PIPELINE简而言之
数据保护与 AI 合规实际需要 3 至 5 周。最大的时间因素几乎从来不是实施本身，而是您方提供内容、访问权限和决策的速度。
01——时间框架
需要多长时间
- 典型周期
- 3 至 5 周
- 价格
- 根据工作量定制
周期从报价批准后开始。初次沟通和报价的前期时间：通常一到两周。我们在初次沟通后给出固定价格。
02 — 流程
详细步骤
盘点现状
使用了什么，由谁使用，涉及哪些数据。通常比管理层知道的更多。
分类评估
每个应用的风险等级，由此推导出具体义务。
制定规则
一份简短到能被阅读的规定。
实施与证明
加入标识，记录培训，归档文件。
03 — 瓶颈
通常卡在哪里
- 内容和交付物。最常见的延误原因。文本、图片、价目表、访问权 — 缺什么就阻塞什么。
- 决策。如果不清楚谁批准，项目就会等待。指定一位有决策权的联系人能明显缩短周期。
- 第三方系统的访问权。获取商品管理、电话系统或CRM的访问权，通常比对接本身耗时更长。
- 无休止的协调轮次。两轮修改是正常的，五轮是目标一开始就不明确的信号。
04 — 范围
包含的内容
- 现状盘点：企业实际使用了哪些AI工具
- 按EU AI Act分类——风险等级及其衍生义务
- 逐工具审查数据保护状况，包括委托处理
- 日常可操作而非仅形式正确的使用规定
- 为聊天机器人和AI生成内容实施标识义务
- 通过记录在案的培训证明AI能力
05 — 问题
常见问题
这对个体企业也适用吗？
是的。AI Act不按企业规模区分，而是按使用目的和风险区分。谁在网站上有聊天机器人，谁就受影响——无论企业有一名还是一百名员工。
AI生成的文本必须标识吗？
对于发布的、经合成生成或实质性修改的内容，是的。纯内部使用——研究、草稿、摘要——通常不触发此义务。
现状盘点需要多久更新一次？
每当引入新工具或现有工具的使用目的发生变化时都需要更新。即使没有具体原因，每年审查一次作为最低频率也是明智的。
我们需要数据保护影响评估吗？
并非必然需要。只有当处理操作预计对当事人构成高风险时才需要——例如大规模用户画像。对于网站上的FAQ聊天机器人，通常不需要。我们会逐案审查，并将结果书面记录。
如果我们使用不同供应商的多个AI工具怎么办？
每个工具都单独评估——供应商、数据处理和风险等级各不相同。使用规定将评估结果汇总，这样就不必逐个查询每个工具。
我们可以将客户数据输入ChatGPT吗？
在没有合同保障的免费版本中：不可以。如果有商业账号、数据处理协议并排除训练使用，可能是允许的——取决于涉及哪些数据。正是这种区分应该纳入使用规定，因为它在日常工作中经常相关。
团队内部口头约定能否代替书面规定？
不行，在争议或审查时只有书面记录才有效。简短的书面规定还能保护新员工，他们从未听说过口头约定。
下一步
初步评估，无需承诺。
简要说明项目内容。您们会得到关于可行性和大致费用的诚实答复。