2. 供应商主体资格审查

人工智能供应商的法律风险，往往不是从合同条款开始，而是从“这家公司到底是谁”开始。一个在演示中表现优异的模型服务商，可能注册在税收优惠园区、注册资本认缴未实缴、股权层层嵌套，最终实际控制人指向某个受制裁地区的实体；也可能本身合规，但其上游算力供应商被列入出口管制实体清单，导致你采购的推理服务随时中断。因此，主体资格审查的目标不是简单“查一下工商信息”，而是回答三个问题：它是否真实存在并持续经营、它背后是谁、它是否被制裁或出口管制规则所覆盖。

一、注册信息核查：先确认“壳”还是“实体”

注册信息核查应围绕“真实性、持续性、匹配性”三条线展开。真实性看注册地址、经营范围与实际业务是否一致；持续性看成立时间、存续状态、年报公示是否连续；匹配性看注册资本、人员规模与所承接的AI业务是否相称。

实操中，建议按以下顺序取证：

• 工商登记信息：通过国家企业信用信息公示系统获取统一社会信用代码、法定代表人、注册资本、成立日期、经营范围、登记状态。重点关注“经营范围”是否包含“人工智能软件开发”“数据处理服务”等与拟采购服务对应的表述。
• 注册地址核验：将注册地址与办公地址比对。若注册地址为某园区“集中登记地”，且无实际办公场所，需进一步要求提供租赁合同、社保缴纳记录或实地照片。
• 年报与社保：连续两年未公示年报、或社保缴纳人数长期为0，是空壳公司的典型信号。可要求供应商提供近6个月社保缴纳明细（可脱敏），核对参保人数与其宣称的研发团队规模。
• 资质与许可：若涉及生成式人工智能服务，核查其是否完成算法备案、大模型上线备案；若涉及数据处理，核查其是否具备相应等级的保护能力证明。

二、股权结构与实际控制人：穿透到最终自然人

股权结构核查的关键是“穿透”。AI供应商常见多层持股、VIE架构、境外SPV嵌套，若只看到第一层股东，很容易遗漏真正的控制关系和制裁关联。核查时应做到：

1. 绘制股权穿透图，逐层向上追溯至最终自然人、上市公司或国有主体；
2. 识别持股比例超过25%的受益所有人，以及虽未超25%但通过协议、代持、一致行动实际控制的主体；
3. 核查实际控制人是否同时控制其他被制裁或失信企业；
4. 关注股权变更频率，短期内频繁转让可能意味着规避审查或资产转移。

对于境外架构，还需核查其注册地是否属于高风险司法辖区，以及股东中是否出现被列入制裁名单的实体。若供应商以“商业秘密”为由拒绝提供穿透信息，应将其视为治理不透明风险，并在合同中设置信息提供义务与违约救济。

三、经营异常、失信与制裁名单：三类记录交叉比对

经营异常与失信记录反映的是“履约可靠性”，制裁与出口管制名单反映的是“交易合法性”，二者必须分开核查、合并判断。

需要特别注意的是，AI供应商的风险常常不在其自身，而在其供应链。例如，某模型服务商本身未被制裁，但其训练所用GPU来自被列入实体清单的渠道，或其云服务依赖被限制的境外算力平台，这会导致服务连续性风险。因此，核查范围应延伸至“关键上游”：算力提供方、基础模型来源、数据标注外包方。

四、把核查结果转化为可执行的风险等级

完成上述核查后，不建议只给一个“通过/不通过”的结论，而应形成可操作的风险分级，并与采购决策挂钩。可采用如下简化规则：

• 低风险：注册信息真实、股权穿透清晰、无异常失信、无制裁关联，可直接进入合同谈判；
• 中风险：存在注册地址异常、股权层级复杂但可解释、或上游存在非制裁类出口管制关注，需补充材料并设置合同保护条款；
• 高风险：实控人或主要股东涉及制裁名单、被列入实体清单、或拒绝提供穿透信息，应暂停合作并提交法务与合规部门评估。

以下SVG将上述核查路径、数据来源与风险出口整合为一张判断关系图，便于在实际审查中逐项对照。

五、审查留痕与合同衔接

主体资格审查不是一次性动作，而应形成可追溯的审查记录。建议至少保留：查询截图或导出文件、查询日期、查询人、数据来源、异常项说明及供应商补充材料。对于中风险供应商，应在合同中加入主体信息持续披露义务、制裁与出口管制合规承诺、控制权变更通知义务，并约定一旦触发高风险情形，采购方有权暂停服务或解除合同。

综上，AI供应商主体资格审查的核心不是“查得多”，而是“查得准、连得上”。注册信息回答它是否真实经营，股权穿透回答它背后是谁，异常与名单核查回答它是否被规则覆盖。三者合并，才能为后续的数据合规、知识产权、责任分配等条款谈判提供可靠的事实基础。