产品由多种成果共同组成；如果只确认代码归属，模型配置、数据集或设计文件仍可能被个人或供应商控制。

建立成果清单，逐项写明创作者、形成时间、权利人和授权范围，并让劳动、顾问或外包协议与之对应。

拿到可运行结果不等于拿到继续维护和商业使用的权利，未知的开源许可证还可能限制分发或闭源。

验收清单包含源文件、构建说明、账号权限、依赖及许可证列表，并约定付款后哪些权利转移给公司。

不同知识产权保护的对象不同：商标保护品牌识别，软件著作权证明软件表达，专利保护符合条件的技术方案。

先保护正在使用的品牌和核心软件版本；专利根据技术价值、公开风险与预算单独评估，不为数量而申请。

可追溯记录能证明谁在何时形成了哪些成果，也能避免关键代码、密钥或部署能力只掌握在个人手中。

使用公司控制的仓库和账号，保留提交、发布、审查和成员权限记录，人员离开时立即完成权限回收。

客户把数据交给公司，不一定代表公司可以把它用于训练、转交第三方或长期保存；每种用途都需要明确依据。

画出数据来源与用途表，让合同、隐私说明和产品实际行为一致；用途变化前重新评估并取得必要授权。

多收集的数据会扩大泄露影响、合规责任和安全成本，却未必增加产品价值，这就是数据最小化。

为每个字段写出对应功能和保留理由；无法回答“删掉会影响什么”的字段，默认不收集或尽快删除。

三类数据的来源、敏感度和授权边界不同。直接拿生产数据调试或训练，最容易造成越权使用和泄露。

分开环境、账号和存储空间；测试优先使用脱敏或合成数据，训练数据单独登记来源、授权和版本。

数据安全不只是防止外部攻击，还要限制内部不必要访问，并在到期、离职或事故发生时有明确动作。

按岗位授予最小权限，季度复核；为主要数据写出保存期限、删除负责人、备份规则和事件上报流程。

服务对象决定数据流、内容风险、合同责任与监管要求；企业内部工具和面向公众的产品不能按同一套边界判断。

在产品定义中写明谁能注册、谁提供数据、谁承担最终决策，并把可能扩展到公众的功能单独评审。

这四类因素会显著提高错误、滥用、歧视或泄露的后果，产品不能只按普通软件功能评估。

上线前做一张风险清单，标出数据类型、输出用途、影响对象和人工复核点；高风险功能先缩小场景。

不同服务方式和开放范围可能触发不同义务，而且要求会更新，不能凭产品名称或同行做法直接推断。

把功能、用户范围和数据流交给专业人士对照最新正式文件核验，并记录结论、依据、日期与责任人。

医疗、金融、教育等行业里，辅助工具与直接作出专业判断的产品可能承担完全不同的准入和责任。

先限定产品用途和禁止用途，再核查客户资质、公司许可、宣传措辞、人工复核和事故责任，不确定时先做低风险环节。

客户认为的“项目完成”往往不仅是功能上线，还包括系统连接、可用环境、人员会用和资料齐全。

把每项交付物写成可点收的名词，并列出格式、数量、版本、交付日期和接收人。

项目延期经常来自客户侧依赖没有准备，但如果合同没有写明，公司仍可能独自承担进度压力。

建立双方责任表，给每项客户配合设置负责人、截止日和逾期影响，启动会逐项确认。

只有指标没有测试方法，双方仍可能得出不同结果；修改次数无限，也会把固定项目变成无底洞。

约定样本、环境、通过阈值和签字人，并让预付款、阶段款和尾款分别对应明确的可验收成果。

缺陷修复、需求变化、运营支持和第三方故障性质不同，全部叫“售后”会持续侵蚀利润。

列出免费期、响应时间和缺陷定义；新增功能、驻场或超出服务级别的工作使用单独报价与变更单。