简单来说： 只要你把个人数据输入 AI 工具，欧盟《通用数据保护条例》（GDPR）就适用。荷兰数据保护局（Autoriteit Persoonsgegevens，简称 AP）建议，先看看能不能在不使用个人数据的情况下用 AI。和你的团队以及供应商都要事先约定清楚。
本文为一般性信息，不构成法律意见。本文依据的是荷兰监管机构的建议；在其他欧盟国家，由各国的数据保护机构负责监管。
什么情况下算数据泄露？
AP 收到过好几起数据泄露报告，原因都是员工把客户或病人的个人数据输入了 AI 聊天机器人。其中一起，是一家全科诊所的员工输入了医疗数据；另一起，是一家电信公司的员工把一份客户地址文件上传到了聊天机器人。
AP 的观点是：
- 如果员工 违反内部约定 使用聊天机器人并输入个人数据，这就是 数据泄露。
- 如果这种使用 是公司政策允许的，那不算数据泄露，但按 AP 的说法，往往也 不合法。
- 大多数聊天机器人背后的公司会保存你输入的所有内容。
- 一旦出了问题，很多情况下必须向监管机构和当事人报告。数据泄露应在发现后 72 小时内报告给监管机构。
AP 有什么建议？
- 和员工约定好：能不能用 AI？如果能，哪些数据可以输入，哪些不可以？
- 和供应商约定，输入的数据不得保存。
- 看看能不能不用个人数据。 这是 AP 工具里的第一条建议。
- 先把基础工作做好，再让 AI 访问你的文件：一份数据处理活动记录、一份“哪些个人数据存在哪里”的清单，以及按岗位分配的访问权限。AI 系统能看到的，不应多于使用它的那个人。
- 和相关各方约定清楚。 如果 AI 供应商代你处理个人数据，按 GDPR 它就是数据处理者，你需要和它签一份数据处理协议（GDPR 第 28 条）。
- 必要时做数据保护影响评估（DPIA）。 AP 的工具不能代替 DPIA。你可能仍然需要做一份，而且这项数据处理应列入你的数据处理活动记录。
AP 的工具
AP 推出了一个免费工具：Hulpmiddel inzet generatieve AI & de AVG（荷兰语）。你可以一步步对照其中的陈述，从打好基础到选择和使用系统。它面向的是使用 AI 的机构，而不是自己开发模型的公司。它不涉及《人工智能法案》；这方面请看欧盟《人工智能法案》简介。
来源
- Autoriteit Persoonsgegevens：Let op, gebruik AI-chatbot kan leiden tot datalekken（2024 年 8 月 6 日，荷兰语）
- Autoriteit Persoonsgegevens：Hulpmiddel inzet generatieve AI & de AVG（PDF，荷兰语）
- Autoriteit Persoonsgegevens：Datalek voorkomen en voorbereid zijn（荷兰语）
- EUR-Lex：《通用数据保护条例》（GDPR），尤其是第 28 条和第 33 条
访问日期：2026 年 10 月 21 日。