Token 出海合规指引 - 韩国

引言

随着科技浪潮演进，中国大模型的出海正向“底层算力与API（Token）出海”纵深发展。继我们早前发布的「香港人工智能(AI)相关监管要求概览」、「欧盟《人工智能法案》（AI Act）相关监管要求概览」及「新加坡AI监管框架概览及企业合规指引」，本文由我们虚拟资产业务及金融科技团队结合近期服务多家前沿AI科技、TMT巨头及Web3基建企业的实务经验，为您深度拆解韩国“Token出海”在2025-2026年密集落地的新规下的合规红线与商业架构设计。

“Token出海” 指企业在境内部署生成式AI大模型，通过API接口向境外用户提供推理服务，并按Token消耗计费的商业模式，涉及数据、资金、服务等的跨境流动。具体而言，Token出海的业务链路包括：境外用户通过API调用发出指令（prompt）→ 数据入境、在韩国境内完成推理 → 推理结果跨境回传 → 用户按Token消耗支付对价。

在韩国法律体系下，这一业务链路在不同的环节会触及不同的监管：向境外提供推理服务的经营行为由《人工智能基本法》规制，并在特定情形下可能触发《产业技术保护法》的技术出口管制；个人信息处理与数据跨境传输由《个人信息保护法》规制。

一、《人工智能基本法》：主体定性、分类监管与透明度义务

2026年1月22日，韩国《关于人工智能发展与建立信赖基础的基本法》（以下简称“AI基本法”）与其实施令同步施行，成为继欧盟AI法案之后全球第二部综合性AI立法，也是首部将产业促进与风险监管合并于一部法律的立法。

“AI经营者”的定义

对Token出海企业而言，AI基本法回答推理服务提供层面的根本问题：企业在法律上应被定性为何种主体类型，是否应该受到规制，以及应落入何种义务范围。具体而言，AI基本法第2条第7款将“AI经营者（AI Business Operator）”分为两类：其一为“AI开发者（AI Developer）”，指开发人工智能并对外提供的实体；其二为“AI服务提供者（AI Service Provider）”，指利用AI开发者所开发的AI系统，提供AI产品或AI服务的实体。第4条确立域外效力：在境外实施、但对韩国市场或用户产生影响的行为亦适用本法。第36条要求，境外AI经营者若达到指定的经营指标，必须指定韩国境内代理人并向MSIT提交AI安全与合规义务报告。

在Token出海场景下，在韩国境内自研模型并通过API对外提供推理服务的企业，属于AI开发者，通过属地管辖原则受到AI基本法的规制；将已有模型能力嵌入自身AI产品或服务并对外提供的企业，则属于AI服务提供者，若其推理服务影响韩国市场，同样可以落入AI基本法的管辖范围。例如，若企业采用“韩国算力+境外运营主体”的分拆架构，该境外主体仍可能因其服务影响韩国市场而落入管辖，并进一步触发第36条的境内代理人义务。

三类AI的分层监管

与欧盟AI法案按照AI系统可能造成的风险高低划分四级，合规义务逐级增加的监管路径不同，韩国AI基本法沿“生成式AI—高影响AI—高性能AI”的技术路径设置了三类AI监管框架，合规义务可以并行存在于同一系统。

透明度义务的操作拆解

对Token出海企业，最直接、最高频适用的条款是第31条生成式AI的透明度义务，其设定的三项处于不同层面的告知义务：

• 事前告知（第1款）：提供生成式AI产品/服务前，须告知用户其基于AI运行。对企业API调用业务，在API文档、开发者协议与服务条款中载明“服务由生成式AI提供”即可完成对用户的告知；对终端消费用户的告知则须通过合同条款将该义务由企业用户向下游传导。

• 输出标识（第2款）：生成式AI的输出须标明系AI生成。实施令及配套指引区分“服务内呈现”与“可导出内容”：前者可采用界面提示等灵活方式；后者（图片、音频、视频等可下载内容）须附加清晰、持久的机器可读标识。在API调用场景下，需在API响应中以元数据字段标明“输出由AI生成”供下游传递，并对多模态输出注入持久水印。

• 深度合成告知（第3款）：对难以与真实内容区分的合成输出（即深度伪造类内容），须以显著方式告知；内容属于艺术或创作表达的，标识方式不得妨碍作品展示、欣赏。

违反第31条告知义务的，处3000万韩元以下行政罚款（第40条、第43条）。与欧盟最高3500万欧元或全球营业额7%的罚则相比，韩国的罚款数额温和得多，但对API调用业务而言，真正的威慑不在罚款本身，而在MSIT中止、纠正命令可能造成的服务中断，以及合规瑕疵对B2B客户信任的冲击。因此，透明度义务应当在产品与合同设计阶段就满足，而非冀望于事后补救。

二、《个人信息保护法》：跨境数据流动的合规重心

如果说AI基本法回答的是“服务能否提供，如何提供”，那么《个人信息保护法》（PIPA）回答的是“支撑这项服务的数据能否流动，如何流动”。PIPA由独立执法的个人信息保护委员会（PIPC）执行，以严格opt-in同意为原则。在Token出海的数据入境方向，境外用户的prompt进入韩国境内处理，只要处理行为发生在韩国境内，PIPA即适用，不以信息主体的国籍为限；在数据出境方向，训练数据、服务器运行日志与含个人信息的输出也可能会触发严格的跨境传输规则。两个方向叠加，使PIPA成为Token出海模式中合规工作量最大、执法风险最高的一部法律。

训练数据的合法性基础：“正当利益”的三步测试（第15条）

训练语料的规模与质量直接决定模型能力，而爬取公开数据是行业通行的语料来源。这使得第15条成为AI开发者绕不开的条款。PIPA以同意为原则，但第15条第1款第6号的“正当利益”可作为爬取公开数据用于训练的合法性依据，条件是通过“三步测试”：目的正当（训练用途本身合法正当）、处理必要（最小化收集、删除与目的无关的敏感信息）、利益衡量（企业利益明显优于信息主体权益）。实践中PIPC对“正当利益”的适用采取较严格的审查标准，企业须留存书面评估材料以备查验。此外，敏感信息（第23条）原则上须取得单独同意并作去标识化处理；假名化信息用于统计、科学研究等目的的，可免于同意（第28条之2），是训练场景下值得优先考虑的技术路径。

个人信息跨境传输：Token出海的最高风险点（第28条）

跨境传输规则之所以构成Token出海模式的最高风险点，主要体现在两个维度：

其一在于触发面广，“向境外提供”不仅包括主动传输，还包括个人信息被境外访问的情形，例如，境外团队远程查看韩国服务器上的日志即可能构成跨境提供；

其二在于路径封闭，与GDPR允许企业自行签署标准合同条款（SCC）完成传输不同，PIPA下企业间自签合同本身不构成独立的合法传输依据，必须落入以下五条法定路径之一：

① 取得信息主体的单独同意（就跨境传输事项单独作出，不能包含于概括性隐私政策同意之中）；

② 法律或韩国缔结的国际条约有特别规定；

③ 为履行与信息主体的合同所必需的境外委托处理或存储，且已按法定方式公开披露或告知；

④ 接收方取得PIPC认证（专项认证体系）；

⑤ 接收国获得PIPC的等效性认定（如韩国与欧盟间的双向免同意传输安排；但企业仍须核查具体业务是否落入认定范围）。

这对Token出海业务的合规启示是：凡涉及含韩国用户信息的训练数据、日志、向境外传输或被境外访问的场景，均须逐场景配置上述路径并留存依据；无法配置合法路径的数据流，应通过数据本地化、访问隔离或匿名化处理予以切断。此外，除前文路径规定的跨境传输外，还需要关注数据出境之后的算法出格。第37条之2禁止AI在未留人为干预空间的情况下，单方面做出对用户有重大影响的决定，这对B2C产品的现实冲击是即使按法定路径把用户数据传输给了境外AI厂商，这种情况下用户有权拒绝接受结果，并要求公司进行人为介入和说明。

PIPC生成式AI指南与执法先例：监管尺度的具象化

PIPC在《生成式AI开发与利用中的个人信息处理指南》中为生成式AI的“数据处理环节”划定了操作性边界，以下是4个对Token业务最具指导意义的先例：

• 用户prompt用于模型训练：将用户对话输入用于模型性能改善，可依第15条第3款“追加利用”免于单独同意，但须同时满足四项要件（与服务运营具有合理关联、通过对话界面多次告知采集事实及拒绝方法、提供可随时行使的opt-out功能、删除或过滤个人可识别信息），实质是以“透明度+退出权+去标识”换取同意豁免。

• 敏感诊疗对话的处理：服务型LLM处理医疗等敏感对话，须采用默认不存储、不用于训练的企业级API配置，并签署数据处理附录（DPA），该先例已构成为B2B交付的行业基准。

• 已有数据用于目的外用途：将既有数据用于缺乏关联性的新服务构成违法，处纠正令及课征金，故企业在以既有业务数据训练新模型前，须先完成目的关联性评估。

• 事前合规激励机制：就新技术领域与PIPC共同制定合规方案并适当履行的，可免于行政处分，为创新业务提供了确定性较高的激励通道。

总结来说， PIPA对Token业务的约束贯穿四个环节：数据入境的适用边界、数据处理的训练合法性、数据出境的跨境传输规则、以及自动化决策约束。企业需要在产品架构中预埋个人信息保护的合规逻辑，而非在违规后补交说明。

三、《产业技术保护法》：防止大模型技术外流

《防止产业技术外流及产业技术保护法》（ITPA）旨在防止产业技术的不当境外流出，由产业通商资源部（MOTIE）主管。Token模式的商业本意是“技术不出境、能力出境”：模型权重与训练技术留在韩国境内，境外用户仅获得推理结果。正因如此，ITPA在日常经营中通常并不构成障碍，单纯的Token推理输出一般不构成“技术出口”。但ITPA划定了这一模式的外部边界：一旦业务从“卖推理服务”转向“卖模型技术”，即可能触发出口管制。理解这部法律的关键，在于把握“什么技术受控”与“什么行为触发”两个问题。

什么技术受控：两级技术概念（第2条、第9条）

ITPA设置了两个层级的受保护技术：产业技术，指由相关中央行政机关首长依法指定、公告或认证的，为提高产业竞争力所必需的方法及技术信息；国家核心技术，指产业技术中经第9条程序指定的，具有较高技术、经济价值或高增长潜力，一旦流出境外将对国家安全和国民经济产生重大不利影响的技术，只有国家核心技术才触发出口审批/申报义务。国家核心技术目录由MOTIE以告示形式公布并动态调整，现以半导体、显示、二次电池、汽车、生物、造船等领域为主；通用大模型技术本身迄今未被单独列为国家核心技术，但AI与已指定技术结合的应用（如半导体设计AI）已在受控之列，且目录扩围的可能性值得持续关注。对处于灰色地带的企业，第9条第6款提供了“安全阀”：可主动申请MOTIE判定自身技术是否属于国家核心技术，以判定结论锁定合规预期。

什么行为触发：从服务出口转向技术出口

就受控技术而言，以政府研发资助开发的国家核心技术出口须经MOTIE批准（第11条第1款）；自主研发的国家核心技术出口须事前申报（第11条第4款），MOTIE认为可能严重影响国家安全的，可命令中止、禁止出口或恢复原状。第14条则一般性地禁止以不正当手段获取、使用、公开产业技术及未经批准/申报的出口行为。

对Token出海业务而言，真正需要辨识的是哪些商业动作会使业务性质从“提供推理服务”转化为“出口技术”，典型触发情形包括：向境外交付模型权重或私有化部署；为境外客户定制训练模型；向境外披露核心技术文档；以及核心技术人员携带资料离境。

其中值得单独展开的是蒸馏（distillation）风险：境外主体通过大规模、系统性的API调用获取模型输出，用以训练复制模型能力的“学生模型”。此种行为虽以正常服务调用的形式出现，但实质效果接近技术外流，除可能落入ITPA与《不正当竞争防止法》的规制外，更直接损害企业自身的核心资产。实务应对是“合同+技术”双层防线：在服务条款中明确禁止以输出训练竞争模型（反蒸馏条款），同时部署异常调用监测、速率限制与账户分级管理。

2025年7月22日修订施行后，ITPA罚则大幅加重：以在境外使用为目的实施侵害行为的，最高可处十年以下有期徒刑；国家核心技术境外泄露的罚金上限由15亿韩元提高至65亿韩元，一般产业技术境外泄露罚金上限提高至30亿韩元；故意侵权的惩罚性赔偿由三倍提高至五倍；居间介绍（brokering）技术外流被纳入处罚，违法所得没收，预备、阴谋行为亦罚（第36条）。修法信号十分明确：技术外流是韩国当前的执法高压线，涉及模型权重交付、境外定制开发的商业决策，应在交易结构设计阶段即引入ITPA审查。

四、“Token出海”场景下的合规要点

结语

当“AI API Token”遇到“加密货币 Token”，采用虚拟资产进行跨境结算正在成为中国科技企业出海的新趋势，但这类模式往往同步落入各国针对虚拟资产服务提供者（VASP）的监管视野，稍有设计不当就可能触发多地牌照与反洗钱合规要求。君合团队长期处理复杂跨境营收回流与结算架构，曾为多家跨境支付机构以及稳定币发行人提供发牌申请及业务架构合规服务，在“法币通道+虚拟资产通道”并行设计方面积累了丰厚实践经验。我们可以协助 AI 企业在韩国及其他重点司法辖区下，搭建兼顾监管期待与业务效率的“法币+加密资产”合规结算闭环。

优秀的商业合同是企业全球化和“Token 出海”的第一道防线。君合团队不仅常年服务TMT 头部企业，也在近一轮 AI 出海浪潮中直接参与多家知名 AI 科技公司的核心 API 合作开发与授权协议起草、谈判及架构优化。我们擅长将前沿隐私技术与精细化法律条款结合，通过技术隔离、权限控制与合同约定的多重设计，实现数据与算力在跨境场景下的稳健分层与风险隔离。

君合虚拟资产与金融科技团队

我们持续密切关注世界各地对区块链、虚拟资产监管的发展动向，在相关法律领域具有丰富的知识和经验。我们已经为众多机构客户及Web3企业在香港及其他国家地区发展虚拟资产及相关业务提供法律意见。

我们曾就稳定币及虚拟资产相关活动的合规要求发布以下文章，欢迎关注：

(1) 有关新加坡AI监管框架， 可参阅我们早前发布的「新加坡AI监管框架概览及企业合规指引」一文。

(2) 有关欧盟《人工智能法案》相关监管， 可参阅我们早前发布的「欧盟《人工智能法案》（AI Act）相关监管要求概览」一文。

(3) 有关香港将针对就虚拟资产提供意见及虚拟资产管理新设牌照制度，可参阅我们之前发布的「香港将针对（1）就虚拟资产提供意见（VA Advisory）及（2）虚拟资产管理（VA Management）新设牌照制度」一文。

(4) 有关香港支付公司相关牌照简介， 可参阅我们早前发布的「香港支付公司相关牌照简介」一文。

(5) 有关香港人工智能相关监管，可参阅我们早前发布的「香港人工智能(AI)相关监管要求概览」一文。

(6) 有关美国数字资产立法最新进展，可参阅我们早前发布的「美国数字资产立法最新进展：参议院银行委员会正式通过 《CLARITY法案》」一文。

(7) 有关证监会开放代币化产品二级市场交易，可参阅我们早前发布的「香港RWA代币化新时代：证监会开放代币化产品二级市场交易」一文。

(8) 有关黄金RWA代币化,可参阅我们早前发布的「2026香港Web3新机遇 - 黄金RWA代币化」一文。

(9) 有关中国大陆监管部门针对虚拟货币及境内资产境外代币化项目的最新监管动向，可参阅我们早前发布的「虚拟货币及RWA新规出台 - 为境内优质资产境外代币化打开大门」一文。

(10) 有关香港财库局及证监会发布的虚拟资产交易服务咨询总结的解读，可参阅我们早前发布的「香港将针对虚拟资产交易、就虚拟资产提供意见、虚拟资产管理设立新的牌照制度」一文。

(11) 有关香港财库局及证监会发布的虚拟资产托管服务咨询文件的解读，可参阅我们早前发布的「香港将针对虚拟资产托管服务建立监管制度」一文。

(12) 有关香港证监会有关虚拟资产交易平台提供质押服务的通函解读，可参阅我们早前发布的「香港开放虚拟资产质押（Staking）（上篇）：深度解析香港证监会《有关虚拟资产交易平台提供质押服务的通函》」及「香港开放虚拟资产质押（Staking）（下篇）：一文读懂香港证监会《有关中介人虚拟资产相关活动的补充联合通函》」。

(13) 有关金管局为稳定币发行人提供监管指引而推出的《有关受规管稳定币活动的建议反洗钱及反恐怖分子资金筹集（AML/CFT） 要求的咨询文件》及《监管持牌稳定币发行人的指引草案》咨询文件，可分别参阅我们早前发布的「香港稳定币时代正式启航 —— 上篇：《稳定币条例草案》通过开启新篇章」及「香港稳定币时代正式启航 —— 下篇： 金管局指引咨询解密 - 发行人及分销商需知要点」。

(14) 有关香港金管局就在香港实施巴塞尔银行监管委员会对于银行持有加密资产的风险敞口相关的监管标准发布咨询文件，可参阅我们早前发布的「香港将实施有关银行持有RWA, 稳定币及比特币等加密资产的监管标准」一文。

(15) 有关美国推行《指导与建立美国稳定币国家创新法案》的法案重点，可参阅我们早前发布的「美国《GENIUS法案》 揭幕： 美元稳定币引领全球金融新篇章」一文。

(16) 有关香港政府刊登的《稳定币条例草案》的核心内容及申牌要点，可参阅我们早前发布的「香港稳定币时代加速到来 —— 香港 《稳定币条例草案》立法全速推进」一文。

(17) 有关香港金融管理局推出的数码债券资助计划，可参阅我们早前发布的「香港金融管理局推出“数码债券资助计划”」一文。

(18) 有关《在香港实施稳定币发行人监管制度的立法建议 - 咨询总结》的具体内容以及金管局推出的沙盒安排，可参阅我们早前发布的「一文读懂香港稳定币发行人牌照制度」一文。

(19) 有关《在香港实施稳定币发行人监管制度的立法建议 - 咨询文件》的具体内容以及金管局推出的沙盒安排，可参阅我们早前发布的「稳定币发行人可以开始申请加入香港金管局沙盒（Sandbox）安排」一文。

(20) 有关金管局对稳定币业务监管进行公众咨询得出的结论，可参阅我们之前发布的「香港金管局拟就经营稳定币业务设立强制性发牌制度」一文。

(21) 有关香港政府于2024年2月8日发布的《有关规管虚拟资产场外交易的立法建议》的公众咨询文件的详情，可参阅我们之前发布的「香港OTC立法咨询 - 为虚拟资产交易监管填补空白」一文。

(22) 有关证监会于2023年11月2日发布的两份与代币化证券相关的通函，可参阅我们之前发布的「代币化证券（Tokenised Securities）：香港金融市场新趋势」一文。

(23) 有关证监会与香港金融管理局于2023年10月20日发出的《有关中介人的虚拟资产相关活动的联合通函》之内容，可参阅我们之前发布的「金融机构在香港提供虚拟资产相关活动（包括代币化证券业务）的最新监管导向」一文。

(24) 有关香港金融科技及Web3领域相关牌照简介，可参阅我们之前发布的「香港金融科技及Web3领域相关牌照简介 - 一文读懂香港信托或公司服务提供者（TCSP）、储值支付工具(SVF)及金钱服务经营者(MSO)牌照」一文。

(25) 有关美国、新加坡、香港对于稳定币的最新监管情况，可参阅我们之前发布的「浅谈全球稳定币监管（二）：美国、新加坡、香港稳定币立法趋势比较」一文。

(26) 有关证监会于2023年2月20日发布的《有关适用于获证券及期货事务监察委员会发牌的虚拟资产交易平台营运者的建议监管规定的咨询文件》的详情，可参阅我们之前发布的「香港证监会就虚拟资产交易平台牌照（1、7号牌照及VASP牌照）申请要求展开咨询」一文。

(27) 有关香港特区政府于2022年10月31日发布的《关于在香港发展虚拟资产的政策宣言》的详情，可参阅我们之前发布的「确保Web3创新发生在香港 – 香港就推动建设虚拟资产中心发布政策宣言」一文。

(28) 有关证监会对VASP的监管体系，可参阅我们之前发布的「香港将针对虚拟资产服务提供商建立发牌制度」一文。

(29) 有关美国加密资产法案的讨论，可参阅我们之前发布的「美国Lummis-Gillibrand 加密资产法案要点解析」一文。

(30) 有关全球各主要国家及地区对于稳定币的监管情况，可参阅我们之前发布的「浅谈全球稳定币监管」一文。

声 明

《君合法律评论》所刊登的文章仅代表作者本人观点，不得视为君合律师事务所或其律师出具的正式法律意见或建议。如需转载或引用该等文章的任何内容，请注明出处。未经本所书面同意，不得转载或使用该等文章中包含的任何图片或影像。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。