《个人信息保护法》在 AI 场景的适用：最小必要与单独同意

一、四个高频风险点

AI 应用场景中，以下四种情形最容易触发合规问题。

• 把包含姓名、手机号、身份证号的材料直接输入公有云 AI 工具
• 用 AI 对员工或客户进行自动化画像与评价
• 未经单独同意处理敏感个人信息（如生物识别、医疗健康、金融账户）
• 使用境外 AI 服务，导致个人信息实际发生出境

二、最小必要原则怎么落地

最小必要的核心是：收集和处理个人信息的范围，以实现目的所必需为限。

落到 AI 场景上就是：能脱敏就脱敏。分析员工工作效率，不需要真实姓名；分析客户行为，不需要身份证号。用「员工 A、客户 B」替代真实身份，绝大多数分析目标都能达成。

三、自动化决策的特别要求

如果 AI 参与对个人的决策（如绩效评价、信贷审批、简历筛选），需要满足额外要求：决策应当透明，结果应当公平公正，个人有权要求说明，并有权拒绝仅通过自动化决策作出的决定。

实务建议：在这类场景中，AI 只做辅助分析，最终决定由人作出，并保留决策过程记录。

四、出境问题最容易被忽略

使用境外 AI 服务时，输入的内容会传输到境外服务器，这在法律上可能构成个人信息出境。如果涉及个人信息，需要履行相应的合规程序。

这也是为什么在涉及个人信息的场景里，优先建议使用境内服务或本地部署方案。