PIPELINE只要数据保护与 AI 合规涉及处理个人数据，就需要法律依据、目的限定、明确的删除期限、告知当事人，以及与每一家参与的服务商签订数据处理协议。实践中几乎总是缺少同样三点：删除期限、采集点的告知，以及明确服务商是否将数据用于自身训练。
01 — 数据保护
GDPR的要求
只要处理个人数据 — 这比想象中更快发生，例如有人输入姓名或电话号码时 — 就适用常规义务：明确法律依据、确定目的、遵守数据最小化原则、定义删除期限、告知当事人。
对数据保护与AI合规而言，这实际上意味着：与每个参与的服务提供商签订数据处理协议，审查数据在哪里处理，记录删除期限，以及在隐私政策中增加易懂的段落。实践中几乎总是缺少三件事：明确的删除期限、在数据采集处的提示，以及澄清供应商是否将数据用于自身训练。
数据保护影响评估仅在预计存在高风险时才必要 — 对此类项目大多数情况不需要。但审查本身仍应记录，以便在需要时能说明为何省略了评估。
02 — 合同
需要书面明确的事项
- 数据和访问权的所有权。属于委托方。如果服务商不明确确认这一点，这就是谈话中最重要的信息。
- 终止时的交付。以何种格式、在何期限内、费用多少。
- 无对价的最短期限不可接受。如果绑定换来某些服务，则可以接受 — 否则不行。
- 后续变更的费用。决定总成本的不是项目价格，而是第三年的小时费率。
- 文档作为交付物。不是承诺，而是报价中的条目。
03 — 风险
可能出现的问题
- 系统回答错误。可通过仅使用经过审核的内容并在不确定时转接而非猜测来限制。这是配置决策，不是技术特性。
- 工作量被低估。最常见原因：初始情况不明确。报价前进行诚实的现状盘点比任何缓冲都更可靠地避免这一问题。
- 无人维护。最大的风险 — 也是最容易避免的。
- 数据保护漏洞。几乎总是因缺少删除期限和职责不清造成，很少由技术本身造成。
- 对服务商的依赖。如果合同规定访问权、数据和文档归委托方所有，则可避免。
04 — 问题
常见问题
我们可以将客户数据输入ChatGPT吗？
在没有合同保障的免费版本中：不可以。如果有商业账号、数据处理协议并排除训练使用，可能是允许的——取决于涉及哪些数据。正是这种区分应该纳入使用规定，因为它在日常工作中经常相关。
AI生成的文本必须标识吗？
对于发布的、经合成生成或实质性修改的内容，是的。纯内部使用——研究、草稿、摘要——通常不触发此义务。
这对个体企业也适用吗？
是的。AI Act不按企业规模区分，而是按使用目的和风险区分。谁在网站上有聊天机器人，谁就受影响——无论企业有一名还是一百名员工。
现状盘点需要多久更新一次？
每当引入新工具或现有工具的使用目的发生变化时都需要更新。即使没有具体原因，每年审查一次作为最低频率也是明智的。
我们需要数据保护影响评估吗？
并非必然需要。只有当处理操作预计对当事人构成高风险时才需要——例如大规模用户画像。对于网站上的FAQ聊天机器人，通常不需要。我们会逐案审查，并将结果书面记录。
如果我们使用不同供应商的多个AI工具怎么办？
每个工具都单独评估——供应商、数据处理和风险等级各不相同。使用规定将评估结果汇总，这样就不必逐个查询每个工具。
团队内部口头约定能否代替书面规定？
不行，在争议或审查时只有书面记录才有效。简短的书面规定还能保护新员工，他们从未听说过口头约定。
下一步
初步评估，无需承诺。
简要说明项目内容。您们会得到关于可行性和大致费用的诚实答复。