数据最小化
每一步只传递真正需要的信息。
关键点在哪里
既涉及技术，也涉及组织管理。
角色与权限
不是每个智能体都能读取所有来源或触发所有动作。
可追溯性
决策、交接与数据流动都必须可见。
人工掌控
关键决策依然由承担责任的人作出。
我们刻意不做的承诺
我们刻意使用 GDPR-aware、privacy-conscious 与 governance-ready 这类表述，而不是无法验证的绝对合规承诺。
真正的合规只会在技术、合同、流程与实际使用方式共同作用下产生。
核心要点：符合 GDPR 的 AI
在企业中符合 GDPR 地使用 AI 具体需要满足哪些前提。
- 符合 GDPR 的 AI 需要与供应商签订数据处理协议（DPA/AVV）——依据 GDPR 第 28 条（Art. 28），一旦有个人数据由云服务商处理，即为强制要求（来源：GDPR Art. 28）。
- 最高级别的数据保护控制来自在自有欧盟基础设施上自托管一个开放模型（Mistral、Meta Llama）——此时没有任何数据离开自有的数据中心。
- 欧盟云区域使大型模型具备 GDPR 适用性：Azure OpenAI Service、Google Vertex AI 以及 OpenAI 欧盟区域提供欧盟数据留存加数据处理协议（DPA/AVV）。
- AI 聊天机器人的免费消费者版本不适用于个人数据或机密企业数据，因为视套餐而定，输入内容可能被用于模型训练。
- Culturetek 以一套数据保护红绿灯（欧盟托管、DPA/AVV、不用于训练）评估各 AI 平台，并针对每个应用场景选择合规选项。
数据保护红绿灯：适用于合规使用的 AI 平台
按欧盟数据留存、数据处理协议（DPA/AVV）和排除训练三方面对常见 AI 平台进行评估。红绿灯：绿 = 很适合，黄 = 通过配置/合同可行，红 = 不适用于个人数据。来源：供应商文档，截至 07/2026。
| 平台 / 模型 | 欧盟数据留存 | 是否提供 DPA/AVV | 不使用数据训练 | 红绿灯 |
|---|---|---|---|---|
| 自托管（Mistral / Llama 本地部署） | 是——自有欧盟基础设施 | 无需（内部处理） | 是——数据不离开本机构 | 🟢 绿 |
| Mistral（la Plateforme，欧盟云） | 是——默认欧盟服务器 | 是 | 是（企业版；可停用欧盟外部数据流） | 🟢 绿 |
| Azure OpenAI Service（欧盟区域） | 是——欧盟区域 / 数据区 | 是（Microsoft DPA） | 是——不使用客户数据训练 | 🟢 绿 |
| Google Gemini（经 Vertex AI，欧盟） | 是——欧盟区域 | 是（Google Cloud DPA） | 是——不使用 Vertex 数据训练 | 🟢 绿 |
| OpenAI API（欧盟数据驻留区域） | 是——「Europe」区域，具备 Zero Data Retention | 是（OpenAI DPA） | 是——不使用 API 数据训练 | 🟢 绿 |
| Anthropic Claude（经 Bedrock / Vertex 欧盟） | 是——通过 AWS / Google 欧盟区域 | 是（含 SCCs 的 DPA；ZDR 可按需申请） | 是——不使用 API 数据训练 | 🟢 绿 |
| Anthropic Claude（第一方 API） | 受限（第一方无专属欧盟区域） | 是（含 SCCs 的 DPA） | 是——不使用 API 数据训练 | 🟡 黄 |
| 免费消费者聊天机器人（免费套餐） | 多为美国，无承诺 | 否 / 受限 | 否——输入内容可能被用于训练 | 🔴 红 |
GDPR 与 AI 的数据
关于合法合规使用 AI 的核心事实。
关于符合 GDPR 的 AI 的常见问题
哪种 AI 符合 GDPR？
符合 GDPR 并非某个单一工具的属性，而取决于正确的配置。最安全的是在自有欧盟基础设施上自托管的开放模型（Mistral、Llama）。在云供应商中，只要签订了数据处理协议（DPA/AVV）并选择欧盟区域，Azure OpenAI、Google Vertex AI、OpenAI 欧盟区域以及 Anthropic Claude（经 AWS Bedrock 或 Google Vertex）均具备 GDPR 适用性。免费消费者聊天机器人不适用于个人数据。
在企业中使用 AI 工具时我需要签订 DPA/AVV 吗？
需要。一旦某个 AI 服务商代表您处理个人数据，依据 GDPR 第 28 条（Art. 28）即强制要求签订数据处理协议（DPA/AVV）。所有大型供应商——Anthropic、OpenAI、Google 和 Mistral——均提供相应的数据处理附录（Data Processing Addendum）。Culturetek 确保签订该协议并将处理配置正确。
我可以在企业中用 ChatGPT 处理个人数据吗？
在免费消费者版本中不建议这样做，因为视设置而定，输入内容可能被用于训练。而通过带有欧盟数据驻留区域（Zero Data Retention）的 OpenAI API，或通过带有欧盟区域和 Microsoft DPA 的 Azure OpenAI Service，则可以做到符合 GDPR 的使用。关键在于数据处理协议（DPA/AVV）、欧盟区域以及排除使用您的数据进行训练。
自托管是数据保护最安全的 AI 选项吗？
是的，从数据保护角度看，自托管是最可控的选项。在自有欧盟基础设施上自行运行像 Mistral 或 Meta Llama 这样的开放模型时，无论提示词还是输出都不会离开自有的数据中心。代价是更高的运营和基础设施成本以及自行维护的投入——Culturetek 会针对每个应用场景加以权衡。
我的数据会被用于训练 AI 模型吗？
在领先供应商（Anthropic、OpenAI、Google、Mistral）的 API 版和企业版套餐中，您的输入内容默认不会被用于模型训练。在免费消费者版本中情况可能不同——视套餐和设置而定，输入内容可能会进入训练。因此，对于企业数据，API 版/企业版套餐或自托管才是正确之道。
是否存在关于 AI 与数据保护的德国官方指引？
有。数据保护会议（DSK），即德国各独立数据保护监管机构组成的委员会，发布了《人工智能与数据保护指引》（「Orientierungshilfe Künstliche Intelligenz und Datenschutz」，首次于 2024 年 5 月发布）——这是一份面向部署 AI 应用的企业的贴近实务的清单，并辅以关于技术与组织措施以及 RAG 系统的更多指导材料。Culturetek 依据这份指引开展实施（来源：Datenschutzkonferenz, datenschutzkonferenz-online.de）。