# 企业 AI / FDE 项目供应商 RFP 核对清单

> 使用说明：删除不适用项，要求供应商提供可核验的合同条款、架构材料和演示证据。此模板不构成法律或采购意见。

## 1. 业务范围与成功标准

- 目标用户、工作流和不在范围内的事项是什么？
- 供应商负责发现、原型、集成、生产上线、培训和运维中的哪些部分？
- 验收指标的基线、分母、样本、时间窗和数据负责人是谁？
- 哪些失败不可接受？继续、暂停和终止条件是什么？

## 2. 架构与集成

- 提供目标架构、数据流、信任边界和外部依赖图。
- 支持哪些身份、权限、审计、API、事件和数据同步方式？
- 模型、Prompt、检索、工具和工作流如何版本化、测试和回滚？
- 现有系统不可用时如何超时、重试、熔断、降级和恢复？

## 3. 数据、隐私与安全

- 输入、输出、反馈、日志和备份分别如何使用、存储和删除？
- 数据位置、子处理者、支持人员位置和跨境路径是什么？
- 数据是否用于训练或产品改进？如何通过合同和配置关闭？
- 支持哪些加密、密钥管理、SSO、最小权限和审计能力？
- 如何测试提示注入、越权检索、工具越权和敏感信息泄露？
- 安全事故的通知、响应、取证、修复和责任条款是什么？

## 4. 质量与评测

- 如何共同建立代表性评测集和不可接受错误分类？
- 如何记录领域专家评分、分组表现、人工修改和线上反馈？
- 模型或系统变更前如何运行回归？失败阈值是什么？
- 哪些质量数字经过客户确认，哪些只是供应商内部测量？

## 5. 生产运行

- 可用性、延迟、恢复、数据恢复和支持服务目标是什么？
- 提供哪些日志、追踪、质量监控、费用预算和告警？
- 是否支持灰度、功能开关、停止开关和安全降级？
- 值班、升级路径和严重事故沟通机制是什么？

## 6. 商务、知识产权与退出

- 一次性建设、用量、席位、存储、支持和超额费用分别如何计价？
- 客户数据、代码、Prompt、评测集、配置和衍生成果分别归谁？
- 如何导出数据、配置、评测和运行记录？采用什么格式？
- 终止后多久删除数据和备份，如何证明？
- 替换模型或供应商需要哪些迁移工作和费用？

## 7. 要求供应商提交的证据

- [ ] 架构图与数据流图
- [ ] 安全与隐私材料、子处理者清单
- [ ] 示例评测报告与回归流程
- [ ] SLA / 支持与事故响应说明
- [ ] 价格假设和成本上限机制
- [ ] 数据导出与退出演示
- [ ] 两个可联系的相近场景客户参考（经客户同意）
- [ ] 已知限制、路线图依赖与尚未交付能力清单

最后更新：2026-08-05