判断企业是否需要立即启动 EO 14117 合规治理，本质上看三件事：是否涉及美国人的受保护敏感数据、是否达到批量（bulk）门槛、以及这些数据是否通过受涵盖交易流向中国等“关注国家”（Countries of Concern）。美国第14117号行政令直接限制关注国家的企业或个人获取美国人敏感数据，主体规则2025年4月8日生效、部分审计与报告要求2025年10月6日生效，违规可能面临刑事责任与千万美元级别罚款。三个条件同时满足，企业就已落入监管范围。

TL;DR

• EO 14117 的适用取决于三个条件同时成立：涉及美国人的受保护敏感数据、达到批量门槛、通过受涵盖交易流向关注国家或“受涵盖人”。
• 关注国家包括中国、俄罗斯、伊朗、朝鲜、古巴、委内瑞拉；实施细则编入 28 CFR part 202，由司法部国家安全司（NSD）执行。
• 时间线：主体规则2025年4月8日生效，年度审计与报告等要求2025年10月6日生效；违规叠加刑事责任与高额民事罚款。
• 六类受保护敏感数据 + 政府相关数据是自测的红线项；盲目启动全面审计可能浪费资源，先做必要性判断更务实。

先判断是否落入范围：三个条件

EO 14117 不是对所有跨境数据一刀切，而是用三个条件圈定范围。先自问以下三点，任一不成立通常就不在核心监管内。

1. 数据主体是不是美国人：是否采集、持有或能访问美国居民的个人数据。仅涉及非美国人数据的场景通常不落入本行政令。
2. 是不是受保护的敏感数据、且达到批量门槛：行政令针对特定敏感数据类别，并按涉及的美国人或设备数量设定批量门槛，未达门槛的零散数据一般不构成“批量敏感数据”。
3. 是否通过受涵盖交易流向关注国家：数据是否经由数据中介（data brokerage）、供应商协议、雇佣协议或投资协议等受涵盖交易，被关注国家的实体或“受涵盖人”（covered persons）获取或访问。

关于宽限期与早期应对节奏，可参考14117正式生效，如何善用90天宽限期；官方合规建议见14117生效之后企业如何应对：NSD 发布 FAQs。

红线自检：六类敏感数据

实施细则（编入 28 CFR part 202）明确了受保护的敏感数据类别，这几类是自测时的高危红线项：

• 人类组学数据（human genomic data）与相关生物样本；
• 生物识别标识符（biometric identifiers）；
• 精确地理位置数据（precise geolocation）；
• 个人健康数据（personal health data）；
• 个人财务数据（personal financial data）；
• 受保护的个人标识符（covered personal identifiers）。

此外，政府相关数据（government-related data）单独受限，不设批量门槛。企业若在广告、智能硬件、健康或金融类应用中触及上述任一类别，应优先排查其跨境流向。中美“数据脱钩”的规则背景，可参考美国司法部发布数据跨境传输最终规定。

别急着全面审计：先做必要性判断

不少企业一收到风险提示就想全面启动数据审计、分类分级与跨境审批制度建设，但盲目铺开可能投入大量人力资金，最终不一定命中政策核心要求；犹豫不决又可能错失整改窗口期。更务实的路径是先做必要性判断：用上面的三个条件和红线清单快速筛查，确认自己是否真的落入范围、落入哪些场景，再决定投入规模与优先级。

必要性判断通常包含三步：定位企业公开信息与业务中与 EO 14117 关联的场景，对照红线清单自查高危项，最后输出风险评级与是否需要启动治理的结论。执法并非只靠 NSD 直接行动，举报激励与私人诉讼已在补位，详见EO 14117 生效一周年：举报激励与私人诉讼补位执法；私法诉讼如何援引行政令，可参考Lenovo、Temu、Google 涉华数据传输诉讼解读。

一点提醒

以上自测用于初步风险筛查，帮助企业判断是否需要以及以何种优先级启动 EO 14117 合规治理，不构成法律意见或合规承诺。落入范围后的详细实施，仍需结合企业数据资产的深度审计、数据流向梳理与权限现状核查。行政令原文与实施细则可查阅美国司法部国家安全司页面 https://www.justice.gov/nsd 。