收购AI系统前，企业必须索取证据与退出档案

演示惊艳不等于资产优质

一个AI产品可以在受控演示中令人印象深刻，却仍是一笔糟糕的收购。界面可能掩盖了人工劳动，基准测试可能无法匹配生产环境，模型可能依赖一个随时可以更改条款的供应商，而收购方在交割后可能并不拥有运营所需的代码或数据。只验证演示和标称准确率的买家，做的不是技术尽职调查，而是观看一场产品路演。

收购的核心问题不是“这个AI能用吗”，而是：在何种输入、依赖、控制、成本、权利和运营条件下，该系统能产出可接受的结果——以及买方在交易后能否维持或替换这些条件？

本文基于AI系统尽职调查框架，将范围界定、数据流、性能证据、关键依赖、运营治理、交易条件和跨职能访谈等要素，整合为一份“证据与退出档案”。它服务于买入、有条件买入、价格调整、补救性保留款、试点、授权许可或拒绝交易等多种决策场景。

把投资论点写成可证伪的命题

每一项证据请求都应服务于检验一个价值论点。典型论点包括：系统降低了单案例人工成本；提升了转化或留存；专有数据形成持久差异化；技术可扩展至新市场；能在可接受毛利下支撑更高业务量；团队具备可复制的改进闭环；买方集成该能力比自建更快。

关键在于把每个论点改写为可证伪的命题。“平台实现了客服自动化”要变成“在定义好的工单范围内，系统在不经人工干预的情况下，以约定比例解决被认可的结果，同时满足响应时间、质量、安全和成本阈值”。

接下来要主动寻找反证：隐藏的人工介入、被排除的困难案例、延迟升级、过高退款、审核员耗时、昂贵推理、客户流失、供应商补贴，都可能制造出漂亮的总量指标，同时摧毁投资论点。愿意承认产品在何处失败的卖方，往往比宣称无所不能的卖方运营更成熟。

证据与退出档案的十二个组成部分

档案应版本化、访问受控，并与交易范围精确挂钩。它包含十二个部分：系统边界与架构；资产、所有权与许可登记册；数据来源与允许用途登记册；性能声明与复现包；安全与滥用场景评估；运营指标与事件历史；单位经济与容量模型；供应商与开源依赖图；客户承诺与受监管用途地图；组织、关键人员与流程依赖图；集成与过渡计划；退出、替换与故障遏制计划。

不要接受截图替代可安全提供的导出数据或原始证据。仪表盘图片省略了指标定义、筛选条件、排除案例和时区。应索取数据字典、计算逻辑、样本量、队列边界，并与财务或运营记录对账。敏感证据应放在受控数据室中，实行最小权限、日志记录、水印、保留期管理，必要时采用清洁团队安排。

端到端还原一条真实数据流

从输入到业务结果，重构一笔真实交易。追踪原始数据经过采集、验证、预处理、存储、模型调用、检索、工具使用、人工审核、输出交付、反馈、监控到删除的全过程。

在每个边界追问：什么数据进入、由谁提供？何种许可或合同基础覆盖此用途？数据存储与处理在何处？哪个子处理方或模型提供商接收数据？数据是否用于训练、微调、评估或改进任何系统？哪些标识符将数据关联到个人或客户？发生哪些转换和脱敏？哪些日志或缓存产生了额外副本？纠正、访问、保留或删除如何执行？系统输出什么、能触发哪些动作？

用遥测和配置验证文档化的流程。架构图常常是理想化的，网络路由、云资源、数据仓库表、API日志、功能开关和支持流程才揭示实际运行的系统。为电子表格、手动导出、私人笔记本、消息附件、临时存储桶和审核工具建立“影子路径”登记册——影子路径往往承载着最高风险的数据和最薄弱的控制。

影子路径（Shadow Path） 指的是在正式IT治理和监控体系之外，由业务人员为完成工作而自行建立的数据处理与流转通道，例如用个人电子表格导出客户数据、通过即时消息附件传输敏感文件、将生产数据临时写入个人笔记本或未纳管的存储桶、绕过审批流程直接调用外部API等。这类路径之所以危险，是因为它们承载的数据往往与正式系统同样敏感甚至更敏感，却完全不受访问控制、日志审计、加密和保留策略的约束。在AI系统中，影子路径还常以未登记的提示词模板、临时检索索引、人工标注副本和功能开关旁路等形式出现。尽职调查中应要求卖方（或目标公司）主动梳理并登记所有影子路径，逐一评估其数据分类、访问者范围、副本留存时间以及删除可行性，并将其纳入数据流图与风险台账，而不是假设官方架构图就是系统实际运行的全貌。

数据权利是运营依赖，而非法律附件

数据价值无法与数据权利分离。要求数据集级别的来源证明，而不是“公开”“匿名化”或“客户所有”这类笼统保证。登记册应覆盖来源、采集日期、用途、同意或合同基础、许可、地域限制、敏感属性、保留期、删除能力、衍生权利、模型训练权利、再分发限制，以及供应商授权证据。

对于客户数据，要对照合同语言与实际使用。产品是否用某客户的数据改进对其他客户的输出？退出选项在管道和备份中是否被遵守？客户能否导出或删除数据？嵌入向量、微调样本、反馈标签和缓存提示词在删除后如何处理？

对于抓取或公开数据，要识别确切来源、获取方式、条款、robots行为、版权分析、个人数据暴露和更新流程。“网上可得”不构成完整的权利意见。合成数据同样需要记录生成器、提示或流程、来源依赖、质量检查，以及合成输出是否复现了敏感或受版权保护的材料。

在锁定队列上复现性能声明

要求卖方列出每一项重要性能声明，附上定义、数据集、分母、排除项、模型版本、代码版本、提示版本、评估方法、日期和负责人。选择与投资论点挂钩的声明，在受控环境中复现。使用三类队列：

• 参考队列：卖方声明的评估集；
• 生产回放队列：有授权处理和已知结果的历史代表性输入；
• 挑战队列：边缘案例、稀有类别、分布偏移、滥用场景、信息缺失和高影响决策。

防止训练-测试泄漏：对数据集做哈希，检查重复项，审查评估样本是否出现在训练数据、提示模板、演示或检索索引中。尽可能在执行前对买方挑战集保密。从原始预测重新计算指标，确认阈值、聚合方式、类别平衡、弃权、失败、超时和人工覆盖。如果卖方在排除30%不确定案例后报告92%准确率，两个数字都应写入声明。

对于生成式系统，在合理情况下使用结构化评分标准和多名评估者，记录分歧。LLM作为评判者可以在规模上提供帮助，但它引入了另一个模型依赖，应与合格的人类判断进行校准。

衡量业务结果接受度，而非模型输出

模型准确率不等于业务成功。提取系统可以正确识别字段，但工作流无法对账；客服代理可以写出流畅回答，但客户反复重开工单；线索评分模型可以排序潜客，但销售认为其不符合资格。

建立结果台账，在查看结果前定义资格与接受标准：

accepted_outcome_rate = accepted_business_outcomes / eligible_cases
straight_through_rate = accepted_outcomes_without_human_rework / eligible_cases
exception_rate = cases_routed_to_exception / eligible_cases
rework_minutes_per_case = total_human_rework_minutes / eligible_cases
critical_failure_rate = critical_failures / eligible_cases

报告被丢弃、超时和模糊的案例。一个能安全弃权的模型可能很有价值；一个悄悄剔除弃权案例的指标则具有误导性。从模型输出追踪样本到台账、CRM、支付、客服或客户动作，确认所称节省体现在排班、编制计划、供应商支出、吞吐量或服务容量中，而不仅是理论时间研究。

拆解单位经济与隐性人力

AI毛利率对工作负载组合和架构高度敏感。将固定成本与可变成本分开：单笔被接受案例的贡献等于单案例收入减去模型推理、检索与工具调用、云算力与存储、数据或许可版税、人工审核与异常处理人力、支持与退款成本、可变安全合规成本。

按队列建模成本：短文档与长文档、常见语言与稀有语言、简单工具与复杂工具、新客户与老客户、正常流量与峰值流量。平均成本可能掩盖亏损的长尾。将用量与供应商发票和云账单对账，检查折扣、抵扣、免费额度、创始人安排和最低承诺，剔除临时补贴，并对供应商涨价、token增长、审核增加和缓存命中率下降做压力测试。

隐性人力不一定是缺陷——人工审核可以是合理的安全控制或服务层。真正的风险是未披露、未计量或不可扩展的人力。绘制每一处人工触点：数据标注、提示调优、异常处理、内容审核、质量复核、客户入驻、手动工具执行和事件响应。记录时间、技能、地点、供应商、成本、权限、流动率和质量控制。与运营人员单独访谈，让他们走一遍最近一次困难案例，而不是理想流程。

供应链依赖与AI物料清单

创建依赖图，覆盖基础模型、嵌入、重排序器、安全服务、向量数据库、数据供应商、云区域、身份提供商、可观测性和专业承包商。对每个关键依赖记录：合同主体与期限、转让或控制权变更限制、价格与承诺、服务限额与支持层级、数据使用与保留条款、地域或客户限制、终止与暂停权利、导出能力、替换候选、已测试的故障转移状态、迁移时间与成本。

英国国家网络安全中心（NCSC）与包括CISA在内的国际伙伴共同发布的AI安全开发指南强调供应链安全、第三方组件验证、模型/数据/提示的文档化、资产追踪，以及关键任务系统的故障转移准备。这是指南而非安全认证，但它支持将模型、提示、数据集、库、API和日志作为受治理的供应链资产来对待。不要接受“多模型”作为可移植性的证据，要求一次有见证的故障转移测试，比较切换后的输出质量、延迟、工具兼容性、安全行为和成本。

AI物料清单应把传统软件物料清单扩展至模型、适配器、数据集、提示、评估、工具和提供商。将清单与运行时观测和代码仓库比对，孤儿资产和未注册调用暴露治理缺口。密码学哈希有助于确认工件身份，但不能确立法律所有权或模型质量。

人工智能物料清单（AI BOM） 是传统软件物料清单（SBOM）在AI时代的扩展。SBOM主要登记软件组件、库版本和许可证，而AI BOM还需覆盖基础模型（含版本与哈希）、微调适配器、训练与评估数据集（含来源与许可）、提示词模板、检索索引、工具与插件、评测基准以及各环节的提供商与托管位置。其目的在于让买方能够追踪每个影响输出的工件身份、来源、权利状态和运行时调用关系，从而识别孤儿资产、未注册调用和治理盲区。需要强调的是，密码学哈希只能证明工件在某一时刻的完整性，不能确立法律所有权、训练数据合规性或模型质量；AI BOM是治理与追溯工具，必须与合同权利登记册、数据来源登记册和运行时观测数据交叉核对，才能真正支撑交易决策与交割后的运营。

安全、可靠性与交易控制

安全审查应覆盖常规应用安全与AI特有路径：提示注入、工具滥用、过度代理、数据外泄、训练或检索投毒、模型窃取、钱包拒绝服务、不安全文件处理、不安全的序列化、密钥泄露和跨租户暴露。CISA的AI路线图呼吁安全采购、开发与运营，强化漏洞管理、测试与红队演练，并将AI纳入安全-by-design工作。路线图不是产品评估，但它是索取已实施控制与证据的理由。

用授权演练测试边界：不可信内容能否改变系统指令？用户能否让代理调用其权限之外的工具？检索内容能否暴露另一租户的数据？破坏性动作是否单独审批？攻击者能否制造无上限的推理成本？审查事件和漏洞历史，包括未遂事件，询问团队如何检测、遏制、沟通、修复和学习。一个有记录事件且有效纠正的目标，可能比一个声称从未出问题却没有监控的目标风险更低。

斯坦福2026年AI指数报告显示，受访组织中AI事件持续存在，而自评事件响应能力有所下降。这些调查发现不能预测特定目标的风险，自报告也有局限，但它们反驳了“采用成熟度自动带来事件成熟度”的想法。用桌面推演检验目标自身的响应能力：峰值流量下供应商中断、检索索引损坏、工具凭证泄露、大客户报告有害输出、模型更新导致关键回归——观察决策、证据、联系人归属和恢复，而不只是书面计划。

把发现转化为交易控制：交割前提条件、价格调整、与验收挂钩的托管或保留款、由律师审阅的陈述与保证、带证据截止日的补救契约、过渡服务协议、关键人员保留或知识转移计划、供应商同意或合同替换、有限试点或分阶段收购、控制通过前的禁用用途、以及适当情况下的终止或退出权。每项控制都需要可衡量的测试。“改进文档”应变成“交付完整的AI物料清单并与运行时调用和代码仓库对账，无未解决的关键所有权或许可问题”。

提示注入（Prompt Injection）与过度代理（Excessive Agency） 是生成式AI系统特有的两类安全风险。提示注入指攻击者将恶意指令隐藏在用户输入、检索到的文档、网页或工具返回结果中，诱导模型偏离原有指令、泄露系统提示或执行非预期动作；间接提示注入尤其危险，因为恶意内容可能来自系统自动抓取的外部数据，而非用户直接输入。过度代理则指AI代理被授予了超出任务所需的权限、工具或自主决策范围，一旦被操纵或出现错误，可能执行破坏性操作、访问跨租户数据或产生不受限的推理成本。尽调中应要求目标方演示针对这两类路径的已实施控制：不可信内容的隔离与标记、工具调用的最小权限与单独审批、破坏性动作的人工确认、检索结果的租户隔离、推理成本的速率与预算上限，以及相应的红队测试和事件记录，而不能仅凭问卷回答判定安全水平。

退出档案与常见失败模式

退出计划不是悲观主义，它确认价值究竟在 acquired assets 内部，还是从依赖中租来的。档案应说明如何：以文档化格式导出客户、配置、评估和运营数据；轮换凭证并转移已批准账户；替换每个关键供应商；在提供商暂停或价格纠纷期间维持运营；保留客户访问和合同承诺；删除过渡后不再被授权的卖方数据；保留所需审计证据；恢复最后已知良好版本；在买方日后剥离时分离产品；安全关停而不遗留客户数据或动作。至少见证一次导出、恢复、模型故障转移、凭证轮换和删除流程，计时并记录手动步骤和缺失权限。

常见失败模式包括：演示替代验证、仪表盘验收、数据室淹没、平均经济、隐藏人力服务、合同乐观主义、纸面可移植性、问卷式安全、关键人员盲区和交割后补救幻想。每一种都对应一个具体的验证动作——在生产和挑战队列上复现、重新计算指标、要求声明到证据的清单、按工作负载细分成本、观察运营并将人力计入单笔接受结果、核实转让条款、执行切换测试、检查配置与事件、将决策和访问映射到具体人员、以及在交易前定价、设条件、试点或停止。

AI尽调不是寻找单一准确率分数，而是重构创造价值的条件：资产、权利、数据、模型行为、人力运营、安全、供应商、经济、客户承诺和恢复能力。证据与退出档案让这些条件可检查，显示哪些声明可复现、哪些成本会扩展、哪些依赖可转移、哪些失败受控，以及当提供商、创始人、数据集或模型变化时买方能否运营。最强的结果不总是批准交易——有条件的交易、授权、试点、重新定价或拒绝，可能比买下一个有说服力的演示保留更多价值。