一、数据使用
- 是否会用我们的数据训练或改进模型？ 说明默认行为、是否可关闭、关闭后的生效范围；与 DPA 一致。
- 数据会传给哪些第三方模型提供者？ 列出子处理者及其数据保留与使用政策。
- 数据保存在哪里、保存多久？ 包括提示词、输出和日志。
二、模型来源
- 使用了哪些模型？自研还是第三方？ 说明模型名称或类别、版本管理方式。
- 模型更新时会通知我们吗？ 说明变更管理与通知机制。
三、评估与监控
- 如何评估输出的准确性、偏见和安全性？ 说明上线前评估指标与测试集来源。
- 上线后如何监控？ 漂移监控、异常检测、用户反馈处理。
四、人工监督与问题处理
- 哪些决策有人工复核？ 特别是涉及个人重大影响的场景。
- 发现有害或错误输出如何处理？ 报告渠道、响应时限、修复与通知。
五、合规与治理
- 是否符合欧盟《人工智能法》？ 说明你的角色、系统风险分类和已落实的义务，参见 欧盟《人工智能法》。
- 有没有 AI 治理框架或认证？ 内部 AI 政策、风险评估流程；已取得或计划取得的 ISO/IEC 42001 认证；参考的 NIST AI RMF 等框架。
六、合同与责任
- 输出的知识产权和责任如何划分？ 输出归属、侵权责任、使用限制和免责范围。
准备方法
- 先对齐事实：产品、算法、数据、法务坐在一起，把每个问题的真实答案写下来
- 形成统一文档：AI 治理说明 + 答案库，中英文各一份
- 与合同一致：DPA、服务条款和隐私政策中的 AI 相关表述要同步更新
- 定期更新：模型或数据流变化时同步修改