AI 企业出海合规路线图
欧盟 AI Act + GDPR + 东南亚 PDPA，按时间节点标注关键合规动作
简深律师事务所 · Geason Law Offices
阶段一：产品规划期上线前 3–6 个月
- 完成欧盟 AI Act 风险等级分类（ prohibited / high / limited / minimal ）
- 判断是否触发 GDPR 域外管辖，梳理个人数据处理场景
- 目标市场筛查：欧盟、英国、新加坡、东南亚 PDPA 等
阶段二：合规建设期上线前 1–3 个月
- 高风险系统：建立风险管理体系、数据治理与人工监督机制
- 完成 DPIA（数据保护影响评估），指定欧盟代表（GDPR Art.27）
- 起草并本地化隐私政策、用户协议、Cookie 政策
- 如涉及中国数据出境：完成安全评估或签订标准合同（SCC）
阶段三：上线与公示上线时点
- 高风险系统完成 EU 数据库登记（EU AI Act Art.49/71）
- 对生成内容添加 AIGC 标识，建立内容安全处置流程
- 上线隐私政策与授权链路留痕
阶段四：持续运营上线后持续
- 高风险系统保存技术文档与自动日志，接受监管审查
- 重大变更重新评估风险等级与合规义务
- 跟踪目标法域立法更新（如东南亚各国 PDPA 细则）