一旦 AI 工具处理个人数据，例如合同中的姓名、客户邮件、会议记录，GDPR 就会全面适用：处理的法律依据、数据最小化、告知当事人、规范向欧盟以外的传输以及访问权。违规可能面临最高为全球年营业额 4% 或 2,000 万欧元的罚款。
美国云端 AI 的主要摩擦点在于数据被传输到欧盟以外，以及可能被外国当局访问。主权部署（本地部署或可信的欧洲云）能从根本上简化合规：数据从不离开企业的边界。
一名员工为了撰写跟进邮件，把客户档案粘贴到面向大众的聊天机器人中。个人数据就这样流向了第三方，既没有法律依据，也未告知当事人：这属于必须处理的数据泄露事件。
在任何涉及个人数据的 AI 项目启动之前：客户、员工、求职者、患者。您需要明确目的、限制所用数据，并清楚数据在哪里处理。
可以将 AI 用于个人数据吗？
可以，前提是您遵守通行规则：目的明确、仅使用必要的最少数据、告知相关人员并确保处理安全。将 AI 托管在您的本地或欧洲境内，会让整个流程简单得多。