波兰数据保护局发布AI工具合规自查清单:95.9%受访企业“未及格”

这套清单不是凭空想出来的，背后是UODO主席下属社会专家组牵头做的一次大规模调研。调查覆盖了492家机构（其中近九成来自公共部门），并与7家私营行业组织做了团体访谈，结果相当不乐观。核心数据如下：

从已经在测试或部署的应用来看，行政流程自动化占41.2%，数据分析与预测占31%，客服和政务聊天机器人占28%，研发支持占28.2%。可见AI早已渗透到日常经营，而不是什么遥远的概念。

比数据本身更值得警惕的，是报告点名的“影子AI”问题。很多员工在未经公司管控的情况下，把客户、患者甚至市民的个人信息随手输入ChatGPT等公开AI工具，企业对此却毫不知情。报告的联合执笔人、罗兹大学的乌巴什教授直言，官方统计很可能严重低估了实际规模。换句话说，一家公司哪怕从来没有正式采购过任何AI系统，也可能早已在通过第三方模型处理个人数据，而且完全处于失控状态。

正是看到这种“用得不少、懂得不多、管得更少”的现状，UODO才推出这四套自查清单，并配套启动了一个名叫AIDA的支持计划，把监管思路从过去的以检查和罚款为主转向以教育和帮扶为主。四套清单分别面向不同对象，企业可以对号入座：

必须特别提醒的是，这套清单本身不具有法律约束力，填写后的答案也不需要交给监管机关，更不能替代正式的风险评估和数据保护影响评估。它只是一份"自查提纲"、一份内部工作文件，而不是免罚金牌。UODO还给出了一条简单的判断线：如果清单里有超过3个问题答案是“否”，那就先别急着上线，找专业的人把把关再说。

抛开清单的形式，其核心在于确认GDPR既有规则在AI场景下是否真正落地。归纳而言，企业部署AI之前须通过六项合规审查，每项均对应具体操作要求。

清单的清单首先要求企业确认部署AI是否确有必要，以及拟解决的具体问题。这对应GDPR“目的限制”与“数据最小化”原则——能不收集的数据即不收集，能不用AI的环节即不用。需特别注意，同一套AI系统用于生成营销文案与用于筛选简历、考核员工，风险等级截然不同，必须按具体用途分别评估，不可“一套系统、一次评估、通用到底”。务实做法是为每项AI应用单独形成一页说明，载明处理目的、所需数据、采用AI的必要性及是否存在更轻量的替代方案。例如，仅需撰写产品宣传文案时，由大模型生成初稿、人工修订，几乎不涉及个人数据，风险较低；而将数千份简历导入系统进行自动评分排序，则必然处理应聘者个人数据，风险等级显著提升。区分评估有助于企业将有限合规资源集中于真正高风险的环节。

在AI处理链条中，主体的法律地位直接决定责任范围，亦为监管检查的首要关注点。判断标准并不复杂：决定数据处理目的和方式者，为数据控制者，须承担最重义务，包括确定合法性基础、履行告知义务、响应个人权利请求及在必要时开展影响评估；仅按指示处理数据、自身不作他用者，方为数据处理者，控制者须与其签订符合GDPR第28条的数据处理协议。尤需警惕的是，若AI供应商将客户提供的数据用于训练或优化其自有模型，则其在该部分数据上已从处理者转变为独立的控制者，仅签署处理协议已不足以满足合规要求，须重新评估法律依据。概言之，缔约前应准确识别供应商对数据的实际利用方式。

企业须明确哪些信息可能进入AI系统：员工是否会将客户、应聘者、内部员工或合作方的个人数据输入其中？是否涉及健康等特殊类别数据？一旦个人数据进入AI工具，即须完成两项工作：其一，确定处理的合法性基础。营销、招聘、考核等场景各有相应依据，“合法利益”并非普遍适用的兜底理由，电子营销等场景还须满足特别法中的“同意”要求。其二，履行告知义务，使数据主体知悉其数据被用于AI处理，并了解自动化决策的基本逻辑与可能后果。务实做法是在隐私政策及员工告知文本中单独增设“AI与自动化处理”条款。

供应商管理与数据跨境传输是出海企业最易出现合规疏漏的高风险环节。UODO明确要求，企业在部署AI工具前应充分核查供应商对受托个人数据的处理方式，建议参照本文提供的这份《AI供应商尽调清单》在采购前逐项核实：

如涉及向欧洲经济区以外传输数据，还须另行完成跨境传输合规安排。通常路径为：首先判断数据接收国是否已获得欧盟充分性认定；如未获得，则应签署欧盟标准合同条款，并开展传输影响评估，审查该国法律环境能否提供充分保护，必要时叠加技术与合同层面的补充措施。对中国出海企业而言，“数据回传国内总部”或“使用境外云服务”属于典型场景，应在系统设计阶段即预先确定传输路径与法律依据，避免事后补救增加合规成本。

当AI系统被用于招聘筛选、绩效考评、授信审批、动态定价等将对个人产生法律效果或类似重大影响的场景，并构成GDPR第22条所称“完全自动化决策”时，原则上应受到限制。仅在少数法定例外情形下，方可实施此类处理，例如为订立或履行合同所必需、经欧盟或成员国法律明确授权，或取得数据主体的明示同意。

即便落入上述例外，控制者仍须为数据主体提供三项最低保障：有权获得人工干预、有权表达其观点、有权对该决定提出异议。其中，“人工复核”必须具备实质性，而非流于形式。复核人员应具有相应权限、专业能力及充分时间，能够实际审查并改变自动化输出结果，而非仅履行程序性确认。建议企业在系统中固化复核节点与操作留痕，以便在面对监管检查时，能够有效证明人工介入的真实性与有效性。

如前所述，企业在AI合规中的主要风险往往并非源于已正式采购并纳入管理体系的系统，而在于员工未经授权擅自使用公开AI工具处理业务数据，即“影子AI”现象。因此，企业应当建立明确的内部使用规范，至少涵盖以下内容：列明经审批可使用的AI工具清单，并禁止将内部数据及个人数据输入未经批准的公开AI工具；客户、应聘者、员工及合作方的个人数据，尤其是健康数据等特殊类别数据，严禁输入任何未经合规评估的公开AI工具；AI生成内容在对外使用前须经过指定人员复核；同时，应明确误输数据、输出错误或疑似数据泄露时的内部报告路径与处置程序。制度建设之外，企业还须配套开展员工培训并留存培训记录，确保相关规范得以有效执行，将“影子AI”的使用纳入可控范围。

UODO还明确列举了若干通常须开展DPIA的典型AI应用场景，包括：医疗机构运用AI辅助影像诊断、识别病灶并生成报告；以AI算法进行信用评估；对运输服务客户实施画像并动态定价；以及可自动识别车辆并对驾驶员行为进行细致监管的交通监控系统。企业AI应用若与上述场景具有类似性，原则上难以豁免DPIA义务。

须特别澄清的是，完成DPIA并不等同于数据处理活动当然合规。DPIA的性质更接近一次系统性的风险识别与预控程序，其核心价值在于帮助企业在部署前厘清风险、制定应对措施，并留存评估记录以备监管查验。即便经评估不属于强制情形，企业亦可主动开展DPIA，既有利于降低合规风险，也有助于向客户及监管机构展示负责任的数据治理态度。

除GDPR外，企业还须关注欧盟《人工智能法》的相关要求。该法与GDPR属并行适用、相互叠加关系，而非择一适用。其分阶段生效安排为：自2025年2月起，公共场所无差别人脸识别、社会评分等“被禁止的AI实践”条款已开始适用；2025年8月起，通用人工智能模型（GPAI）相关义务生效；至2026年8月，高风险AI系统的核心合规义务将全面实施，涵盖合格评定、风险与数据治理、人工监督等内容。UODO发布的扩展版自查清单已将《人工智能法》中的风险分级与“基本权利影响评估”纳入考量。企业AI应用若涉及自行构建或微调模型，或可能对个人法律处境产生影响，应在GDPR自查之外，同步梳理该法项下的义务。

此处须特别区分两类易混淆的评估：GDPR下的DPIA关注的是“对个人数据权利和自由的风险”，而《人工智能法》下的基本权利影响评估关注的是“对基本权利的影响”。二者评估视角不同，不能相互替代。在高风险场景下，企业往往须同时完成两项评估。

然而，监管介入的实际影响远不止罚款本身。实践中，更值得关注的是后续合规负担：监管机构可责令整改、限制数据处理活动、要求重构系统、暂停正在进行的营销活动；对公共部门而言，还可能引发信任危机。此类隐性成本有时较罚单更具破坏力。

再说执法重点。UODO于2026年1月公布的年度行业检查计划锁定以下五个领域。尽管“AI工具”未被单列为专项，但其检查逻辑与前述AI自查清单的合规导向高度一致：

综上所述，上述合规义务可转化为清晰的行动步骤。企业无需一步到位，但应分阶段推进落实。

第一，开展AI工具全面盘点。 企业应梳理全部在用AI工具，包括员工未经授权自行使用的工具，建立台账，并依据用途进行风险分级，优先关注招聘、考核、授信、定价、健康及儿童数据等高风险场景。实践中，许多企业的问题并非不合规，而是对自身AI使用情况缺乏基本认知。

第二，开展部署前合规自查。 对照UODO发布的相应版本清单逐项核查，若否定回答超过三项，应暂停部署并寻求专业意见。同时，应同步落实角色认定、合法性基础确认及告知义务履行。建议由法务、IT及业务部门共同参与，避免因信息割裂导致评估失真。

第三，强化供应商管理与跨境传输合规。 运用前述尽调清单对AI供应商进行全面审查，并签署符合GDPR第28条的数据处理协议；涉及向欧洲经济区以外传输数据的，应补充签署标准合同条款并完成传输影响评估。

第四，依法开展影响评估并设置人工复核机制。 对照DPIA的12项触发标准及《人工智能法》高风险情形，对应开展影响评估的，不应省略。对于可能对个人产生法律或类似重大影响的自动化决策，必须设置实质性人工复核环节。

第五，建立制度并留存记录。 发布员工AI使用规范，组织专项培训，并将自查清单、评估报告、相关协议及培训记录统一归档，形成可验证的合规问责链条。同时，持续关注UODO在2026年9月30日意见征集截止后对清单的更新，以及《人工智能法》在波兰的实施细则。

最后，需特别注意以下常见误区：其一，误以为填写自查清单即等同于合规，实则清单仅为起点，不能替代正式评估；其二，误以为未正式采购AI系统即无风险，实则员工自发使用的“影子AI”同样构成数据处理活动；其三，误以为签署数据处理协议即完成全部义务，一旦供应商将数据用于训练自有模型，其角色转变将导致原有协议基础变化；其四，误以为“合法利益”可适用于所有营销及画像场景，实则电子营销另有同意要求，自动化决策亦受GDPR第22条约束。此外，涉及健康等特殊类别数据、儿童数据、对个人法律处境产生影响的自动化决策以及向欧洲经济区外传输数据的，必须坚持“先评估、后上线”原则。

07

结语

UODO这次用"自查清单、调研报告、支持计划"这套组合拳，传递出一个再清楚不过的信号：AI合规的审查时点正在前移，"先上线、后补票"的老做法风险越来越高。对出海企业而言，这份不具约束力的清单，恰恰是成本最低的合规抓手——在监管还没上门之前，先把自己的角色、数据流向、供应商关系和决策机制梳理明白。在GDPR和《人工智能法》双重框架叠加、各国监管日益活跃的背景下，数据合规早已不是后台支持，而是决定出海业务能否落地的前台议题。提前布局、专业护航，才能在中东欧市场走得稳、走得远。

▼下滑浏览参考文献

参考文献:

[1]UODO公告《在部署AI工具之前，先核查其是否符合GDPR原则》：https://uodo.gov.pl/pl/138/4533

[2]UODO《何时应开展数据保护影响评估》指引：https://uodo.gov.pl/pl/598/3617

[3]波兰《需开展DPIA的处理活动清单》（Monitor Polski 2019年第666号）：http://monitorpolski.gov.pl/MP/2019/666

[4]UODO 2026年行业专项检查计划

[5]欧盟《通用数据保护条例》（GDPR，Regulation (EU) 2016/679）

[6]欧盟《人工智能法》（AI Act）

特别声明

本文及其内容仅为交流目的,不代表上海兰迪律师事务所、分所或其律师出具的法律意见、建议或决策依据。如您需要法律建议或其他专业分析,请与本文栏目后台联系。本文任何文字、图片、音视频等内容,未经授权不得转载。如需转载或引用,请联系本栏目后台取得授权,并于转载时明确注明来源、栏目及作者信息。