PIPELINE几乎每家企业都在使用AI工具，通常没有明确规则。关键在于区分没有合同保障的免费消费者账号，与有数据处理协议和欧洲境内处理的商业账号。一个简单的红绿灯规则加三个类别，团队能可靠记住；全面禁止只会导致在私人设备上隐蔽使用。
01
真正的风险
很少关于恶意。有人让AI总结客户邮件，另有人放入合同草稿。两者都可以理解，两者都可能有问题，取决于工具和数据情况。
02
关键的区分
没有合同保障的免费消费者账号不适合处理个人数据或机密数据。有数据处理协议、排除训练用途且在欧洲境内处理的商业账号是另一回事。这一区分应纳入每份使用指南，因为它在日常中持续相关。
03
实际可行的做法
红绿灯：绿色用于无个人相关的一般任务，黄色用于有保障工具中的内部内容，红色用于健康数据、人事数据、委托和患者内容。三个类别团队能记住，十二个记不住。
04
指南中必须包含的内容
哪些工具允许使用、哪些数据可以输入、有疑问时谁决策、以及如果数据确实输入了该怎么办。最后一点几乎总是缺失，却是最重要的。
05
禁止没有用
全面禁止导致在私人设备上使用——这是最糟的状态，因为它不可见。有保障的访问加上明确规则更实用也更安全。
06
日常中的一个例子
一名员工在免费AI工具中总结客户投诉以便更快回复——没有恶意，但在没有合同保障的账号中使用了个人数据。明确的红绿灯规则本可以事前防止，事后禁止为时已晚。
问题
常见问题
一份数据处理协议就够了吗？
它是必需的，但仅靠它不够。还需要法律依据、目的限制、删除方案、对当事人的告知，以及检查是否存在向第三国的传输。
我们可以让AI处理求职材料吗？
对于有限制的结构化采集是可以的。对于选拔决策，根据EU AI Act适用明显更严格的要求——决定就业机会的系统被归类为高风险。
本地运行的模型怎么样？
自有基础设施上的模型解决了传输问题，因为数据不会离开企业。它们需要更多搭建工作，在复杂任务上往往效果较弱——但对敏感领域来说，这通常仍是正确的路径。
下一步
让我们简短讨论一下这对您是否划算。
二十分钟的对话通常就足以弄清一个项目是否有意义。如果没有，我们会直说——这对双方来说都比一份无人需要的报价更便宜。