简短回答： AI Agent 进入欧洲，最常被客户问到的是两类问题：一是 GDPR 下的数据处理，包括数据存在哪里、是否签署数据处理协议（DPA）、是否用客户数据训练模型、数据如何跨境传输；二是欧盟 AI 法案的要求，大多数营销和客服类 Agent 主要涉及透明度义务，例如让用户知道自己在与 AI 互动。上线前准备好一套面向客户的合规材料，可以显著减少采购阻力。
本文是方向性的整理，不构成法律意见。法规和执行细则会更新，请以官方最新文本和律师意见为准。
GDPR：客户最常问的问题
GDPR（通用数据保护条例）适用于处理欧盟境内人员个人数据的组织，即使公司不在欧盟。欧洲客户在采购时，通常会问：
| 客户的问题 | 你需要准备的回答 |
|---|---|
| 你们处理哪些个人数据？ | 列出数据类型、处理目的和保留期限 |
| 数据存在哪里？ | 数据存储和处理的地区，最好可以选择欧盟地区 |
| 你们是数据控制者还是处理者？ | 通常 B2B 场景下你是处理者，客户是控制者，需要签署 DPA |
| 你们用了哪些子处理者？ | 公开子处理者清单，包括云服务和大模型服务商 |
| 会用我们的数据训练模型吗？ | 明确说明，并在合同里写清楚 |
| 数据如何跨境传输？ | 说明传输机制，例如欧盟标准合同条款（SCC） |
| 怎么删除数据？ | 删除流程和时限 |
| 发生数据泄露怎么办？ | 事件响应和通知流程 |
数据跨境传输
把欧盟的个人数据传输到欧盟以外，需要有合法的传输机制。欧盟对部分国家作出了"充分性认定"；对于没有充分性认定的国家，通常使用标准合同条款（SCC），并进行传输影响评估。美国企业可以通过欧盟和美国之间的数据隐私框架（DPF）认证。
对中国团队来说，常见的做法是把欧洲客户的数据存储和处理放在欧盟地区，并清楚说明是否以及何时会有跨境访问。
欧盟代表
没有在欧盟设立机构、但向欧盟境内的人提供服务并处理其数据的公司，在很多情况下需要指定一名欧盟代表。
欧盟 AI 法案：先判断风险等级
欧盟 AI 法案于 2024 年生效，各项义务分阶段适用：禁止性条款从 2025 年 2 月开始适用，通用 AI 模型的相关义务从 2025 年 8 月开始适用，大部分其他条款计划从 2026 年 8 月起适用。欧盟委员会在 2025 年底提出过调整部分高风险条款时间表的提案，最终时间请以官方最新文本为准。
法案按风险分级：
| 风险等级 | 例子 | 主要要求 |
|---|---|---|
| 禁止 | 社会评分、某些操纵性做法 | 不得使用 |
| 高风险 | 招聘筛选、员工评估、信用评分、教育评分等领域 | 风险管理、数据治理、文档、人工监督等较重的义务 |
| 透明度义务 | 与人直接互动的 AI、生成或修改内容的 AI | 告知用户正在与 AI 互动；对 AI 生成内容进行标注 |
| 最低风险 | 大多数其他应用 | 没有特定义务，鼓励遵守行为准则 |
大多数营销、客服、销售辅助类 Agent，主要涉及透明度义务。但如果你的 Agent 用于招聘筛选、员工管理、信贷评估等领域，可能被认定为高风险系统，需要尽早咨询律师。
营销和外联的合规
- 向欧洲潜在客户发送营销邮件，要遵守各国的电子营销规定和 GDPR。详见 B2B Outbound 冷启动。
- 网站的分析和广告 Cookie，通常需要用户事先同意，Cookie 横幅要提供同样容易的"拒绝"选项。
- 在法国等国家，网站需要提供法律声明（Mentions légales），写明发布者信息。
上线前的客户合规材料清单
- 隐私政策（面向网站访客和用户）
- 数据处理协议（DPA）模板
- 子处理者清单
- 安全措施说明（加密、访问控制、备份、事件响应）
- AI 使用说明：使用哪些模型、数据是否用于训练、如何告知最终用户在与 AI 互动
- 数据存储地区说明
- 数据删除和导出流程
- 联系方式：负责数据保护问题的联系人
这些材料放在官网的"信任中心"或"安全"页面，会让欧洲客户的采购审查顺利很多。相关内容见 中国团队出海的信任问题。
常见问题
小团队也必须遵守 GDPR 吗？
是的。GDPR 适用于处理欧盟境内人员个人数据的组织，与公司规模无关，但部分义务会根据处理规模和风险有所不同。
必须获得 ISO 27001 或 SOC 2 认证吗？
法律上不是必须的，但很多中大型企业客户会把它作为采购要求。早期可以先准备好安全说明和问卷答复，等客户需要时再规划认证。
用了海外的大模型 API，需要告诉客户吗？
大模型服务商通常是你的子处理者，应该列入子处理者清单，并说明数据是否会被用于训练。