PIPELINE一旦AI培训涉及个人数据处理，就需要法律依据、目的限制、明确的删除期限、告知当事人以及与每个参与服务提供商签订数据处理协议。实践中几乎总是缺少同样三点：删除期限、数据采集处的告知以及明确供应商是否将数据用于自身训练。
01 — 数据保护
GDPR的要求
只要处理个人数据 — 这比想象中更快发生，例如有人输入姓名或电话号码时 — 就适用常规义务：明确法律依据、确定目的、遵守数据最小化原则、定义删除期限、告知当事人。
对AI培训来说，这实际意味着：与每个参与的服务商签订数据处理协议，审查数据在何处处理，记录删除期限，以及在隐私声明中添加易懂的说明。实践中几乎总是缺少三样东西：明确的删除期限、数据采集处的提示，以及服务商是否将数据用于自身训练的澄清。
数据保护影响评估仅在预计存在高风险时才必要 — 对此类项目大多数情况不需要。但审查本身仍应记录，以便在需要时能说明为何省略了评估。
02 — 合同
需要书面明确的事项
- 数据和访问权的所有权。属于委托方。如果服务商不明确确认这一点，这就是谈话中最重要的信息。
- 终止时的交付。以何种格式、在何期限内、费用多少。
- 无对价的最短期限不可接受。如果绑定换来某些服务，则可以接受 — 否则不行。
- 后续变更的费用。决定总成本的不是项目价格，而是第三年的小时费率。
- 文档作为交付物。不是承诺，而是报价中的条目。
03 — 风险
可能出现的问题
- 系统回答错误。可通过仅使用经过审核的内容并在不确定时转接而非猜测来限制。这是配置决策，不是技术特性。
- 工作量被低估。最常见原因：初始情况不明确。报价前进行诚实的现状盘点比任何缓冲都更可靠地避免这一问题。
- 无人维护。最大的风险 — 也是最容易避免的。
- 数据保护漏洞。几乎总是因缺少删除期限和职责不清造成，很少由技术本身造成。
- 对服务商的依赖。如果合同规定访问权、数据和文档归委托方所有，则可避免。
04 — 问题
常见问题
您们也涉及行业专项应用吗？
是的，如果提前告知的话。请带来您们的典型任务——报价文本、记录、客户通信——我们用这些实际内容练习，而非通用示例。
EU AI Act要求培训吗？
对于使用AI系统的企业，有义务确保相关人员具备足够的AI能力。有文档记录的培训是证明这一点的最简单方式。
我们可以在线进行吗？
可以，不过通常会分成两个半天而不是一整天——在屏幕前集中工作八个小时效果不好。
我们的员工需要预备知识吗？
不需要。我们从零开始，根据预备知识分组练习。经验表明，每个团队中都有两个极端。
如果个别员工根本不想用怎么办？
这种情况会出现，但不是大问题。我们对所有人同样培训，但不会强制任何人使用——经验表明，一旦同事们看到好处，这种情况会自行改变。
对于自己很少打字的管理层来说，这也有意义吗？
有意义，出于另一个原因：他们必须能够评估这些工具在团队中哪里有意义、哪里存在风险——这与他们自己是否每天使用无关。
三个月后不就过时了吗？
工具会变，思维方式不会。重点在于何时适合使用这样的系统、以及如何检验其结果——这保持有效，即使界面看起来不同了。
下一步
初步评估，无需承诺。
简要说明项目内容。您们会得到关于可行性和大致费用的诚实答复。