数据流与模型调用审查表

画出数据从哪里来、到哪里去 审查表需要记录数据来源、收集方式、处理目的、存储位置、访问权限、对外提供和删除机制。没有这张图，很多合规判断会停留在抽象层面。

列明每一次模型调用 企业应当区分自有模型、开源模型、第三方商业模型和客户指定模型，并记录调用目的、输入内容、输出使用、日志保存和供应商条款限制。

把审查结果转成行动项 最终交付不应只是风险描述，而应当形成产品调整、协议补充、供应商确认、用户提示、数据隔离和内部权限配置等可执行事项。