把客户资料喂给AI之前：个人信息处理的四道合规关

近几年围绕 AI 合规与安全的政策密集出台，力度不小，但不少处理个人数据的 AI 项目，因为看不懂条款，要么卡在半路，要么埋下隐患。本文依据现行有效规定，把 AI 与个人信息保护的关键要求讲清楚，重点放在"动手前必须过哪几关"。

1. 法规落在哪几部，责任归谁

AI 合规相关的规范互相衔接：《生成式人工智能服务管理暂行办法》管生成式 AI 的基本规则，《个人信息保护法》管个人信息处理，《网络安全法》《数据安全法》管数据与网络安全，《互联网信息服务深度合成管理规定》管深度合成标识，算法备案制度面向特定服务。

责任划分上，服务提供者承担内容安全、数据保护、标识义务和备案程序；使用 AI 的企业对产出结果负责，落到人工审核和侵权防控上。

2. 日常用AI绕不开的四条底线

企业用 AI 的合规底线，通常包括：生成内容对外发布前做人工审核；处理个人信息遵守告知同意与最小必要；AI 生成内容按规定标注；面向公众的生成式 AI 服务履行备案与安全评估。这四条是后面所有数据操作的前提。

3. 处理个人信息的四道关

落到"用 AI 处理个人信息"这件事，几个要点绕不开：

• 告知同意——收集个人信息前，要向用户说清目的和方式并取得同意，隐私政策里要写明白 AI 处理的场景，不能藏着。
• 最小必要——只收集实现功能所必需的信息，原则是"能匿名不实名、能少收不多收"。
• 数据脱敏——AI 训练和测试用的数据要做脱敏，去掉可识别信息，别把原始客户资料直接进模型。
• 安全措施——加密、访问控制、泄露通知机制要到位；涉及个人信息出境的，还有更严格的规定。

4. 两类最高发的风险

实际踩坑里，最容易出现的是这两类：

• 把客户资料直接喂给公共 AI——既可能未经同意就处理个人信息，又可能涉及数据出境；
• 做人脸识别类应用——属于敏感个人信息，需要单独同意并满足特殊规定，门槛比一般信息高。

一句话提醒：AI 带来的效率，不能以数据合规为代价。

5. 动手前先做一次数据盘点

比补材料更省事的，是上线前先盘一遍：手头要进 AI 的个人信息有哪些、分别属于普通还是敏感信息、有没有告知同意的依据、出不出境。把这四问答清楚，大部分合规风险在动手前就能排掉。

风航科技总部位于长沙，服务覆盖商标代理、软著登记、知识产权咨询、科技项目申报、软件开发、人工智能应用、财税与企业咨询。如果你的 AI 项目要碰个人信息，先打 15243610526 聊聊，诊断本身不收费。

注：本文涉及的政策与合规要求依据现行《生成式人工智能服务管理暂行办法》及数据安全相关法规整理，落地实施建议结合企业实际场景评估。