ODI备案敏感行业清单扩容——你做的行业可能已经被"盯上了"

如果你正在筹备 ODI 备案，或者已经在境外有投资项目，做的又是 AI、算力、数据中心、量子技术、生物识别、矿产相关的业务，建议花 5 分钟看完。2026 年敏感行业清单大幅扩容后，不少老板是在材料被退回的那一刻，才发现自己做的这件事已经被装进了需要国家级核准的范围。

一、敏感行业清单到底扩容了什么

2025 年底，国家发改委与商务部通过配套细则，对敏感行业清单进行了史上最大规模的扩容。

以前提起 ODI 敏感行业，老板们脑子里的印象是房地产、酒店、影城、娱乐业——这些是「非理性投资」的老面孔，大家基本都知道不能碰。

但 2026 年的扩容，新增的是另一个方向的领域：

• 人工智能基础设施。不仅包括算法出口，更涵盖用于 AI 训练的算力中心、数据中心出海。监管的重点在于数据出境安全，以及算力被用于军事或公共安全的潜在风险。
• 量子计算与 6G 技术。涉及量子通信、量子精密测量及第六代移动通信标准的研发与投资。鉴于其颠覆性潜力，无论投资金额大小，一律实行实质性核准。
• 生物识别。包括指纹、虹膜、人脸识别技术及数据库的境外投资。监管的担忧在于，海外生物特征数据若被反向利用，可能对国家安全构成威胁。
• 战略矿产资源开发。锂、钴、稀土、石墨等关键矿产的境外收购或参股。即使项目位于友好国家，只要涉及核心矿产权益，均需进行严格的国家安全审查。

案例：有做数据中心配套设备的老板，去年想去马来西亚设一个算力中心，材料递上去一个月后被退回，驳回理由写得很简洁：「拟投资项目涉及人工智能基础设施，属于敏感行业，须走国家发改委核准程序。」他一直觉得自己做的是「设备制造」和「数据中心运营」，从来没想过这行已经被划进了需要国家级核准的范围。他不是做错了什么，只是敏感行业清单扩容之后，他做的这件事被装进去了。

二、核准和备案，差别到底有多大

很多老板可能觉得，「核准」和「备案」不就是换个说法吗？差别很大。

普通的非敏感项目走备案制，地方发改委就能受理，材料齐全的情况下 7 到 15 天就能办结。审核侧重的是材料是否完整、信息是否准确。

而敏感行业项目走的是核准制，无论投资金额大小，一律由国家发改委审批。审核逻辑从「看材料」变成了「看实质」——你的项目对国家技术安全和产业安全有什么影响？技术会不会外流？数据会不会出境？地缘政治风险怎么评估？

审核周期也完全不同。敏感行业项目的审核周期通常在 90 到 180 天，比普通备案长了十倍不止。而且需要的材料也更多：普通备案提交可研报告和投资协议就行，敏感项目还得额外提交技术安全评估报告、地缘政治风险评估报告、数据出境安全评估等专项材料。

说白了，备案是「通知一声」，核准是「审批同意」。敏感行业项目从备案变成核准，意味着你的出海计划从「告诉国家我要做这件事」变成了「国家同意我才能做这件事」。

三、多层SPV绕道，这条路已经走不通了

有老板可能会想：我不直接投算力中心，我先在香港设一层公司，再通过香港投到一个第三方国家的 SPV，最后再由这个 SPV 去投算力项目。中间隔了几层，监管看不透吧？

看不透？监管现在看的恰恰就是这个。

2026 年的穿透式监管，核心原则叫「最终目的地原则」——监管部门要求企业申报 ODI 时，必须穿透中间层级的投资架构，明确资金和资源的最终投放地或运营实体所在地。无论企业是通过香港、新加坡等中间平台设立 SPV，还是通过多层股权架构进行投资，监管机构都要追踪到投资标的的「实际落脚点」。

翻译成大白话：不管你架了几层 SPV，监管会一直往下看，看你最终把钱投到了哪里、投给了谁、用来做什么。

案例：如果你的路径是「国内公司 → 香港SPV → 开曼SPV → 目标公司（涉及 6G 研发）」，审核人员会直接穿透香港和开曼公司，认定你投资了 6G 敏感行业，必须走国家发改委核准程序。

通过多层 SPV 转向敏感行业（比如酒店、房地产）的模式，已经基本失效。代持、空壳平台、没有真实业务的多层架构，现在很难通过。

四、一个容易被忽略的坑：名义业务和实质业务

还有一类情况更隐蔽，也是很多老板「不知不觉」踩线的典型场景。

你的营业执照上写的是「技术咨询」或者「互联网平台」，行业代码看上去跟敏感行业没有任何关系。但你的境外目标公司实际在做的事情，可能已经触碰了红线。

案例：比如，你投了一家海外的「科技公司」，名义上是做互联网平台，但这家公司的实质业务是收集当地的人脸识别数据——这就触碰了生物识别的敏感红线。再比如，你做的是智慧城市方案，ODI 备案投向新加坡子公司。主行业是智慧城市，看上去没问题。但子公司的数据存储用了某家被列入实体清单的企业的云服务，结果被要求提供数据安全自评估报告。

监管看的不是你的营业执照上写了什么，而是你投的那家境外公司，到底在做什么业务、用什么技术、处理什么数据。

五、给老板的自查清单

如果你正在筹备 ODI 备案，或者已经在境外有投资项目，建议你做一次「双重过滤」——实际做下来，是四个层面：

第一层过滤：看行业代码。对照最新的《境外投资敏感行业目录（2026版）》，确认你拟投项目的行业分类代码是否在负面清单内。如果你的行业代码属于 AI 基础设施、量子计算、6G、生物识别、战略矿产中的任何一类，那你的项目就要走核准程序。

第二层过滤：看实质业务。问自己三个问题：你投的那家境外公司，实际在做什么？它用的技术、处理的数据、服务的客户，有没有涉及敏感领域？它有没有跟被制裁实体、军事机构、政府安全部门产生关联？如果这三个问题里有任何一个说不清楚，建议在提交材料之前先做一次合规预审。

第三层过滤：看架构。你的投资架构有几层 SPV？每一层的商业目的是什么？每一层能不能解释清楚它为什么存在？如果你的架构里有香港 SPV 和开曼 SPV，但你说不出这两层各自的功能，那穿透核查这一关就很难过。

第四层过滤：看投资主体。监管会重点核查两类高风险主体：成立未满 1 年、无稳定经营积累的「快设快出」企业，以及境内母公司资产、营收远不足以支撑境外大额投资的「母小子大」企业。如果你的境内主体成立时间不到一年，或者净资产跟投资规模严重不匹配，建议先等一等，把经营数据做扎实再递材料。

如果你正在筹备 ODI 备案，不确定自己的项目是否触及敏感行业红线，或者已经被驳回想搞清楚问题出在哪，建议先对照最新版敏感行业目录做一次「行业代码 + 实质业务」的双重过滤，看问题出在哪，再决定下一步怎么走。

敏感行业不是不能投，是得用对的方式投。