PIPELINE只要AI咨询涉及处理个人数据，就需要法律依据、目的限定、明确的删除期限、对数据主体的告知，以及与每个参与的服务提供商签订数据处理协议。实践中几乎总是缺少同样的三点：删除期限、在数据收集处的提示说明，以及明确供应商是否将数据用于自身训练。
01 — 数据保护
GDPR的要求
只要处理个人数据 — 这比想象中更快发生，例如有人输入姓名或电话号码时 — 就适用常规义务：明确法律依据、确定目的、遵守数据最小化原则、定义删除期限、告知当事人。
对AI咨询而言，这在实践中意味着：与每个参与的服务提供商签订数据处理协议，审查数据在何处被处理，制定有记录的删除期限，以及在隐私政策中添加易懂的说明。实践中几乎总是缺少三样东西：明确的删除期限、在数据收集处的提示说明，以及明确供应商是否将数据用于自身训练。
数据保护影响评估仅在预计存在高风险时才必要 — 对此类项目大多数情况不需要。但审查本身仍应记录，以便在需要时能说明为何省略了评估。
02 — 合同
需要书面明确的事项
- 数据和访问权的所有权。属于委托方。如果服务商不明确确认这一点，这就是谈话中最重要的信息。
- 终止时的交付。以何种格式、在何期限内、费用多少。
- 无对价的最短期限不可接受。如果绑定换来某些服务，则可以接受 — 否则不行。
- 后续变更的费用。决定总成本的不是项目价格，而是第三年的小时费率。
- 文档作为交付物。不是承诺，而是报价中的条目。
03 — 风险
可能出现的问题
- 系统回答错误。可通过仅使用经过审核的内容并在不确定时转接而非猜测来限制。这是配置决策，不是技术特性。
- 工作量被低估。最常见原因：初始情况不明确。报价前进行诚实的现状盘点比任何缓冲都更可靠地避免这一问题。
- 无人维护。最大的风险 — 也是最容易避免的。
- 数据保护漏洞。几乎总是因缺少删除期限和职责不清造成，很少由技术本身造成。
- 对服务商的依赖。如果合同规定访问权、数据和文档归委托方所有，则可避免。
04 — 问题
常见问题
这与商会的咨询有何不同？
商会提供的服务对资助可能性和基础知识给出了很好的概览。我们更进一步，查看您的具体流程和系统——附带工作量估算，我们自己也必须遵守。
仅与管理层对话是否足够？
不够，这是清单后来无法运作的最常见原因。每天执行流程的人了解例外情况，而外部视角永远看不到。
这不只是变相的销售活动吗？
建议中经常包含您可以自行或与现有服务商实施的要点，也包括我们不建议的情况。文档属于您，没有我们也能用。
如果我们这里没有合适的项目怎么办？
那就会写在报告里。这种情况确实存在，尤其是重复流程很少或缺乏数字化数据基础的企业。诚实地说“不”比陷入停滞的项目更省钱。
奥地利有哪些资助项目？
可能符合条件的包括KMU.DIGITAL（中小企业数字化资助）和aws数字化资助——当前条件请查看kmudigital.at和aws.at。两者都要求在签订合同前先获得批准——因此我们会尽早提及而非最后才说。
工作坊应该有谁参加？
至少一位管理层人员和两到三位每天执行相关流程的人。没有第二组人，产生的清单在实际中行不通。
您会推荐除您之外的其他供应商吗？
会的，如果合适的话。有些应用场景更适合标准软件或专业供应商——那时会在文档中明确说明，而不会隐瞒。
下一步
我们会了解您的初始情况。
告诉我们目前什么最耗费时间。由此我们会给出一份包含工作量和收益的评估——之后才会提供报价。