境内但被境外机构访问或调用的情形。

• 在数据安全管理方面，需要检查目标公司是否已制定数据分类和分级机制，是否对关键数据及重要信息实行加密存储与权限分离措施，是否定期开展个人信息保护影响分析（PIA），以及是否构建了数据安全事件的紧急处理方案。

（二）算法备案与大模型备案/登记的核查

2026年5月8日，《智能体规范应用与创新发展实施意见》正式发布，这一举措标志着智能体行业步入了备案管理与严格监管的新阶段。律师在尽职调查过程中至少需要完成以下核查：

• 首先，核查备案状态是否真实可信。通过国家或省级网信办的公开平台核实备案编号的真伪，确保目标公司已履行相关合规流程。需要特别强调，大模型备案与算法备案是两项独立的法定义务，不能混为一谈——研发自有模型的企业需同时履行大模型备案和算法备案的要求，而只使用API的企业则需进行大模型登记和算法备案的相关手续。

• 第二，核查备案信息是否与实际情况相符。核查备案申报资料中记录的模型版本、应用名称、主要功能及服务范围是否与实际运营状况相符，是否存在新增的算法服务未备案或模型发生重大版本更新却未重新申报备案的情况。

• 第三，检查是否持续遵守合规要求。核实目标公司是否已构建针对监管政策变化的灵活合规体系，审查是否存在因备案或合规问题而被监管部门约谈、要求整改或受到行政处罚的情况，并确认相关整改工作是否已彻底完成且无再次发生的隐患。

四、技术出口管制的穿透核查

当前，强调以“关注实际内容而非表面形式”（可以理解为“实质重于形式”）为核心的审核准则。即使目标公司采取境外实体转移或核心团队迁至国外等手段进行技术的跨境转移，只要关键技术是在中国境内研发并完成的，这类行为仍然受到中国法律的约束。

在尽职调查过程中，应特别重视以下高风险情况：涉及核心算法、模型参数或智能体编排逻辑的跨国流动；以总部迁移或调整境外运营机构名义实施的隐形技术转移；在跨境收购、技术授权或国外联合项目合作中，将受监管技术交付给海外机构的行为。律师应对照《中国禁止出口限制出口技术目录》，逐项审查目标公司核心技术的管控类别——对于禁止出口的技术，应确认是否存在任何形式的跨境传递；对于限制出口的技术，应确保已获得商务部的相关出口许可；对于自由出口的技术，则需核实是否已依法完成合同备案登记程序。

五、企业资质与网络安全合规

智能体公司若通过网络开展服务，需拥有ICP许可证，或完成ICP备案及公安联网备案等基本资质（视乎具体情况决定具体的要求）。

还需要注意业务资质的判断，看企业本身落入具体哪个行业加以复合判断，尤其垂直类AI Agent。如果智能体产品应用于特定的受监管行业，还需确认其是否具备相关的行业资质。例如，医疗辅助诊断类智能体需要获得医疗器械注册证，智能投顾类产品需拥有证券投资咨询业务资质，而自动驾驶类智能体则需取得道路测试及示范运营的许可。

在网络安全领域，应检查目标公司是否实施了网络安全分级保护制度并进行了相应的定级、测评与备案工作，是否在智能体的API接口、模型推理服务等高风险场景中部署了全流程的安全防护措施，以及是否制定了网络安全应急响应计划并定期组织演练。

综合笔者在人工智能领域的尽调经验，智能体企业法律尽职调查的核心差异在于，其技术架构的高度复杂性使合规风险呈现多维特征，而快速变化监管政策则使企业的合规状况具有高度的动态变化特性。律师不应仅局限于“整理文件、核查资质”，而是需要全面掌握智能体的技术框架——深入了解其核心大模型、任务规划组件、工具调用机制以及记忆系统之间的协作方式，并厘清数据在各系统间的传递与处理过程。唯有如此，才能在法律分析和风险评估中准确把握并作出恰当的判断。为此，律师更要加强学习，克服技术难度，真正成为一名懂法律、懂AI、懂行业、懂监管的专家型律师。