数据位置
控制面、执行环境、代码与产物都在你部署它们的地方运行。已连接的模型端点决定请求数据的去向——请逐条梳理每个路由。参见<a href={`/${localeInfo[locale].prefix}/glossary/#data-residency`}>数据驻留</a>。
部署场景 · 已核对 2026-08-05
受监管行业的 AI 编码：掌控控制，保留证据。
金融、医疗与公共部门的团队在采纳 AI 编码时，面对的是大多数工具当初并未为之设计的义务：数据驻留、可审计性、保留与供应商风险。一个可自托管的开源平台可以把这些控制放到边界属于你的一侧——本页梳理哪些控制、应产出什么证据、以及哪些仍是你的责任。这里没有任何内容是认证或法律意见。
为什么可自托管在此很重要
监管机构会问起的控制都在你这一侧。
可用不等于自动：下面每一项控制仍然需要在你的部署中配置、测试并提供证据。
出站与隔离
出站白名单、网络分段，以及在需要时的完全<a href={`/${localeInfo[locale].prefix}/air-gapped/`}>气隙运行</a>，都由你负责执行与监控。
可审计性
每任务执行日志、评审关卡与凭据记录，支撑监管机构期望的审计追踪。参见<a href={`/${localeInfo[locale].prefix}/architecture/`}>架构与信任边界</a>。
许可证透明度
AGPL-3.0 源码可得性让你的安全团队能够检查实际运行的内容。修改或网络服务相关的义务需要<a href={`/${localeInfo[locale].prefix}/license/`}>合格的法律评审</a>。
证据包
合规评审应当收到什么。
这些要从你自己的部署中产出；没有任何供应商页面能替你提供。
01 · 数据流图
每一个边界——源代码控制、模型端点、软件包、日志、备份——都要有负责人、凭据、保留规则与允许的路径。从<a href={`/${localeInfo[locale].prefix}/security/`}>安全与数据流边界</a>入手。
02 · 凭据策略
对智能体任务可观察到的每一项凭据，明确其范围、有效期与轮换，并演练撤销流程。
03 · 评审关卡记录
哪些操作需要人工批准——合并、部署、依赖变更——以及证明评审关卡得到执行的日志。
04 · 试点结果
使用<a href={`/${localeInfo[locale].prefix}/pilot-methodology/`}>试点方法论</a>和<a href={`/${localeInfo[locale].prefix}/coding-agent-evaluation-dataset/`}>开放数据集结构</a>，记录有边界试点中的任务、结果、评审工作量与失败，形成可复现的记录。
监管背景
先读分析，再寻求法律意见。
这些是以工程为核心、附有来源与局限的分析——不是法律顾问。
欧盟 AI 法案时间线
按角色与日期，哪些义务会触及 AI 编码工具的使用。<a href={`/${localeInfo[locale].prefix}/blog/eu-ai-act-ai-coding-tools-timeline/`}>阅读时间线</a>。
代码隐私与治理
在各类工具中保持专有代码的私密性，并治理未经授权的使用。<a href={`/${localeInfo[locale].prefix}/blog/keep-proprietary-code-private-ai-coding-tools/`}>数据治理指南</a> · <a href={`/${localeInfo[locale].prefix}/blog/shadow-ai-governance-engineering/`}>影子 AI</a>。
所有权与许可
AI 生成代码的著作权，以及需要与法律顾问一起评审的 AGPL-3.0 合规问题。<a href={`/${localeInfo[locale].prefix}/blog/who-owns-ai-generated-code-copyright/`}>所有权分析</a> · <a href={`/${localeInfo[locale].prefix}/blog/agpl-3-compliance-ai-coding-tools/`}>AGPL 指南</a>。
安全态势
面向执行代码的智能体的 OWASP 对齐控制，以及一次公开的智能体入侵事件的经验教训。<a href={`/${localeInfo[locale].prefix}/blog/securing-ai-coding-agents-owasp-checklist/`}>OWASP 检查清单</a> · <a href={`/${localeInfo[locale].prefix}/blog/hugging-face-agent-run-intrusion-ai-coding-platforms/`}>事件分析</a>。
常见问题
受监管行业的采纳，逐一回答。
相关阅读：<a href={`/${localeInfo[locale].prefix}/answers/is-monkeycode-safe-for-proprietary-code/`}>专有代码安全</a>、<a href={`/${localeInfo[locale].prefix}/answers/does-monkeycode-send-code-externally/`}>外部传输</a>、<a href={`/${localeInfo[locale].prefix}/answers/is-self-hosting-private/`}>自托管隐私</a>。
MonkeyCode 是否通过了受监管行业认证？
本站不作出任何认证声明。MonkeyCode 是一个开源平台（AGPL-3.0），其公开文档描述了私有与离线部署方式。某次具体部署是否满足你的监管义务，取决于你如何配置、运营和审计它——也取决于你自己的合规评审。
为什么受监管行业的团队会考虑自托管 AI 编码平台？
因为监管机构关心的控制——数据位置、出站、凭据、日志、保留与可评审性——在自托管部署中都落在你这一侧。控制是可用而不是自动的：每一项仍然需要配置并提供证据。
欧盟 AI 法案适用于使用 AI 编码工具的团队吗？
欧盟 AI 法案主要按风险等级监管 AI 系统的提供方与部署方；大多数编码助手的用法不在高风险类别之内，但义务取决于你的角色与用例。请参见我们的欧盟 AI 法案时间线分析，并寻求法律意见——本站不是法律顾问。
合规评审应当索取哪些证据？
一份标注每个边界负责人（源代码控制、模型端点、日志、备份）的数据流图、每任务执行日志、凭据范围与轮换策略、出站记录，以及可复现的试点结果记录。营销声明不是证据。
专有代码能留在我们的边界之内吗？
自托管让你有能力把代码、提示词与产物保留在网络内，但已连接的模型端点决定了请求数据实际上会流向哪里。逐条核实每个路由——参见关于代码隐私与外部传输的直接答案。
从证据开始