用途
vendor-ai-review 是 claude-for-legal 插件中 ai-governance-legal 技能集下的一个技能，用于审查供应商的 AI 条款。它面向的立场固定为：本方是部署方或买方，正在审查供应商的条款。这与 DPA 审查中控制者/处理者的立场问题不同，不存在立场翻转。
供应商 AI 条款是治理立场真正受到检验的地方。冷启动访谈记录的是本方想要什么，而本技能检查的是本方实际同意了什么，并标记两者之间的差距。
主要能力
- 逐条审查核心 AI 条款：数据训练、输入保密性、模型变更、输出所有权/知识产权、输出责任、事件通知、人工复核权、使用限制、审计/可审计性、子处理者/模型提供方、数据驻留、期限与终止。
- 堆叠供应商问责分析：判断该供应商是模型提供方，还是他人模型的部署方（如 Claude、ChatGPT、Gemini 的 SaaS 封装），或基础设施托管基础模型的转售方（Anthropic-on-Bedrock、Claude-on-Vertex、OpenAI-on-Azure）。若是后者，则存在两套供应商条款，需识别谁管辖输入训练、保留与安全，谁对模型行为承担合同责任，以及上游承诺是否向下传递到本方。
- AI 附录缺口检查：若存在 DPA 但无 AI 附录，指出 DPA 未覆盖的 AI 特定事项。
- AI 政策一致性比对：将供应商条款与本方 AI 政策承诺交叉核对，标记冲突。
- 红线建议：按最小粒度编辑原则给出具体红线语言。
- 输出结构：底线结论、逐条分析、建议红线、对方不让步时的路由。
使用方式
调用形式为 /vendor-ai-review，可附带文件，例如：
/ai-governance-legal:vendor-ai-review openai-enterprise-agreement.pdf
技能首先读取 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md，确认供应商治理立场已填充；若未填充则停止并引导至设置。随后确认文档类型（AI 附录 / 主协议 AI 条款 / ToS）。若仅提供 AUP，则要求提供完整条款。
若 CLAUDE.md 含 [PLACEHOLDER]，会提示尚未配置实践档案，提供两个选择：运行 /ai-governance-legal:cold-start-interview（约 2 分钟）配置档案后按本方立场审查；或说 "provisional" 按通用默认值（美国司法辖区、中等风险偏好、律师角色、无 playbook）审查，并将输出标记为 [PROVISIONAL]。
若用户未分享实际供应商条款，技能会要求提供实际合同语言。若仅分享 AUP，会说明 AUP 只说明本方不能做什么，不涉及商业条款。
适用场景
- 审查独立的 AI 协议或 AI 附录（结构最清晰）。
- 审查嵌入 AI 条款的供应商通用服务条款（常被埋没）。
- 审查可接受使用政策（仅说明本方限制，不涉及供应商对本方数据或输出的处理）。
- 审查组合文件：主协议 + DPA + AI 附录（严肃企业级 AI 供应商常见）。
当已有 DPA 时，本审查是补充而非替代：DPA 管辖数据保护义务，AI 条款管辖模型特定权利与风险，两者都需审查。
限制
- 默认立场来自团队 playbook，而非本技能本身。若 CLAUDE.md 未定义某条款立场，技能会询问默认立场、可接受回退与自动否决，并建议加入 CLAUDE.md。
- 严重度评级：🟢 对齐；🟡 注意（在回退范围内但差于标准）；🟠 重大（超出标准但在回退内，签署前需红线）；🔴 关键（超出回退，未解决不应部署）。
- 在建议签署供应商 AI 协议前，若 CLAUDE.md 中 ## Who's using this 的 Role 为 Non-lawyer，会设置法律审查门槛，需明确回答已咨询律师方可继续；审查/红线草稿供律师考虑不需要该门槛，签署才需要。
- 输出带有工作成果页眉，并提示该审查源自通常受 NDA 保密的供应商合同条款，可能本身受特权保护，超出特权圈分发可能放弃特权并违反 NDA。
- 红线建议需在对外发送前与律师复核；对无回退的关键问题，标记升级而非提出语言。
- 关于数据训练条款，技能强调不要凭声誉或过往经验假设任何供应商的当前立场，必须阅读具体协议并以书面确认。
- 关于具体收费、价格、平台支持范围等事实，资料未提供。