PIPELINE一旦有人输入姓名，Chatbot就会处理个人数据——这是所有数据保护法律考量的起点。对于简单的FAQ Chatbot,实践中通常足够：欧洲供应商、数据处理协议、数周的删除期限、在聊天窗口本身显示提示以及符合EU AI Act的AI标识。实践中几乎总是缺少三点：明确的删除期限、聊天窗口中的提示，以及澄清供应商是否将数据用于训练。在风险较低的情况下，通常不需要进行影响评估。
01
处理哪些数据
聊天记录经常包含比预期更多的内容：姓名、电话号码、地址，有时还有健康或合同数据。这是所有数据保护法律考量的起点。
02
基本原则
明确法律依据、确定目的、遵守数据最小化、定义删除期限、告知当事人。此外需要与供应商签订数据处理协议，并审查数据在何处处理。
03
实践中的薄弱环节
几乎总是缺少三点：聊天记录的明确删除期限、聊天窗口本身的提示而非仅在隐私声明中、以及澄清供应商是否将数据用于训练。
04
AI Act层面
除GDPR外，自2026年8月起还适用透明度义务：用户必须能够识别出他们在与AI系统对话。这是独立要求，不能通过隐私声明解决。
05
实践中足够的做法
对于不采集敏感数据的FAQ Chatbot:欧洲供应商、数据处理协议、数周的删除期限、聊天窗口中的提示、隐私声明中的条款、AI标识。通常不需要进行影响评估。
06
实践中经常缺失的内容
许多Chatbot无限期存储记录，因为设置时没有人规定删除期限——不是因为疏忽，而是因为没有人明确决定。数周的期限应当从一开始就纳入配置，而非留待后续补救。
问题
常见问题
我们需要数据保护影响评估吗？
仅在预期存在高风险时才需要——例如大规模画像或系统性处理敏感数据。对于咨询型Chatbot通常不需要。但审查仍应记录在案。
可以存储聊天记录吗？
可以，但需明确目的和期限。为了改进Chatbot和追溯咨询请求，有限期存储是允许的。无限期存储则不允许。
使用美国供应商的Chatbot怎么办？
可行，但更复杂：需要可靠的数据传输法律基础和记录在案的审查。对大多数小型企业而言，欧洲供应商是更简便的途径。
下一步
请向我们发送几句话介绍您的项目。
我们亲自阅读每一个咨询并亲自回复。没有销售团队，没有消失在虚空中的回电表单。