2. AI采购合同的主体资格审查

AI采购合同与普通软件采购合同最大的区别在于：供应商交付的不是一个静态产品，而是一套持续运行的模型能力、算力资源或数据服务。这意味着合同相对方是否"有资格"提供这项服务，本身就是合同效力的前置条件。主体资格审查不是签约前的形式动作，而是决定合同能否履行、责任能否追溯、监管风险能否隔离的实质判断。本节围绕四个核查维度展开：供应商资质、算法备案、数据安全能力、境外主体与出口管制。

一、供应商资质：先确认"它能不能做这件事"

AI供应商的资质核查不能停留在营业执照层面。采购方需要区分三类主体：模型提供方、算力/云服务方、集成实施方。三类主体承担的义务不同，资质要求也不同。

对模型提供方，重点核查其是否具备与所提供模型相关的经营资质。若模型用于生成合成内容，需关注其是否履行《生成式人工智能服务管理暂行办法》下的备案或登记义务；若涉及特定行业（如医疗、金融、自动驾驶），还需核查行业准入许可。对算力/云服务方，重点核查IDC/ISP经营许可、等保备案等级。对集成实施方，重点核查其是否具备相应系统集成资质及过往同类项目履约记录。

实操中建议采用"三证一照一记录"清单：营业执照、相关经营许可证、算法备案/登记证明、等保备案证明、同类项目履约记录。核查时不能只看复印件，应通过国家企业信用信息公示系统、工信部备案系统、网信办算法备案系统进行交叉验证。若供应商为代理商，还需核查其是否获得原厂书面授权，授权范围是否覆盖本次采购的模型版本与服务区域。

二、算法备案：区分"备案"与"登记"的适用边界

算法备案是AI采购中最容易被误判的环节。根据现行监管框架，具有舆论属性或社会动员能力的生成式AI服务需履行算法备案；其他情形可能适用算法登记或无需备案。采购方需要判断的是：本次采购的AI能力是否面向公众提供、是否具有舆论属性、是否用于深度合成。

核查要点包括：备案主体名称是否与合同签约主体一致；备案的算法名称、应用场景是否覆盖本次采购用途；备案状态是否有效（备案信息会因算法变更、主体变更而需要更新）。若供应商声称"已备案"，应要求其提供备案编号，并在网信办算法备案系统中核验。若采购的是境外模型API，需特别注意：境外主体通常无法直接完成境内算法备案，此时采购方可能成为实际的服务提供者，需自行承担备案义务。

三、数据安全能力：从"承诺"到"可验证"

数据安全能力核查不能只看供应商的《数据安全承诺书》。采购方需要核查的是可验证的能力证据，包括：是否通过等保测评（几级）、是否建立数据分类分级制度、是否具备数据出境安全评估或标准合同备案、是否有数据泄露应急响应机制。

对涉及个人信息处理的AI采购，还需核查供应商是否具备个人信息保护影响评估（PIA）能力，是否签署数据处理协议（DPA），是否明确数据留存期限与删除机制。若AI服务需要采购方提供训练数据或业务数据，应在合同中约定数据用途限制、禁止二次使用、禁止用于模型训练（除非明确授权）等条款。

核查方法上，可要求供应商提供：等保测评报告摘要、数据安全管理制度清单、近两年数据安全事件记录、第三方安全审计报告。对于关键系统，建议在合同中约定采购方有权进行现场安全审计或要求供应商定期提交安全自评报告。

四、境外主体与出口管制：最容易被忽视的合规陷阱

当供应商为境外主体，或AI服务涉及境外算力、境外模型、境外数据流转时，出口管制与制裁风险就成为必须核查的维度。核查内容包括：供应商注册地是否属于受制裁国家或地区；其股东、实际控制人是否在制裁名单上；所采购的AI技术、芯片、模型是否属于出口管制物项；是否存在再出口限制。

对中国采购方而言，还需关注《中华人民共和国出口管制法》及《不可靠实体清单规定》下的反向合规要求。若采购的AI系统包含受管制技术，采购方可能承担最终用户/最终用途的合规义务。实操中建议在合同中加入合规陈述与保证条款、出口管制变更通知条款、以及因管制导致合同无法履行时的责任分配条款。

五、核查结果如何转化为合同条款

主体资格审查的终点不是一份核查报告，而是合同中的具体条款。核查中发现的每一项风险，都应在合同中有对应的约束机制。例如：若供应商算法备案尚未完成，合同中应约定备案完成的最后期限及逾期违约责任；若供应商为境外主体，应加入出口管制合规陈述、制裁变更通知义务、以及因管制导致服务中断时的退款与赔偿机制；若数据安全能力证据不足，应约定采购方有权要求供应商限期整改，整改不通过则采购方有权解除合同。

建议在合同附件中设置《主体资格与合规承诺函》，由供应商逐项确认其资质、备案、数据安全与出口管制合规状态，并承诺在状态发生变化时及时通知采购方。该承诺函既是核查成果的固化，也是后续追责的证据基础。