一个人的 AI 合规：六个功能、二十二项供应商条款与一次客户审查（10 篇）
AI 功能上线之后，客户迟早会问：数据会不会被拿去训练、出错谁负责、有没有证据。本组用六个功能、七个数据来源、两家供应商的二十二项条款、六处披露与一百二十条评测，讲一个人怎么做 AI 合规与责任边界，十篇全部给算式与清单。
tag
合规
共 43 篇文章。
同意与退订：订阅确认、退订时效与记录
订阅与退订要能追溯范围、时间和实际生效。本文区分产品自定的确认规则、收件平台要求与适用地区规则，说明导入名单不能直接重确认群发、正文退订与 RFC 8058 的区别，并用 1200 到 984 的名单算例核对记录、抑制同步和跨产品偏好的边界。
年度合规日历与退出：年报、汇算、变更、转让、注销与迁移
公司不是注册完就结束了。年报、汇算、许可证续期、地址变更、股权转让、注销，每一项都有时间窗。本篇给出一张 12 个月合规日历、一份变更与退出清单，以及停止运营时依法处理债务、清算和个人担保的顺序。
外包与协作的合规：合同、付款、保密、竞业与雇佣边界
一个人也需要协作，但协作最容易把「合作」变成「雇佣」。本篇对照外包、兼职、顾问、合伙四种形态的责任与成本，给出合同必备条款、付款节点、保密与竞业边界，以及一份不依赖口头承诺的交付验收流程。
知识产权归属：代码、素材、外包、职务作品、商标与版权登记
代码是你写的，成果不一定归你。本篇梳理代码、素材、外包、职务作品与 AI 内容五条归属链，讲清软件著作权登记、商标注册、开源依赖许可的边界，给出签约与交付两个时点的检查表，以及离职或合作终止时的证据留存。
合同与条款：服务条款、隐私政策、DPA、退款政策与试点协议
条款不是大公司的装饰品，而是你唯一的书面承诺。本篇拆解服务条款、隐私政策、数据处理协议、退款政策与试点协议五份文档的最小字段，给出生成顺序、版本留存方法，以及客户提修改时哪些能让、哪些不能让。
记账与账本：一个人的三张表、单据留存与代理记账的验收
账本不是为了报税，而是为了知道自己还能活几个月。本篇给出一个人的三张表、单据留存规则、银行流水与订单的勾稽方法、代理记账的交付边界与验收清单，以及一次完整的月度结账 30 分钟流程。
税务的最低认知：增值税、所得税、申报周期与跨境销售的常见误区
独立开发者不需要成为税务专家，但必须知道哪些事不能猜。本篇讲清增值税与所得税的区别、小规模与一般纳税人的分水岭、申报周期、跨境销售的常见误区，并给出一份申报日历和五个必须向专业人士确认的问题。
收款、开票与对账：个人码、对公账户、平台代收与 MoR 的口径统一
钱进来了，账对不上，是最常见的第一课。本篇把个人码、对公账户、平台代收与 MoR 五种收款方式放在同一张表里，讲清订单、发票、到账三单如何对齐，退款与拒付怎么记，以及一份月度对账的最小流程。
注册与开户：名称、经营范围、注册资本、对公账户与支付绑定
注册只是开始，开户才是真正卡人的一步。本篇拆解名称核准、经营范围、注册资本与认缴期限、注册地址、对公账户、税务登记与支付账号绑定，给出材料清单、开户被拒的五个常见原因和一份注册后 30 天待办表。
主体选型矩阵：责任、税负、开户、发票、年成本与可迁移性
选主体不是选「哪个税低」，而是选五年后还能不能改。本篇用责任、税负、开户、发票、年成本、可迁移性六个维度做成评分表，给出三种典型独立开发者场景的对照，以及选型后最容易返工的三处结构。
什么时候需要一个主体：个人、个体户、一人公司与海外实体的分水岭
第一笔收入到账后，问题才真正开始：客户要发票、平台要 KYC、银行问资金来源。本篇给出五个「该注册了」的触发信号、个人/个体户/一人公司/海外实体的六维对照、注册前必须回答的八个问题，以及什么时候先别注册。
一个人的公司：独立开发者的主体、税务与合规底座（10 篇）
10 篇系列，讲独立开发者从「代码能跑」到「生意能立住」之间的经营底座：主体选型、注册开户、收款开票、税务申报、记账、合同、知识产权、外包合规、年度日历与退出。不提供法律或税务意见，只给决策矩阵、材料清单、时间表和该问专业人士的问题。
平台合规：隐私政策、数据最小化、封禁申诉与开源许可
对独立开发者来说，合规不是等律师，而是上架前必须做完的产品约束。本篇给出隐私政策的最小结构、数据最小化的落地方法、数据流图与子处理者清单、GDPR/CCPA/PIPL 的最低交集、平台封禁的常见原因与申诉流程，以及插件分发时的开源许可边界。
基础设施代码测试：Terratest、Kitchen 与 InSpec
基础设施即代码同样需要测试金字塔。本文把静态检查、plan 校验、Terratest 真实资源集成测试、Kitchen 配置收敛验证、InSpec 合规基线串成一条链路，讲清各自的边界、成本控制、隔离策略与 CI 集成方式，并给出可落地的分层测试方案与常见坑。
《AI Agent 工程实战》15.3 审计与合规：不可篡改审计日志
本节讲清审计日志与普通日志的区别：普通日志可丢可采样，审计日志必须完整、必须能证明没被改过。用追加式加哈希链实现审计日志，每条记录带前一条的哈希，改任何一条都会让链断掉。真跑：写 5 条记录、校验链完整、篡改中间一条再校验，打印「第 N 条校验失败」，并给出审计字段表与保留策略表。
链上取证与资金流追踪
从归档全节点、索引服务与原始 trace 三类数据源出发，系统讲解链上取证与资金流追踪方法：地址聚类的共同输入、找零识别、存款归集等启发式规则及其失效点，标签体系与实体识别，混币器与跨链桥造成的资金流断裂，资金流图谱的构图、剪枝与金额比例分配算法，行为指纹与时间序列分析，以及合规取证的证据链固化与报告产出流程。
开源商标与品牌治理
本文讲开源项目的商标与品牌治理实务，回答许可证为何不授权商标、商标政策怎么写、衍生发行版如何命名、商标该不该转给基金会。覆盖使用指南的边界条款、注册类别选择、品牌保护与执法手段、域名与社交账号管理、社区品牌协同，并给出可落地的商标政策模板与分档推进清单。
企业参与开源与 OSPO
本文讲企业参与开源的组织化落地与 OSPO 建设，回答 OSPO 该设在哪、上游优先怎么执行、员工贡献如何审批合规、采购如何评估供应商开源风险。覆盖贡献审批流程、企业与社区的边界、从使用到主导的路线图、参与效果的度量指标，并给出常见组织反模式与可落地的检查清单。
软件供应链与 SBOM
本文讲软件供应链安全与 SBOM 的工程化落地，回答如何生成与消费 SBOM、SLSA 等级怎么对照、制品如何签名验证、依赖混淆与投毒怎么防。覆盖 SPDX 与 CycloneDX 的字段差异、purl 与 VEX 的作用、Sigstore 无密钥签名、构建溯源与策略门禁，并给出可执行的分阶段落地路线。