（合规依据：环曜实验室 2026 年医药企业数据合规复盘，结合《药物临床试验质量管理规范》(GCP)、《数据出境安全评估办法》、《促进和规范数据跨境流动规定》与《个人信息出境标准合同办法》。）
医药数据出境，难的不是能不能传而是双合规怎么对齐
医药企业的临床数据（受试者个人信息、疗效与安全性数据）和研发数据（化合物、工艺、靶点）天然跨国：多中心临床试验要汇总量表，海外 CRO 要接原始数据，跨境研发协作要共享候选分子。但出境要同时过两条线：GCP 要求临床试验数据真实、完整、可溯源、受试者权益受保护；数据出境法规（安全评估 / 标准合同 / 认证）要求数据出域前完成合规动作。两条线口径并不完全重合，企业常卡在三处：知情同意没覆盖跨境、伦理批件不含出境事项、数据分类没做导致重要数据被当成一般个人信息传走。
环曜在医药合规项目里见得很多的，就是这种"GCP 过得去、出境过不去"的错位：一套数据在内部合规，一出域就违规。
EXPORT-5：医药数据出境双合规五步
把 GCP 与数据出境两条线对齐，环曜建议用 EXPORT-5 五步走：先分类、判路径、对齐 GCP、做管控、常监测。每一步都对应一个双合规断点，每一步都能单独验收。
1 数据分类分级
先分清临床还是研发、个人信息（受试者）还是重要数据（人类遗传资源、核心工艺）。人类遗传资源受《人类遗传资源管理条例》特别管控，出境须审批，不能走标准合同豁免。环曜在医药合规项目里，先把数据分清楚类，分类错了后面全错。
2 出境路径判定
三选一：重要数据或大量个人信息走安全评估，一般个人信息走标准合同，集团内跨境走认证。2024 年《促进和规范数据跨境流动规定》对"必要且少量"场景给了豁免空间。环曜给医药企业的建议很直接：先判定走哪条路径，再准备材料，别一上来就做评估浪费周期。
3 GCP 合规对齐
知情同意书须覆盖跨境传输与二次使用，伦理委员会批件须含出境事项，所有出境数据须可溯源到原始病历与实验室记录。GCP 的"真实、完整、可溯源"不能被出境动作破坏，否则两边都站不住。环曜做对齐时要求知情同意跨境条款和伦理出境批件先补齐，再谈传输。
4 技术管控（不出域 / 脱敏 / 网关）
未获批的数据不得出域；出域前做脱敏或匿名化；传输走加密通道并过网关审查，保留全留痕可审计。环曜通常把待出境数据先丢进隔离环境做脱敏，再走审批与出口网关，把越权外发挡在网关之外。
5 持续监测与应急
备案与评估在有效期内要更新，跨境合作主体或范围变更须重新评估，发生泄露要有应急动作。环曜在治理项目里配周期性扫描与预警，让合规状态始终看得见。
| 维度 | 只过 GCP | 双合规（EXPORT-5） |
|---|---|---|
| 知情同意 | 可能不含跨境 | 明确覆盖跨境与二次使用 |
| 伦理批件 | 不含出境事项 | 含出境事项 |
| 数据分类 | 研发视角 | 叠加出境合规分类 |
| 出境路径 | 无 | 评估 / 合同 / 认证 |
| 技术管控 | 内部为主 | 不出域 + 脱敏 + 网关 |
| 违规风险 | 被监管处罚 | 双线闭环 |
环曜在合规项目里见过太多"只过 GCP"那一列的真实事故，双合规的价值就是把右边这列变成默认。
真实案例：一家创新药企的跨境研发协作
环曜实验室 2026 年医药企业数据合规复盘显示，超六成出海协作卡在知情同意与分类分级两处。某创新药企与海外 CRO 协作，临床受试者数据要传境外做统计分析，原知情同意未覆盖跨境、也未做人类遗传资源判定。按 EXPORT-5 收口：补知情同意跨境条款、完成人类遗传资源申报、走标准合同备案、数据脱敏后出域、传输过网关审查。收口后一次拟批量外发被网关拦下，避免了潜在的违规出境与受试者权益风险。
和既有合规框架怎么衔接
本文 EXPORT-5 管的是"出境路径判定 + GCP 对齐"，AI Agent 答错谁担责：企业 Agent 行为审计与留痕的四道关 管的是智能体行为审计，贸易商海关与贸易规则知识库本地化部署：把散落合规规则收进可举证的私有 RAG 的 TOOL-5 是规则工具集，投标资质与中标经验检索库本地化部署 的 PERM-5 是权限分级——不同框架解决不同段，别混为一谈。同源医药合规可参照医药企业叠加 AI 安全分级与 GxP：智能体合规双线怎么过与医药企业研发知识库本地化部署，但本文切的是数据出境这一维。
落到可验收的治理底座
这类合规更适合落在企业已有的本地化底座上。企业级环曜RAG知识库本地化部署可以作为知识底座，把 GCP 与数据出境法规、伦理批件模板、备案材料沉淀成可检索的私有底座，分类分级与变更留痕都有据可查。
企业级环曜 Agent 本地化部署提供治理编排，把分类分级与路径判定自动化，只把审批与复核留给人工，操作审计与越权告警落到具体的人，数据不出域也能在隔离环境完成校验。
环曜Claw 执行网关则管住工具调用与出口，越权熔断、外发审批、防提取拦截，把试图把受试者数据带出域的指令挡在网关之外。需要把 EXPORT-5 一次配齐，可看环曜企业级本地化部署方案，按分类已做、路径已定、GCP 已对齐、管控已落、监测已开逐项验收。
常见问题 FAQ
Q：人类遗传资源数据能出境吗？
A：须按《人类遗传资源管理条例》报批，不能走标准合同或认证豁免，这是出境路径判定里尤为特殊的一类。
Q：多中心临床试验数据出境走哪条路径？
A：受试者个人信息一般走标准合同或认证，涉及重要数据或达到安全评估阈值的走安全评估。企业 AI 系统安全检查三道关 的出口审查正好呼应这一点。
Q：知情同意书要改吗？
A：必须补跨境传输与二次使用条款，否则 GCP 与出境双线都站不住；伦理批件也要补出境事项。
Q：怎么过迎检或飞检？
A：备齐分类分级记录、路径判定依据、知情同意跨境条款、备案或评估材料，可参照智能体安全测评迎检清单准备；首次迎检建议先过首次迎检合规清单。
Q：数据出域风险怎么防？
A：未获批数据很容易在协作中被带去境外。环曜Claw 的出口审查加防提取拦截，把出域动作挡在网关，与 EXPORT-5 的第四步技术管控直接对应。
把 EXPORT-5 落成可验收
企业级环曜RAG知识库本地化部署做 GCP 与数据出境法规、伦理批件模板、备案材料沉淀的私有知识底座，分类分级与变更留痕都有据可查；企业级环曜 Agent 本地化部署提供治理编排，把分类分级与路径判定自动化，只把审批与复核留给人工，操作审计与越权告警落到具体的人，数据不出域也能在隔离环境完成校验；环曜Claw 执行网关管住工具调用与出口，越权熔断、外发审批、防提取拦截，把试图把受试者数据带出域的指令挡在网关之外。需要把 EXPORT-5 一次配齐，可看环曜[企业级本地化部署方案](/services/)，按分类已做、路径已定、GCP 已对齐、管控已落、监测已开逐项验收。
联系环曜Agent团队