中德AI项目常见问题：总部、德国实体与供应商怎样分工

结论先行：中德AI项目常见问题不是“由谁签合同”一项，而是谁决定用途和数据、谁以名称提供系统、谁能修改模型、谁面对德国客户和主管机关。德国实体可以承担销售与支持，却未必拥有完成合规所需的技术资料；中国总部控制研发，也不能忽略欧盟供应链角色。分工应落到权限、证据、人员和事件流程。

德国子公司必须成为提供者吗

不一定。应看系统由谁开发或委托开发、以谁的名称投放或投入使用，以及是否发生重大修改或用途改变。仅由德国公司开票和提供一线支持，不足以单独判断。

交易前形成角色图，列中国总部、德国实体、进口或分销伙伴和客户。对每个产品版本保存品牌、合同与技术事实，避免集团内部称谓与法定角色不一致。

德国实体便于本地语言、付款、服务和争议处理，但必须取得承诺价格、路线图、服务级别和合规资料的内部授权。总部直签可能集中知识产权，却增加时区、税务和客户准入问题。

比较客户采购要求、常设机构与税务意见、责任保险、数据处理和支持资源。合同主体与实际服务主体不同时，清楚列分包、数据访问和联合责任，不让客户在事件中寻找不到负责人。

远程访问可能构成向第三国传输，需要识别个人数据、角色、传输机制、风险和补充措施。即使数据存储在德国，只要总部人员能够查看生产提示、日志或工单，也不能忽略。

按岗位授予最小权限，设置审批、会话记录、脱敏和紧急访问。标准合同条款、传输评估和客户约定保持一致；无法满足的敏感场景使用欧盟支持团队或隔离数据。

基础模型、已有代码和数据属于背景知识，新接口、微调、评估集、提示、反馈和发明可能由不同主体形成。员工、承包商、大学和客户的权利链也不同。

合作协议定义所有权、许可范围、申请专利、保密、开源、发表、改进和终止后使用。德国商业秘密保护依赖合理保密措施，不能只在合同末尾写一条笼统归属。

AI用于员工监控、排班、绩效、招聘或工作流程时，除数据保护和AI Act外，还可能涉及德国劳动与共同决定安排。具体参与要求应由德国劳动专业人员结合企业结构分析。

项目立项时识别员工数据、控制效果和界面变化，预留沟通与调整时间。不要在系统已采购后才把员工代表视为上线障碍，也不把供应商的标准DPIA当作企业内部程序。

客户可能先发现错误，德国团队最接近受影响人员，总部掌握模型与修复，云供应商控制平台证据。若没有统一分级，信息会在集团和供应商之间反复转交。

事件手册定义值班、暂停权限、证据保护、个人数据泄露评估、AI事件和客户通知接口。定期用真实场景演练，确认跨时区联系人和德文沟通可用，并从演练结果修改合同与访问权。

本问答针对中国总部、德国公司、模型与云供应商、客户之间的合同、数据、知识产权和事件协作澄清高频误区。AI Act、GDPR、BfDI、BSI及欧盟官方解释已于2026年7月24日复查；公开答案不能替代对实际系统、受影响人员、合同和处理活动的个案审查。

问答边界：不提供中国法结论，也不把设立德国实体写成自动解决数据、AI Act或客户采购要求。同一模型因用途、使用者、输出影响和合同角色不同可能产生不同结论，不能把一般答复直接复制到生产系统。