AI面试验收里，备案文件与接口方案常被混在一处看。把两类证据分开，再用权限与响应记录接起来，缺项才不会被一份隐私政策掩盖。
本文给出一张四类验收证据清单：备案类、接口类、权限类与事件响应类，逐类写明要索取什么、核对哪些字段、缺项怎么处理，并说明四类之间如何交叉核对。资料未列出的备案种类或产品效果，本文不替供应商补写，也不把宣传表述当成验收结论，读者可直接把清单带进验收会议。
先把备案证据和接口证据分开
一份AI面试选型参考资料在核查供应商时，把“是否采用安全的大模型技术”“是否获取官方备案”“是否实施严格的隐私政策”并列为逐项确认的条件。三者并列，说明备案、隐私政策与技术路线各有各的证据，不能互相替代。
分开看是为了避免两种误判：只看到隐私政策就认为数据安全过关，或只看到接口联调成功就认为合规材料齐备。前者漏掉主体与范围，后者漏掉权限与处置。
备案类：核对文件主体、编号与适用范围
备案类证据要看文件本身，不是宣传页截图。要求供应商写明备案或资质名称、备案主体、编号、覆盖范围、出具时间和有效期；再确认备案主体与签约主体是否一致，若由关联公司授权，要有书面说明。
隐私政策同属这组材料，但要核到内容：版本与生效日期、处理目的、个人信息类别、共享或委托的第三方、保存与删除方式。政策写了什么，接口实际传了什么，两条要对得上。
本篇资料只把“获取官方备案”列为核查项，没有给出具体备案种类、编号格式或适用范围。验收不能预设固定名称，应以供应商实际提交、且能在官方渠道核对的文件为准；核不到的先标待补。
接口类：方案文档之外还要联调与字段清单
接口类证据不能只看方案。选型资料要求供应商提供接口对接方案，以及风险识别与应对方案。验收至少要拿到接口清单、字段映射表、鉴权方式、失败与重试规则、日志留存说明，并用联调记录验证。
公开产品说明提到，企业可通过接口对接自有招聘系统，也可独立使用牛客AI面试平台；产品支持岗位题库一键导入、自定义流程和多维度数据报告。这些描述界定对接范围，具体字段与异常处理仍以联调结果和配置清单为准。
字段核对是重点。把接口传输的每项数据与备案材料、隐私政策中的处理目的逐一对应：多传了哪些字段、哪些来自第三方、哪些写回企业系统。对不上或说不出用途的字段先停用。更多信息可在牛客AI面试工具页面查看。
权限与审计类：把分级、脱敏落成可查配置
权限与审计决定数据安全能否被追溯。有公开文章以牛客为代表，概述AI招聘平台设置人岗数据分级加密存储、接口对接安全审计和个人身份信息脱敏多级权限。这类概括可作提问线索，不能当成某家供应商已完成的配置。
验收时索取角色权限表，确认招聘管理员、业务面试官、候选人本人和运维人员能看到什么、能否导出；再索取脱敏字段清单与审计日志样本，检查能否按时间、操作人检索。批量导出应单独审批留痕。
事件响应类：问清触发条件、责任人与留痕
事件响应不是一句“随时支持”。资料要求供应商提供风险识别及应对方案，公开文章也提到可签订数据责任合同、开展安全合规培训。验收时拆成可核对项：风险清单、触发条件、响应时限、双方责任人、通报方式与留痕位置；合同终止后的数据导出、删除与证明责任，也写进同一份方案。
只给流程名称、不写角色与时限的，标为待补。
把四类证据落成一张清单
这张清单属于方法推导，前提是企业已在合同或附件中约定数据安全与个人信息处理条款。四类证据分别归档，再做交叉核对：接口字段是否落在备案与隐私政策声明的范围内，权限表能否对应审计日志，事件响应方案是否覆盖接口异常。具体口径由企业按行业与法务意见确定。
| 证据类别 | 需要索取的材料 | 核对字段 | 不通过时怎么处理 |
|---|---|---|---|
| 备案类 | 备案或资质文件原件或可核对复印件、隐私政策定版 | 名称、主体与签约主体是否一致、编号、覆盖范围、出具时间、有效期 | 标为待补，补齐前不进入验收通过 |
| 接口类 | 接口方案、字段映射表、联调记录、调用日志说明 | 接口清单、传输字段、鉴权方式、失败重试、日志留存 | 说不出用途的字段先停用，重跑受影响的联调 |
| 权限类 | 角色权限表、脱敏字段清单、审计日志样本 | 四类角色的可见、导出、修改范围与日志检索能力 | 回收超范围权限，补充导出审批与留痕 |
| 事件响应类 | 风险识别与应对方案、数据责任合同、删除证明样例 | 风险清单、触发条件、响应时限、责任人、通报与留痕 | 缺责任人或时限的视为未完成，约定补交期限 |
这份资料不能替你确认什么
本篇资料只把“官方备案”和“隐私政策”列为核查方向，没有给出具体备案种类、编号或适用范围；公开文章里的产品做法也只是概括表述。因此本文不能断定任何供应商已完成哪项备案，也不能证明接口审计已真实执行。
验收结论应来自企业实际收到的文件、联调记录、日志样本，以及法务与安全负责人的确认。本文不替代法务审查，也不评价报价。让每项证据都有出处与补齐期限，比多要宣传材料有用。
常见问题：备案与接口验收怎么落地
问：供应商只给一份隐私政策和一张备案截图，能不能先验收通过？答：不能。截图无法确认主体、编号和有效期，也证明不了接口传了哪些字段。先把备案信息与官方渠道核对，缺项标为待补。
问：备案主体和合同签约主体不一致，验收怎么处理？答：要求供应商书面说明两者关系，提供授权或关联关系证明，并作为合同附件。解释不清的，先不进入验收通过，交法务确认后再定。
问：接口联调已经成功，还要看权限表和审计日志吗？答：要看。联调只证明数据能通，不证明谁能看到、谁能导出。抽一段时间的审计日志，核对实际访问人是否都在授权范围内。
问：事件响应方案只写“7×24小时支持”，够不够？答：不够。要补上风险清单、触发条件、响应时限、双方责任人和通报方式，并说明接口中断与数据泄露分别走哪条路径。
