AI
AI 聊天机器人与客户数据：面向消息团队的 GDPR 与 KVKK 隐私合规清单
WhatsApp 或 Instagram 上的 AI 智能体会让客户消息经过多家公司。本清单教您梳理数据流向、选择服务商、设置留存期限，并按 GDPR 与土耳其 KVKK 处理用户同意。
MonoChat 团队 更新于: 2 分钟阅读
要让 AI 聊天机器人符合 GDPR 与 KVKK，您需要：梳理客户消息经过的每一个系统，具备合法依据和清晰的隐私声明，与每家服务商签订数据处理协议，在数据离开欧盟或土耳其时采用有效的传输机制，尽可能不把个人数据放进提示词，设置留存期限，并告知用户他们正在与 AI 对话。合规取决于您如何部署聊天机器人，而不是聊天机器人本身。
难点在于，一条 WhatsApp 回复就可能涉及四五家公司：Meta、您的消息平台、LLM 服务商、向量数据库，以及智能体查询信息所用的 CRM。本清单将逐一说明。这是面向消息团队的实用指南，不构成法律意见，具体细节请与您的数据保护官或法律顾问确认。
AI 智能体回复时，客户数据会流向哪里
首先画出一条消息的流转路径。典型流程如下：
| 步骤 | 系统 | 涉及的数据 | 您需要回答的问题 |
|---|---|---|---|
| 1 | 消息渠道（WhatsApp、Instagram、Messenger） | 电话号码或用户名、消息内容、媒体文件 | 适用哪些条款和存储规则？ |
| 2 | 消息平台 | 会话历史、联系人资料、标签、备注 | 谁能访问，存储在哪里，保存多久？ |
| 3 | 知识库和向量数据库 | 您的内容；仅当您上传了个人数据时才包含个人数据 | 索引中是否存有任何个人数据？ |
| 4 | LLM 服务商 | 提示词：指令、检索到的文本、历史记录、最新消息 | 数据是否被保留、是否用于训练、在哪里处理？ |
| 5 | 已连接的工具（CRM、预约、商店） | 订单数据、预约、账户信息 | 智能体可以读取和写入什么？ |
| 6 | 人工客服 | 转人工后的完整会话 | 谁能看到什么，是否有记录？ |
每一行都是处理个人数据的环节，都需要合同、留存规则和访问控制。如果某一行您填不出来，那就是您的第一项任务。
AI 聊天机器人隐私合规清单
1. 选定合法依据并记录在案
根据 GDPR（第 6 条），每个处理目的都需要法律依据。回复主动联系您的客户，通常基于合同或正当利益。营销消息通常基于同意。利用会话来改进您的智能体是另一个独立的目的，应单独评估，而不是默认最初的依据已经涵盖它。
KVKK 有自己的处理条件清单。如果您同时服务欧盟和土耳其客户，请分别记录每部法律下的依据。
2. 告知用户 AI 的使用情况及其数据
您的隐私声明应说明：会话可能由 AI 系统处理、哪些服务商处理数据、在哪里处理、保存多久，以及如何联系真人。GDPR 第 13 条和第 14 条规定了应包含的内容，KVKK 也有类似的告知义务。
在欧盟，AI 法案的透明度义务自 2026 年 8 月 2 日起适用，要求在人们与 AI 系统交互时告知对方，除非从上下文中显而易见。一条简短的开场消息既能满足法律要求，也能管理好客户预期：
您好，我是 Northwind Home 的虚拟助手，一个 AI。我可以协助处理
订单、退货和配送问题。您可随时输入“人工”联系我们的团队。
隐私声明：northwindhome.example/privacy3. 与每个数据处理者签订数据处理协议
您的消息平台、LLM 服务商、向量数据库托管方，以及任何代表您处理个人数据的工具提供商，都属于数据处理者。GDPR 第 28 条要求签订书面合同，限定仅按您的指示进行处理，要求保密与安全措施，并涵盖子处理者、数据删除和审计。请保存一份子处理者清单，并在服务商发生变更时进行核对。
4. 检查向欧盟或土耳其境外的传输
许多 LLM 服务商会在其他国家处理数据。根据 GDPR 第五章，向欧洲经济区以外传输数据需要充分性认定或适当的保障措施，例如标准合同条款。
KVKK 关于向境外传输的规定在 2024 年 6 月发生了变化。现在，传输依据的是充分性认定、适当的保障措施（例如个人数据保护委员会发布的标准合同）或有限的例外情形。标准合同必须在签署后五个工作日内通知主管机构。请核实各家服务商在哪里处理数据，并选择符合您义务的区域或服务商。
在 WhatsApp 上，Meta 的 Cloud API 提供本地存储：您可以为每个商家电话号码选择消息数据静态存储的位置。在使用期间，内容仍可能在 Meta 的国际数据中心内处理，Cloud API 上最长为 60 分钟，之后才仅保存在所选区域内。
5. 审慎选择 LLM 服务商
模型服务商能看到您放进提示词的所有内容。在接入之前，请检查：
- 训练用途。 服务商是否使用 API 数据来训练模型，您是否可以选择退出？
- 留存。 提示词和输出会保存多久，包括用于滥用监测的保存？
- 区域。 数据在哪里处理和存储，您是否可以选择？
- 合同。 您所用的套餐是否提供数据处理协议？
- 自托管。 对于敏感场景，在您自己的服务器上运行开源模型是否更合适？
使用您自己的服务商账户（自带密钥），意味着合同、区域设置和留存选项都由您掌握，而不是沿用供应商账户的设置。
6. 尽量减少放入提示词和工具的数据
数据最小化（GDPR 第 5 条）是对 AI 智能体最有效的隐私控制措施。
- 不要把客户记录、身份证件或内部备注上传到知识库。
- 只向模型发送它所需的历史记录，而不是完整的联系人资料。
- 给工具授予尽可能最小的访问权限：订单状态工具只需要订单号，而不是整个客户数据库。
- 对身份证号、银行卡号和密码等字段进行掩码处理或避免使用。
- 指示智能体不要索要它并不需要的敏感数据。
智能体规则：切勿在聊天中索要银行卡号、密码或身份证号。
如果客户自行发送了这些信息，请勿复述，并改为提供安全支付
链接，或建议与我们的团队通话。如果您的智能体通过 MCP 等协议连接业务系统，同样的规则适用于每一个已连接的系统。相关风险请参阅客户消息场景下的 MCP。
7. 对健康等特殊数据格外谨慎
健康、宗教、生物识别数据以及类似类别，在 GDPR 第 9 条和 KVKK 下受到额外保护。诊所、药房和保险公司应限制 AI 处理的内容，避免由 AI 提供医疗建议，并将临床问题转给合格的工作人员。在启动大规模处理此类数据的 AI 智能体之前，请考虑进行数据保护影响评估（GDPR 第 35 条）。
8. 为每个存储设置留存期限
存储限制（GDPR 第 5 条）意味着个人数据只在需要的时间内保存。请为以下各项设定并记录期限：
- 消息平台中的会话历史，
- LLM 服务商处的日志，
- 导出的对话记录和分析数据，
- 向量数据库或知识库中的任何个人数据。
然后确保删除真正执行，并尽可能包括备份中的数据。
9. 做好应对访问和删除请求的准备
客户可以询问您持有他们的哪些数据，并要求您删除（GDPR 第 15 条和第 17 条，KVKK 下有类似权利）。请了解如何在数据地图中的每个系统里找到某个人的会话，以及如何在每个系统中删除它们。
10. 避免仅由 AI 做出决定
GDPR 第 22 条限制仅基于自动化处理、且对人产生重大影响的决定。让 AI 负责答复、收集信息和分流，而把批准、拒绝、信贷决定和例外处理留给人工。可靠的 AI 转人工 既是一项服务功能，也是一项合规功能。
11. 保障访问安全并保留日志
限制谁可以查看会话，使用基于角色的访问控制，要求多重身份验证，并保留记录谁做了什么的审计日志。GDPR 第 32 条要求采取与风险相适应的安全措施，第 33 条规定，若个人数据泄露对人们构成风险，须在 72 小时内通知监管机构。
12. 遵守渠道自身的规则
Meta 的 WhatsApp Business 消息政策对用户授权、数据使用和 AI 有自己的要求。我们的2026 年 WhatsApp AI 聊天机器人政策指南介绍了 Meta 允许的内容，WhatsApp 用户授权则介绍了主动消息所需的同意。
速查：GDPR 与 KVKK 对照
| 主题 | GDPR | KVKK（第 6698 号法律） |
|---|---|---|
| 告知用户 | 第 13 条和第 14 条 | 告知义务 |
| 处理者合同 | 第 28 条 | 控制者对处理者的安全负有连带责任（第 12 条） |
| 向境外传输 | 第五章：充分性认定、标准合同条款 | 充分性认定、通知主管机构的标准合同、有限的例外情形 |
| 特殊类别 | 第 9 条 | 特殊类别个人数据 |
| 留存 | 存储限制，第 5 条 | 目的消失后删除、销毁或匿名化 |
| 数据主体权利 | 访问、删除等 | 类似权利，包括访问和删除 |
MonoChat 如何帮助您掌控 AI 与数据
MonoChat 的设计让技术栈中的敏感部分可以由您自己掌控。以下是产品所提供的功能，与我们的安全与合规页面所述一致：
- 您自己的 LLM 密钥。 通过自定义 LLM，您可以连接自己的 OpenAI、Anthropic、Google、Azure、AWS 或其他服务商账户，从而保留自己的定价和数据协议，并自行决定哪个助手使用哪个模型。
- 自托管模型。 当提示词需要留在您自己的基础设施上时，您可以通过 Ollama 或您自己的模型 API，连接运行在您自己服务器上的模型。
- 您自己的向量数据库。 向量数据库集成让知识库向量保存在您选择的向量数据库中，采用您自己的存储和留存策略，位于您选择的区域或云。
- 分范围的知识。 AI 知识库把内容划分为带有各自访问控制的范围，使每个智能体只检索它应当获取的内容。
- 受控的 AI 操作。 AI 函数工具在校验、权限、允许列表端点和日志的约束下运行，因此助手只能执行您允许的操作。
- 访问控制和日志。 基于角色的访问控制、工作区隔离、审计日志，以及加密且限定于工作区的服务商凭据。
- 官方渠道 API。 WhatsApp 通过官方 WhatsApp Business Platform（Cloud API）连接，MonoChat 是官方 Meta Business Partner。
- 认证与政策。 MonoChat 持有 ISO 27001 和 ISO 9001 认证，其隐私政策依据 KVKK（第 6698 号法律）制定。访问、更正或删除个人数据的请求会在 30 天内答复。
- 本地部署选项。 Enterprise 套餐提供本地部署，满足更严格的要求。
您可以在免费的 Basic 套餐（一个智能体、一个渠道）上评估产品，网址为 app.monochat.ai，并在评审之前阅读完整的隐私政策。