符合 GDPR 嘅 AI 聊天機器人 — 測試 EU 托管同埋本地部署

合規挑戰

許多 AI 聊天機器人解決方案會將對話數據發送至美國雲端服務——企業卻無法完全掌控數據處理過程。這在 GDPR 框架下構成嚴重合規風險。

GDPR 第 46 條規管個人數據向第三國傳輸。對於使用配備美國伺服器 AI 服務嘅企業而言，此情況產生結構性矛盾——若不採取技術措施，無法解決。

GDPR 同 AI：企業必須注意嘅事

AI 聊天機器人處理個人數據：包括姓名、聯絡資料及對話內容。此類處理必須基於合法依據、保持透明，並符合數據最小化原則。

GDPR亦要求實施技術及組織措施（TOMs），以保障資料免受未經授權存取。AI聊天機器人必須嵌入此合規架構內運作，而非在其外運作。

歐盟託管：歐洲基礎設施，AI 連接合法保障

Zentor App 嘅基礎設施運作於歐盟：托管、數據庫同應用邏輯均運行於歐盟伺服器。特定 AI 功能可選配外部 AI 供應商。

如於歐盟境外使用外部AI服務供應商，將純粹基於歐盟標準合約條款（GDPR 第 46 條）進行。您將獲提供一份根據 GDPR 第 28 條擬備的數據處理協議（AVV）；所有已聘用的資料處理者的完整最新名單（包括國家及資料傳輸依據）請參閱私隱政策。

本地部署配本地 AI 運作：最大數據主權

透過 Zentor App 的Individuell 方案，您可於自家伺服器基礎設施進行完整本地安裝。無需雲端供應商，亦無外部數據傳輸——整個平台均在您嘅數據中心運行。

結合本地AI運作，您亦可在自有硬件上運行AI模型。本地AI模型可實現無需依賴外部資源的語言模型運作。

結果：最大數據主權。無數據傳輸，無外部 AI 處理，對模型同基礎設施有完全控制。

唔會分俾第三者

Zentor App 唔會將您嘅客戶資料分享俾第三方，無論係訓練 AI 模型定係做分析或廣告用途。您嘅資料純粹屬於您自己。

使用 Zentor App 外部 AI 模型時，須遵守外部 AI 供應商嘅私隱條款。對於需要完全隔離嘅企業，我們建議採用本地部署方案，以實現本地 AI 運作。

根據 GDPR 第 28 條嘅數據處理協議 (AVV)

一旦 AI 聊天機器人處理您客戶的個人資料——這在每次對話中都會發生——即構成根據GDPR 第 28 條的委外處理。這意味著：作為負責人的您，必須與 Zentor App 作為委外處理商簽署一份書面數據處理協議（AVV）。

Zentor App 應要求提供 AVV。合約規定了處理目的、數據類別、技術及組織措施，以及您在合約結束後刪除或歸還數據的指示。

對於本地部署，無需 AVV，因為 Zentor App 不會作為外部服務供應商進行任何數據處理——整個平台均在您自己的基礎設施上運行。

AI 聊天機器人內數據流動：對話數據會發生咩事？

喺 EU Cloud 運作下：傳入嘅訊息由 Zentor App 接收，經 AI 聊天機器人處理後，以對話形式存入數據庫。所有處理步驟均喺 EU 伺服器上進行。AI 聊天機器人僅存取公司內部知識庫——無外部數據來源，亦無未經請求嘅資料轉交。

就本地部署而言：資料不會離開您網絡。平台及AI模型均於自有硬件上運行。傳入訊息會在內部處理、儲存，並完全保留於您基礎設施內。

兩種部署方式均支援可設定嘅保留期限：對話資料會在指定期限屆滿後自動刪除——此舉符合 GDPR 第 5 條第 1 款（e）項所訂嘅「存儲限制」原則。

角色、權限同審計日誌

Zentor App 實施基於角色的存取控制 (RBAC)。員工僅能查看獲授權的對話、知識庫內容及設定。管理員可於儀表板集中管理角色與權限。

審計日誌會記錄所有與安全相關嘅操作：登入、設定變更、資料存取及交接事件。該日誌具不可更改性，並作為向監管機構提供合規證明嘅基礎。

RBAC、審計追蹤、進階身份驗證選項（按要求提供）及進階審計匯出功能，可作為Individuell 方案嘅附加模組提供。

技術防護措施總覽

Zentor App 實施多層技術防護層，以確保符合 GDPR 規定。

本地 AI 運作對比外部 AI 供應商：從數據保護角度比較

兩個選擇各有優劣，取決於您嘅私隱要求同技術資源。