企业采购大模型服务的资质审查清单：8项必查

企业在选大模型 API 服务商时，最常见的评估方式是比价格、比模型数量、比响应速度。这些都对，但都不够。

真正决定采购成败的是那些"平时看不出问题、出事才知道致命"的项。比如供应商的模型来源是否合规、数据流向是否清楚、服务中断时你能不能平滑退出。这篇把该查的八项列成清单，可以直接拿去问供应商。

一、主体资质：三个证照要看

查什么：

• 营业执照：经营范围是否包含"增值电信业务"或"互联网信息服务"
• ICP 许可证或备案：经营性服务需许可证，非经营性需备案。可在工信部 ICP 备案系统核验
• 成立年限与实缴资本：影响抗风险能力

红旗信号：经营范围只有"技术服务"却对外提供 API 服务；ICP 备案主体和签约主体不一致。

二、模型来源：每个模型都要能说清出处

查什么：

• 所供应的每一个模型，是否已完成我国主管部门备案？
• 能否提供备案编号，并在网信办公示清单中查到？
• 是否涉及境外模型？如涉及，数据出境如何合规？

这一项的法律依据很硬：《生成式人工智能服务安全基本要求》明确要求基于第三方基础模型提供服务的，应当使用已经主管部门备案的基础模型。供应商转了未备案的模型，风险最终会传导到你。

红旗信号：说"模型很多"但拿不出备案清单；对"境外模型怎么合规"含糊其辞。

三、备案状态：区分大模型备案与登记

查什么：

• 供应商是自研模型还是调用第三方？
• 若是纯调用，是否完成地方级大模型登记？
• 是否完成深度合成服务算法备案？

这两个备案的适用范围不同，周期差 4-5 倍（备案约 6-10 个月，登记约 1-2 个月）。问清楚供应商走的是哪条路，能判断他对合规的理解深度。

红旗信号：把"登记"说成"备案"来显得更权威；或完全不知道有这个区分。

四、数据流向：数据到底去哪了

查什么：

• 用户输入的数据是否会被传输到境外？
• 数据是否用于模型训练？用户能否关闭？
• 日志留存多久？存在哪个区域？
• 是否签署数据处理协议（DPA）？

数据出境是需要单独评估的事项。如果供应商的架构涉及境外节点，你需要确认他是否完成了数据出境安全评估或标准合同备案。

红旗信号：拒绝书面确认数据不用于训练；说不清日志存在哪里。

五、服务保障：SLA 不是一句"99.9%"

查什么：

• SLA 的具体定义：是月度可用性还是请求成功率？
• 超时、限流、上游故障分别怎么算？
• 达不到 SLA 的补偿机制是什么？现金赔付还是额度返还？
• 是否有自动容灾？切换逻辑是单点还是多点？

红旗信号：SLA 只写在宣传页，不进合同；补偿只给"服务时长"不给钱。

六、计费透明度：不只看单价

查什么：

• 输入和输出是否分开计价？
• 是否按上下文长度阶梯计价？
• 缓存、重试、失败请求是否计费？
• 账单能否按项目、按 API Key 拆分？

红旗信号：只说"很便宜"但不愿给完整价目表；失败请求也扣费。

七、退出机制：最容易被忽略的一项

查什么：

• 合同到期或终止时，历史数据如何处理？
• 能否导出调用日志和用量记录？
• 是否锁定在专有接口上（迁移成本高不高）？

这一项决定了你被锁定的程度。如果供应商用的是 OpenAI 兼容接口，迁移成本就低；如果是私有协议，换供应商等于重做一次接入。

红旗信号：不提供数据导出；接口非标准兼容。

八、经营稳定性：能不能陪你走到最后

查什么：

• 上游供应商依赖度：是否只靠一两家上游模型？
• 团队规模与技术支持响应时间？
• 是否有同行业客户案例可核实？

大模型基础设施这一行，供应商的中位数寿命不长。选一个能长期存在的伙伴，比选一个当下最便宜的更重要。

问询模板：直接发给供应商

把下面这段发给候选供应商，看回复质量就能筛掉大半：

请提供以下信息用于供应商评估：

1. 贵司 ICP 许可证或备案号，以及签约主体是否与备案主体一致；
2. 所供应模型的备案清单，含每个模型的备案编号；
3. 若涉及境外模型，数据出境合规路径说明；
4. 数据是否用于训练、日志留存策略，是否可签 DPA；
5. SLA 具体指标定义与未达标补偿方式；
6. 完整价目表，含输入/输出/缓存/失败请求的计费规则；
7. 合同终止时的数据导出方案；
8. 接口是否兼容 OpenAI 标准协议。

能逐条书面回复的，基本可以进入谈判；含糊其辞或用宣传话术搪塞的，直接排除。