中国企业出海已步入全新进阶阶段，对外投资的核心边界与合规逻辑正在彻底重构。过去行业谈及境外直接投资（ODI）合规，审查重心始终聚焦资本维度：投资主体资质、跨境投资路径、资金出境通道、外汇登记、税务筹划、行业准入等，核心判断标准始终围绕一个问题——资本是否、以及如何合法出境。
但随着数字经济、人工智能、数据驱动型产业成为出海主力，真实的跨境风险早已不再局限于资金流动。对科技、AI、数字化企业而言，最敏感、最核心的风险，从来不是“钱投向何处”，而是数据、系统、算法、模型、研发经验、人员能力、持续技术迭代体系，是否随投资交易、股权变更、投后整合，悄然转移、复制、持续调用至境外。
2026年5月5日，国务院正式公布《国务院关于对外投资的规定》（下称《规定》），自2026年7月1日起正式施行，标志着我国对外投资合规监管完成系统性升级。
新规适用范围实现全域覆盖：适用于境内企业、其他组织、居民个人的全部对外投资行为，未将在华设立的外资企业、独资企业排除在外；同时明确，境内主体赴港澳、台湾地区投资，统一参照适用本规定。
纵观新规及我国对外监管制度演进脉络，一条清晰的升级主线已然成型：对外投资合规审查，正从“资本出境”的静态审查，进阶至“数据出境”的过程审查，最终升级为“能力出境”的体系化动态审查。
早期监管，仅关注资金是否跨境流动；数据跨境制度落地后，审查延伸至数据要素的跨境传输与访问；而在当下，数据、算法模型、底层系统、接口能力、研发团队、迭代经验深度绑定、无法拆分，监管的核心落点，已然变成整套业务能力、技术能力、安全敏感能力，是否随交易实现跨境转移与持续赋能。
这一趋势在近年跨境并购、境外投资案例中尤为突出：当AI模型、工程研发团队、产品接口体系、用户反馈迭代机制、持续技术优化能力，随股权交易、组织调整、投后整合转移至境外，交易转移的早已不是单一股权、代码或技术，而是一套可独立运行、可自我迭代、可规模化复制的完整技术能力体系。
由此，ODI合规审查彻底告别“资本是否出境”的静态判断，转向数据、系统、技术能力随交易持续流动、持续赋能的动态全周期监管。数据合规、技术合规、能力合规，已然成为决定交易结构、投后安排、国家安全风险判定的核心主线。
本文将分为两大核心板块，系统拆解新时代出海合规逻辑：第一，覆盖对外投资全生命周期，梳理各阶段数据出境场景与合规要点；第二，以“能力出境”为全新核心视角，重构境外投资安全审查的识别标准、风险防控体系与落地审查逻辑。
01 对外投资全流程中的数据出境合规体系
实务中，多数企业仅将数据出境视为尽调阶段的临时风险，却忽略了其贯穿交易全周期的核心属性。《规定》第十四条明确衔接条款：对外投资涉及跨境数据流动、网络安全、出口管制等事项的，依照对应专项法律法规执行。
该条款确立了核心合规原则：数据跨境不是交易插曲，而是贯穿尽调、申报、交割、投后、争议解决全生命周期的核心合规主线。数据跨境本身不必然违规，最终合规义务取决于数据类型、流转路径、访问主体、使用场景，企业需精准分级分类，在业务发展与安全合规之间实现平衡。
1. 尽职调查阶段：双向跨境的数据出境风险
传统认知中，尽调数据仅由境外标的向境内投资方单向传输。但实务中存在大量反向尽调场景：境外交易对手、投资方、中介机构，会核查境内投资方的资金来源、履约能力、合规资质，境内主体需通过数据室、邮件、云端平台向境外提供材料、开放远程访问权限，全程伴随数据出境风险。
本阶段高风险数据主要分为三类：一是董监高、员工、客户、合作方等个人信息；二是行业专属重要数据，如汽车自动驾驶数据、医药临床试验数据、人类遗传资源信息等；三是触及出口管制的核心技术资料，包括系统架构、核心算法、源代码、研发文档等。普通商业介绍、集团架构、财务摘要等一般性信息，无高合规风险。
需重点区分：保密协议、权限管控、关闭下载等商业风控措施，仅能防范商业泄密风险，无法替代数据出境合规义务。涉及个人信息、重要数据、管制技术的，必须单独完成出境评估、合规申报等法定流程。
2. 境外监管申报阶段：跨境披露的双重合规约束
跨境投资如需参与境外反垄断审查、外资安全审查、行业资质审批，需向境外监管机构、中介机构提交大量申报材料，该过程天然构成数据出境场景，且需同时遵守境外审查规则与中国境内数据合规、出口管制规则。
不同申报场景风险侧重不同：反垄断申报聚焦交易结构、营收规模、市场份额、客户供应商信息，易附带个人联系方式等个人信息；欧盟《外国补贴条例》审查重点为境外财政补贴、融资安排、主体资质，易涉及企业敏感经营数据与管理人员信息；国家安全审查、行业牌照审批，则可能披露核心技术、数据处理体系、网络安全架构等高敏感内容。
核心合规要点：境外监管规则不豁免中国法定合规义务。企业需在申报启动前，提前识别申报材料的数据属性，同步嵌入数据出境合规流程，避免临近申报节点仓促补救，引发合规瑕疵。
3. 签约与交割阶段：预埋长期跨境数据风险
签约交割阶段的风险，不在于交易文件的单次跨境传输，而在于协议条款预埋的持续性跨境数据流动、系统访问、技术支持安排。大量交割后的数据合规风险，均源于签约阶段的条款疏漏。
其中，过渡服务协议（TSA）是最高风险场景。协议常约定交割后一定周期内，境内主体持续为境外标的提供IT运维、财务共享、人力管理、供应链协同、技术支持等服务，直接导致境内数据持续跨境传输、境外人员远程访问境内核心系统与数据。
企业审阅交易协议时，需同步识别信息访问权、审计权、技术支持、系统互联等条款，提前预判交割后的跨境数据流动场景，前置做好合规管控，避免被动违规。
4. 投后运营阶段：常态化远程访问的隐形风险
交割完成后的常态化运营，是企业最容易忽视、却风险最高的数据出境场景，核心风险为境外主体长期、制度化远程访问境内系统与数据，主要分为两大场景：
第一，整合期系统对接。集团统一上线ERP、CRM、研发平台、数据分析系统，境内外系统接口联调、数据互通，境外团队可批量访问境内经营数据、研发数据、模型训练数据、源代码等敏感资料。
第二，稳态常态化访问。整合完成后，境外IT运维、安全、研发团队持续远程接入境内系统开展运维、迭代、技术支持，形成长期、固定、高频的跨境数据流动。
投后合规核心举措：建立独立的境外访问权限体系，落实最小必要原则，实现访问申请、审批、期限、日志全流程管控；定期复核访问权限，及时清理闲置账户与无效接口，建立长效管控机制。
5. 境外争议解决与调查阶段：证据跨境的合规红线
《规定》第二十一条、第二十二条明确了对外投资争议解决与境外调查的合规边界：鼓励通过多元方式化解纠纷，但境内主体向境外仲裁机构、外国法院、境外监管机构提供境内材料、证据的，必须严格遵守保密、数据安全、个人信息保护、技术出口管制等规则，需主管机关审批的，必须履行法定程序。
该条款核心逻辑：争议解决、境外调查场景，不构成数据出境、技术出口的合规豁免事由。
实务中需厘清两大边界：其一，普通境外商事仲裁不属于外国司法执法机构范畴，一般不触发《数据安全法》第三十六条的审批要求，但仍需自行排查材料是否包含个人信息、重要数据、管制技术；其二，企业主动向境外提交申报材料，与被动响应境外司法执法调取数据，适用完全不同的合规规则，不可混淆。
同时，《国际刑事司法协助法》《证券法》第一百七十七条等规则，为跨境证据调取、证券数据出境提供了明确的报批参照体系，企业需将其纳入常态化合规响应流程，避免事后补救。
02 “能力出境”视角下的境外投资安全审查新逻辑
《规定》第十五条正式确立境外投资安全审查制度，覆盖所有影响或可能影响国家安全的境外投资、资产及权益处置行为。新规未穷尽列举风险情形，这也意味着，传统单一的资产、技术审查标准已不足以适配当下的出海风险，“能力出境”成为全新的核心审查维度。
需要明确的是，“能力出境”并非法定术语，而是适配数字经济、AI出海场景的风险识别方法论。其核心不再是“单项要素是否跨境”，而是境外主体是否通过投资、投后整合、持续协作，实质掌握境内沉淀的整套核心能力。
1. 能力出境的核心内涵：从单项要素到体系化能力
核心技术、核心竞争力从来不是单一数据、单一算法、单一代码，而是数据+模型+系统+接口+工程经验+研发团队+迭代机制共同构成的体系化能力。单项要素跨境未必存在高风险，但整套能力体系被境外掌握、复制、迭代，将形成不可逆的产业与安全风险。
能力出境的核心判定标准，不在于权属是否转移、载体是否物理出境，而在于境外主体是否获得实质赋能：通过系统权限、模型调用、数据访问、技术指导、人员协作、持续服务，获得独立运行、复制、优化、迭代境内核心技术与业务的能力。
这一逻辑与出口管制规则一脉相承：技术转移不依赖实物交付，远程指导、人员培训、技术支持、权限开放等无形协作，只要实现了技术能力的跨境转移，即构成合规风险。《规定》第十三条将跨境技术派遣、技术指导、人员培训纳入限制转移范畴，也印证了监管“重实质、轻形式”的审查思路。
2. 能力出境风险的多维识别体系
结合现有法律法规与监管导向，可从三大维度搭建能力出境风险识别框架：
第一，要素敏感维度。核查相关数据、技术是否纳入重要数据目录、限制/禁止出口技术目录、两用物项管控清单。行业监管目录虽不直接等同于安全审查标准，但清晰反映了国家产业安全与战略利益导向，是风险预判的核心依据。且未列入目录的新兴技术、小众数据，若具备核心产业赋能价值，仍需纳入能力出境风险评估。
第二，产业战略维度。重点核查是否涉及关键产业链核心环节、重大科技创新项目、稀缺性核心工艺、长期积累的专属训练数据集、独家工程运营经验等。这类资源具备高门槛、不可替代性，是国家产业竞争优势的核心载体，能力跨境转移风险极高。
第三，实质效果维度。不唯行业、不唯标签，重点判断交易落地后，境外主体是否获得实质性赋能，是否具备独立复制、优化、替代境内核心业务与技术的能力。只有行业敏感性+实质赋能效果双重叠加，才构成高等级能力出境风险。
3. 比较法参考：全球ODI监管的共性趋势
美国2025年1月生效的境外投资安全审查机制，将半导体、量子信息、人工智能等前沿技术纳入管辖，不仅审查资本投资行为，更重点管控人才、技术协作、管理支持等无形利益跨境转移，同时区分被动财务投资与实质性赋能投资，实行差异化监管。
这一全球监管趋势印证：现代对外投资安全审查，早已脱离资本规模、持股比例的单一标准，核心聚焦投资是否带来核心能力的跨境转移与实质赋能。中美监管体系虽目标、规则不同，但“从重资本、重资产，转向重技术、重能力”的演进逻辑高度一致。
结语
2026年7月1日落地的《国务院关于对外投资的规定》，标志着中国企业出海合规正式迈入安全导向、体系化、全周期的新阶段。对外投资不再是简单的资本出海、股权布局，更是数据、技术、核心能力的跨境博弈。
看得见的是资本与股权的跨境流向，看不见的是技术体系、迭代能力、产业优势的跨境转移。对科技企业、AI企业、数字化出海企业而言，传统ODI合规已不足以覆盖核心风险，必须建立“资本合规+数据合规+能力合规”的三维合规体系，将能力出境视角前置融入交易设计、尽调评估、投后治理、争议应对全流程。
穿透交易表象、守住能力底线，才能在高水平对外开放与国家安全合规之间，实现企业出海的长期行稳致远。
脚注
[1]《规定》第22条原文：“中华人民共和国境内的组织、个人参与对外投资相关的仲裁、诉讼，或者受到境外司法、执法机构调查，需要向境外提供证据或者相关材料的，应当遵守保守国家秘密、数据安全、个人信息保护、技术出口管理、出口管制、国际刑事司法协助等法律、行政法规和国家有关规定；依法须经有关主管机关准许的，应当履行相关法律程序。”
[2] 《数据安全法》第36条原文：“中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。”
[3] 《国际刑事司法协助法》禁止境内主体未经主管机关同意擅自向外国提供证据材料，其配套《关于实施〈中华人民共和国国际刑事司法协助法〉若干问题的规定（试行）》设立“刑事证据出境审查工作机制”（设在国务院司法行政部门），作为境内主体报告的对接部门。《证券法》第177条原文：“境外证券监督管理机构不得在中华人民共和国境内直接进行调查取证等活动。未经国务院证券监督管理机构和国务院有关主管部门同意，任何单位和个人不得擅自向境外提供与证券业务活动有关的文件和资料。”