PIPELINE进入数据保护与 AI 合规不是从技术开始，而是从一周的记录开始：什么会重复、什么最耗时间。然后选择一个单一、边界清晰、目标可衡量的流程——只有明确范围后，报价才具有可比性。
01 — 入门
从何开始
明确瓶颈
不是最有趣的，而是最耗时的。记录一周内重复的工作，比任何研讨会都能提供更现实的清单。
小范围界定
一个流程，一个可衡量的目标。可行的就扩展 — 不可行的成本低。
梳理初始情况
有哪些内容、数据和访问权限。对于数据保护与 AI 合规，这是对工作量和周期影响最大的因素。
确定负责人
负责引入和之后的运营。没有这一明确分工，任何系统都会过时。
然后才索取报价
范围明确后，报价才具有可比性。没有范围，您们得到的只是毫无关联的数字。
02 — 适用性
什么时候值得做
- 受影响的流程至少每周发生一次。
- 它遵循可以写下来的规则 — 即使存在例外情况。
- 这是如今没人愿意做的手工活。
- 由一个人决策,而不是三个人需要协调。
- 您们可以明确如何判断它是否成功。
03 — 检查清单
首次报价前明确
- 想改善什么？用一句话说明，不用专业术语。
- 如何判断？用一个应该改变的数字。
- 谁来决策？一个人，不是一个委员会。
- 可用预算是多少？大致范围即可 — 这让报价具有可比性而非随意性。
- 截止时间？以及时间取决于什么。
- 涉及哪些系统？谁拥有访问权限。
- 您们已有什么？内容、数据、前期工作 — 这会降低价格。
04 — 问题
常见问题
团队内部口头约定能否代替书面规定？
不行，在争议或审查时只有书面记录才有效。简短的书面规定还能保护新员工，他们从未听说过口头约定。
AI生成的文本必须标识吗？
对于发布的、经合成生成或实质性修改的内容，是的。纯内部使用——研究、草稿、摘要——通常不触发此义务。
我们需要数据保护影响评估吗？
并非必然需要。只有当处理操作预计对当事人构成高风险时才需要——例如大规模用户画像。对于网站上的FAQ聊天机器人，通常不需要。我们会逐案审查，并将结果书面记录。
现状盘点需要多久更新一次？
每当引入新工具或现有工具的使用目的发生变化时都需要更新。即使没有具体原因，每年审查一次作为最低频率也是明智的。
我们可以将客户数据输入ChatGPT吗？
在没有合同保障的免费版本中：不可以。如果有商业账号、数据处理协议并排除训练使用，可能是允许的——取决于涉及哪些数据。正是这种区分应该纳入使用规定，因为它在日常工作中经常相关。
如果我们使用不同供应商的多个AI工具怎么办？
每个工具都单独评估——供应商、数据处理和风险等级各不相同。使用规定将评估结果汇总，这样就不必逐个查询每个工具。
这对个体企业也适用吗？
是的。AI Act不按企业规模区分，而是按使用目的和风险区分。谁在网站上有聊天机器人，谁就受影响——无论企业有一名还是一百名员工。
下一步
初步评估，无需承诺。
简要说明项目内容。您们会得到关于可行性和大致费用的诚实答复。