引言

2025年末，Meta以超过20亿美元的价格收购中国初创公司Manus，标志着全球AI竞争白热化下的标志性事件。然而，2026年1月8日，中国商务部宣布将对此收购行为开展评估调查，重点关注"出口管制、技术进出口、对外投资等相关法律法规的一致性"。本文将从数据跨境法律合规的角度，深入剖析商务部此次调查的法理依据与合法性。

一、数据出境合规的核心法律框架

1.1 数据出境安全评估制度

《数据出境安全评估办法》（2022年7月7日实施）第四条明确规定，数据处理者向境外提供数据，有下列情形之一的，应当申报数据出境安全评估：

1. 数据处理者向境外提供重要数据

2. 关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息

3. 自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息

4. 国家网信部门规定的其他需要申报数据出境安全评估的情形

1.2 《促进和规范数据跨境流动规定》（2024年3月22日实施）

该规定对数据出境制度进行了优化调整，明确了"三条路径"：

1. 安全评估路径（必须情形）：CIIO向境外提供个人信息或重要数据；非CIIO向境外提供重要数据，或累计向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息

2. 标准合同/认证路径：非CIIO累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或不满1万人敏感个人信息

3. 豁免情形：非CIIO累计向境外提供不满10万人个人信息（不含敏感个人信息）可免予申报

1.3 《个人信息保护法》相关要求

第三十八条明确，个人信息处理者确需向境外提供个人信息的，应当具备以下条件之一：

• 通过国家网信部门组织的安全评估

• 按照国家网信部门的规定经专业机构进行个人信息保护认证

• 按照国家网信部门制定的标准合同与境外接收方订立合同

第三十九条还规定，必须向个人告知境外接收方的信息并取得个人的单独同意。

二、Manus收购案涉及的数据出境合规风险

2.1 AI智能体业务的特殊数据属性

Manus的核心产品是通用AI智能体，具备"感知-决策-行动-迭代"的闭环能力，能自主完成复杂任务拆解、工具调用与结果验证。这类应用涉及的数据具有特殊性：

• 用户行为数据：包括任务执行记录、交互日志、使用习惯等

• 训练数据：产品训练时使用的大量中国境内数据

• 执行结果数据：可能涉及用户委托处理的敏感信息

• 算法模型数据：虽然主要依赖Claude模型，但Manus自身的优化模型可能包含源自中国的训练数据

2.2 数据跨境的具体问题

根据公开信息，Manus面临以下数据出境合规问题：

1. 数据接收方变更：收购完成后，数据接收方从Manus变为Meta，形成新的数据出境途径，需重新履行合规程序

2. 训练数据转移：Manus的算法模型在中国境内训练完成，是否涉及重要数据或大规模个人信息的跨境转移

3. 用户数据控制权转移：数百万用户的个人信息是否随收购一同转移至境外

4. 告知同意义务：向用户告知境外接收方变更情况并取得单独同意

2.3 潜在的重要数据风险

根据《数据安全技术 数据分类分级规则》（GB/T 43697-2024），AI领域可能涉及的重要数据包括：

• 涉及国家安全、公共利益的AI算法模型

• 大规模个人行为数据集合

• 可能影响国家竞争力的关键技术数据

三、商务部调查的法理依据分析

3.1 数据出境安全评估管辖权

虽然Manus在2025年将总部迁往新加坡，但这并不意味着能规避中国数据出境法规的管辖：

1. 属地原则：数据在中国境内收集和产生，仍受中国法律管辖

2. 实质认定原则：数据的原始属性来源于中国，即便法律形式上变更注册地，技术根源仍在中国

3. 持续监管原则：《促进和规范数据跨境流动规定》第十二条规定，网信部门对数据出境活动进行指导监督，强化事前事中事后全链条全领域监管

3.2 商务部介入的合法性依据

商务部的介入具有充分的法律依据：

1. 《对外贸易法》：规定了国家对技术贸易的管理

2. 《技术进出口管理条例》：技术出口包括核心技术人员的跨境转移、源代码的跨境传输等

3. 多部门协同监管：网信办负责数据出境安全评估，商务部负责技术进出口管理，两者在AI技术跨境流动上存在监管交集

3.3 "评估调查"而非"正式调查"的合规考量

商务部使用"评估调查"而非"正式调查"的表述，体现了监管的审慎性：

• 给予企业自我整改的机会

• 降低对正常商业活动的影响

• 为后续可能的处罚留出法律程序空间

四、Manus可能面临的合规挑战

4.1 数据出境路径选择的困境

1. 安全评估路径：如果涉及重要数据或超过100万人个人信息，必须走安全评估

2. 标准合同路径：如果涉及10万-100万人个人信息，需签订标准合同并备案

3. 认证路径：可申请个人信息出境认证，但程序复杂、时间长

4. 豁免路径：只有非CIIO且累计向境外提供不满10万人个人信息（不含敏感个人信息）才可豁免

4.2 数据分类分级的难题

Manus需要识别：

• 是否涉及重要数据

• 个人信息的具体数量

• 是否包含敏感个人信息

• 数据是否在《中国禁止出口限制出口技术目录》范围内

4.3 告知同意义务的履行

根据《个人信息保护法》第三十九条：

• 必须向个人告知境外接收方变更情况

• 取得个人的单独同意

• 通知内容包括境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类等

五、监管趋势与合规建议

5.1 数据出境监管趋势

1. 监管穿透性增强：企业通过"金蝉脱壳"式架构调整规避监管的做法越来越难

2. 事前事中事后全链条监管：从单一的事前评估转向持续监督

3. 多部门协同监管：网信办、商务部、工信部等部门形成监管合力

4. 自贸区负面清单创新：部分区域试点负面清单制度，但Manus案可能超出创新范围

5.2 对AI企业的合规建议

1. 建立数据出境合规体系：

· 识别重要数据

· 统计个人信息规模

· 评估数据出境必要性

· 选择合适的出境路径

2. 履行告知同意义务：

· 向用户清晰告知境外接收方信息

· 取得用户的单独同意

· 建立便捷的用户权利行使渠道

3. 采取技术安全措施：

· 加密、去标识化

· 建立数据出境安全监测机制

· 制定数据泄露应急预案

4. 提前规划跨境架构：

· 在业务发展初期即考虑数据出境合规

· 避免事后补救的被动局面

· 与监管部门保持主动沟通

六、结论

商务部对Meta收购Manus案的调查，从数据跨境法律合规角度看，具有充分的法理依据和合法性。Manus虽然在法律形式上完成了"去中国化"，但其核心技术在中国境内研发、数据在中国境内收集和产生的事实，使其无法规避中国数据出境法规的管辖。

这一案例凸显了数据主权时代的企业合规挑战：

1. 技术出口管制与数据出境管理的监管交集日益明显

2. 穿透式监管成为常态，企业难以通过架构调整规避监管

3. AI企业必须在业务发展与合规成本之间寻找平衡

对商务部而言，此次调查不仅是个案合规性的厘清，更是对AI企业跨境流动的合规警示。对中国AI企业而言，全球化布局不能仅靠"换个马甲"，而需要在尊重母国技术主权的前提下，探索真正的国际化路径。

未来，随着中美科技竞争的加剧，类似的数据跨境合规争议可能更加频繁。企业需要建立完善的合规体系，主动履行告知同意义务，选择合适的出境路径，才能在全球化竞争中立于不败之地。

注：本文基于截至2026年1月中国现行法律法规及公开信息撰写，如有事实描述错误请予批评指正。