第一步：确认您有权授权
首先确认权属。贵公司在自身业务过程中创建的记录通常可以授权。为客户保管的记录、受保密协议约束的供应商图纸，以及从他人处获得授权的内容，未经同意通常不能授权。请审查客户合同、保密协议、雇佣条款和软件许可协议中有关数据使用的条款。
第二步：处理个人信息
| 司法管辖区 | 要点 | 来源 |
|---|---|---|
| 欧盟 / 英国（GDPR） | 假名化数据仍属个人数据；真正匿名的数据不受GDPR约束。监管机构对AI模型的匿名性设定了很高的标准。 | GDPR序言第26条；EDPB 第28/2024号意见 |
| 日本（APPI） | 假名加工信息一般不得提供给第三方；匿名加工信息可以提供，但须公开披露信息类别和加工方法。 | DLA Piper |
| 香港（PDPO） | 将个人资料用于新目的须取得订明同意；监管机构将出售资料视为新目的。 | PCPD，保障资料第3原则 |
| 台湾（PDPA） | 超出原始目的的使用须有法律依据或取得同意；去标识化标准较不明确。 | 评论文章 |
| 中国大陆（PIPL） | 匿名化信息不属于个人信息；跨境传输须履行同意和评估义务。 | Jones Day |
| 新加坡（PDPA） | PDPC 2024年发布的指引涵盖AI系统中的同意、例外情形和匿名化。 | PDPC |
本文仅为一般性信息，不构成法律意见。签约前请咨询您所在司法管辖区的律师。
第三步：规划去标识化
确定由谁、在何时、按什么标准删除个人信息。各方做法不同：Google 要求 Spirit Airlines 的记录清除个人信息，另一些买方则表示会在传输后自行删除或转换个人数据。如果按照您适用的法律，原始个人数据离开公司会产生问题，请要求在交付任何数据之前完成去标识化。
第四步：书面确定范围
- 纳入的系统、团队和时间范围。
- 排除的客户、项目、人员或记录类型。
- 副本的格式和数据量。
- 由谁提取，以及在何处处理。
第五步：取得内部批准
确定谁有权批准授权：股东、董事，有时还包括母公司或贷款方。向IT部门和负责客户合同的人员通报情况。在 Calto Data 评估中，我们会询问贵公司能否授权使用其记录，以便尽早发现许可问题。
常见问题
授权前必须对数据进行匿名化吗？
法律上并非总是必须，但这是最安全的做法。如果保留个人数据，则需要合法依据，并且视司法管辖区而定，往往还需要取得同意。
在GDPR下，假名化数据就足够了吗？
不够。根据GDPR，假名化数据仍属个人数据。只有无法再识别个人身份的数据才不受其约束。
日本公司可以把数据授权给美国AI公司吗？
可以，但个人信息必须依照日本《个人信息保护法》(APPI)处理，包括其关于向第三方提供和跨境提供的规定。匿名加工信息适用的规则较宽松。
我们需要取得客户同意吗？
如果记录包含客户的个人信息或机密信息，通常需要，除非这些信息已被删除，或您的合同已允许此类使用。