短答案
《个人信息保护法》第五十五条列明五种情形，实务中可归为四类：
- 处理敏感个人信息。 生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。
- 利用个人信息进行自动化决策。 内容审核、推荐排序、信用评分、额度评估均属此类。
- 委托处理、对外提供、公开个人信息。 调用第三方模型服务、向关联公司共享、在公开场景展示用户内容，都可能落入。
- 向境外提供个人信息。 包括安全评估、标准合同与认证三条通道下的各类情形。
另加一项兜底：其他对个人权益有重大影响的处理活动。
边界条件
- 自动化决策不要求「完全自动化」。 只要决策结果对个人权益产生显著影响，即使有人工复核环节，也可能触发评估。
- 四类之间会重叠。 一款调用境外模型的 AI 写作工具，可能同时触发第二、三、四类；此时应做一份覆盖全部处理活动的评估，而不是分别做三份。
- 判断标准是实际处理，不是设计意图。 产品只设计收集账号与日志，但用户会粘贴病历、身份证照片、工资单，平台就已处理了敏感个人信息。
- 评估不是一次性的。 处理目的、方式、信息种类或共享对象发生重大变化时应当重做；没有变化也建议每年复核。
- 报告一般不需要备案，但须留存备查。 《个人信息保护法》第五十六条要求评估报告与处理记录至少保存三年。
下一步
- 逐项对照四类情形，记录判断结论。 把「触发／不触发」与理由写下来，本身就是检查时的第一份证据。
- 把 AI 产品最容易漏判的三处补进去。 用户输入中的敏感信息、微调与评测使用用户数据、API 对外开放时同时具备受托方与独立处理者两种角色。
- 按八部分结构写报告。 处理活动描述、合法性基础、必要性分析、权益影响、安全措施、风险等级与结论、整改措施与时限、复核安排。
- 以 PIA 为主线做口径统一。 把算法备案自评估与数据出境评估所需的信息嵌入同一套数据流描述，避免同一事实在四份文件中出现四种说法。
出处：《个人信息保护影响评估：四类触发情形、八部分报告与三处衔接》
本文为存量研究文章的问答化改写，完整论证与法规依据见出处文章。最后更新：2026 年 11 月 4 日。