AI部署中的合同责任与法定义务

企业部署 AI 时，合同责任与法定义务必须分开判断。合同主要安排合作方之间的承诺、风险分配和追偿方式；法定义务则取决于适用规则以及主体的实际角色。即使合同约定由供应商承担某项损失，也不能自行消除企业的法定义务，更不能当然限制受损第三方提出的请求。

先判断角色，再分配责任

同一企业可能既是模型服务的客户，又是面向自身客户的应用服务提供者。判断义务时，应识别服务对象、系统功能、部署场景和各方实际控制的环节，而不能只看合同中的名称。例如，中国《生成式人工智能服务管理暂行办法》是否适用，需要结合是否向境内公众提供相关服务等因素判断；通过可编程接口提供服务，也不能当然排除服务提供者身份。仅供企业内部使用的系统，则不宜仅因使用大模型就套用相同判断。

跨地区、跨行业部署还需要结合具体规则分析。合同中的免责或责任限制条款能否发挥作用，也应由法务结合适用法律和具体事实判断，而非假设签署后即可覆盖所有损失。

把控制点写进合同

合同不宜只写“供应商保证系统安全”或“客户自行承担 AI 风险”。更可执行的做法是围绕各方能控制的事项作出承诺：供应商说明模型来源、已知限制、更新通知和安全维护安排；集成方明确权限传递、接口配置和故障修复职责；客户确定数据授权、业务用途及高影响操作的审批要求。

例如，智能体错误披露文件并修改业务记录时，应分别检查文件权限、检索配置、操作授权和异常处置，而不是直接归责于模型。合同还应约定事件发生后的通知、证据提供、协助恢复，以及合作终止后的数据交还或删除安排，并明确责任限制和损失分担的适用范围。

责任能否落实，最终取决于证据。企业应按风险保留必要的版本、配置变更、授权、测试和关键操作记录，同时避免不必要地留存敏感数据。模型替换或权限扩大后，还应重新确认原有测试和合同承诺是否覆盖变化后的用途；控制能力已经改变，原先的责任划分也可能需要调整。