PIPELINE简而言之
在比较数据保护与 AI 合规的服务商时，报价本身不如这个问题重要：上线后由谁维护系统，后续调整的成本是多少。这种差异要几个月后才会显现。
01 — 标准
报价的区别在哪里
- 具体包含什么内容。两份金额相同的报价可能包含完全不同的服务。要求对方以列表形式提供范围，而不是段落文字。
- 谁提供什么。内容、图片、数据、访问权限 — 如果没有写明，日后会成为争议点。
- 运营成本是多少。按三年计算，包括许可证、托管和维护。
- 如果您想更换供应商会怎样。您能拿到访问权限、数据和文档吗？这个问题的答案比任何推荐信更能说明供应商的可靠性。
- 实际由谁来做。对于小型供应商这很重要：谁参加会议，谁实际执行。
02 — 问题
您应该提出的问题
- 如果项目成本超出预估会怎样 — 由谁承担？
- 数据、访问权限以及（如果有开发）源代码归谁所有？
- 第二年和第三年的运营成本是多少？
- 我们最终会收到什么样的文档？
- 您会用什么标准来衡量这个项目是否成功？
- 在什么情况下您会建议我们不要做这个项目？
03 — 警示信号
何时应该保持警惕
- 保证结果。谁承诺Google排名第一或特定的营收增长，就是在推销他无法兑现的东西。
- 从不说不。一个把每个项目都说成好主意的供应商，要么没认真听，要么只是在推销。
- 制造时间压力。项目价格的限时折扣是销售手段，不是真正的优惠。
- 所有权不明确。谁不明确说明数据和访问权限归谁所有，意图就不纯。
- 没有具备专业知识的对接人。如果初次会谈只有销售人员参加，误解就会从那里开始。
04 — 范围
包含的内容
- 现状盘点：企业实际使用了哪些AI工具
- 按EU AI Act分类——风险等级及其衍生义务
- 逐工具审查数据保护状况，包括委托处理
- 日常可操作而非仅形式正确的使用规定
- 为聊天机器人和AI生成内容实施标识义务
- 通过记录在案的培训证明AI能力
05 — 问题
常见问题
现状盘点需要多久更新一次？
每当引入新工具或现有工具的使用目的发生变化时都需要更新。即使没有具体原因，每年审查一次作为最低频率也是明智的。
AI生成的文本必须标识吗？
对于发布的、经合成生成或实质性修改的内容，是的。纯内部使用——研究、草稿、摘要——通常不触发此义务。
我们可以将客户数据输入ChatGPT吗？
在没有合同保障的免费版本中：不可以。如果有商业账号、数据处理协议并排除训练使用，可能是允许的——取决于涉及哪些数据。正是这种区分应该纳入使用规定，因为它在日常工作中经常相关。
如果我们使用不同供应商的多个AI工具怎么办？
每个工具都单独评估——供应商、数据处理和风险等级各不相同。使用规定将评估结果汇总，这样就不必逐个查询每个工具。
团队内部口头约定能否代替书面规定？
不行，在争议或审查时只有书面记录才有效。简短的书面规定还能保护新员工，他们从未听说过口头约定。
我们需要数据保护影响评估吗？
并非必然需要。只有当处理操作预计对当事人构成高风险时才需要——例如大规模用户画像。对于网站上的FAQ聊天机器人，通常不需要。我们会逐案审查，并将结果书面记录。
这对个体企业也适用吗？
是的。AI Act不按企业规模区分，而是按使用目的和风险区分。谁在网站上有聊天机器人，谁就受影响——无论企业有一名还是一百名员工。
下一步
初步评估，无需承诺。
简要说明项目内容。您们会得到关于可行性和大致费用的诚实答复。