企业用大模型最常踩的坑不是技术问题，是合规问题。把客户数据、财务报表、产品文档直接发给第三方API，可能已经违反了数据保护法规。

一、数据出境问题

用OpenAI或Claude的API，你的数据会传到境外服务器。对于涉及个人信息或商业秘密的数据，这可能违反数据出境合规要求。很多企业在不知情的情况下已经把大量敏感数据传到了国外。这不是技术问题，是法律风险。

解决方案是：敏感数据场景使用国内大模型API或本地部署开源模型。非敏感的通用场景可以继续用国际API。数据分级管理是关键。

二、训练数据泄露风险

另一个风险是：你发给API的数据，服务商可能用于模型训练。如果你把未发布的产品方案发给ChatGPT，理论上可能被他人通过特定prompt诱导出来。企业需要确认API服务商的数据政策：是否默认不使用客户数据训练？是否可以选择不参与训练？

三、合规是前提不是选项

数据合规不是事后补救的事情，而是AI应用架构设计时就要考虑的。什么数据能上云、什么数据必须本地处理、谁有权限调用什么数据，这些需要在系统设计阶段就定义清楚。出了事再补救，代价就大了。