了解数据流向
梳理 AI 能看到哪些客户数据、在何处处理和存储，以及涉及哪些第三方。向服务商索取其分处理者清单和数据驻留选项。
保护传输中和静态数据
- 传输中加密（TLS 1.2 或更高版本）
- 使用托管密钥并轮换的静态加密
- 私有网络和 Web 应用防火墙
- 密钥保存在保管库中并定期轮换
控制谁能做什么
使用单点登录、多因素认证和基于角色的访问。确保特权操作和配置变更均有日志记录。
确保回答符合政策
针对受监管的请求，将自由形式的 AI 与结构化流程相结合，以经批准的知识作为回答依据，并自动为对话进行合规评分。
保持人工参与
明确 AI 何时必须转接，从由人工核查建议的坐席辅助起步，并定期查看对话文字记录。
核查当地法规
不同国家和行业的要求各不相同，例如个人数据保护法和中央银行的技术风险指引。请尽早让风险与合规团队参与。本指南仅为一般性信息，不构成法律意见。