步驟一：確認您有權授權
先從所有權著手。貴公司在自身業務過程中產生的紀錄，通常可以授權。代客戶保管的紀錄、受保密協議約束的供應商圖面，以及向他人取得授權的內容，通常未經同意不得授權。請檢視客戶合約、保密協議、僱用條款與軟體授權中有關資料使用的條款。
步驟二：處理個人資料
| 司法管轄區 | 重點 | 來源 |
|---|---|---|
| 歐盟／英國（GDPR） | 假名化資料仍屬個人資料；真正匿名的資料則不受 GDPR 規範。監管機構對 AI 模型的匿名性設有高標準。 | 前言第 26 點；EDPB 第 28/2024 號意見 |
| 日本（APPI） | 假名加工資訊原則上不得提供給第三方；匿名加工資訊則可以，但須公開揭露資訊類別與加工方法。 | DLA Piper |
| 香港（PDPO） | 將個人資料用於新目的須取得訂明同意；監管機構將出售資料視為新目的。 | PCPD，保障資料第 3 原則 |
| 台灣（PDPA） | 超出原始目的之利用須有法律依據或取得同意；去識別化標準較不明確。 | 評論文章 |
| 中國大陸（PIPL） | 匿名化資訊不屬於個人信息；跨境傳輸須履行同意及評估義務。 | Jones Day |
| 新加坡（PDPA） | PDPC 2024 年指引涵蓋 AI 系統中的同意、例外與匿名化。 | PDPC |
本文僅為一般資訊，並非法律意見。簽約前請諮詢您所在司法管轄區的律師。
步驟三：規劃去識別化
決定由誰、在何時、以何種標準移除個人資料。各方做法不同：Google 要求 Spirit Airlines 的紀錄須清除個人資料，也有買方表示會在移轉後自行移除或轉換個人資料。若依您適用的法律，未經處理的個人資料流出公司會造成問題，請要求在交付任何內容之前完成去識別化。
步驟四：以書面界定範圍
- 納入的系統、團隊與日期範圍。
- 排除的客戶、專案、人員或紀錄類型。
- 副本的格式與數量。
- 由誰擷取，以及在何處處理。
步驟五：取得內部核准
確認誰有權核准授權：經營者、董事，有時還包括母公司或貸款機構。並向 IT 部門及負責客戶合約的人員說明。在 Calto Data 檢查中，我們會詢問貴公司是否能授權使用其紀錄，以便及早發現權限問題。
常見問題
授權前必須先將資料匿名化嗎？
法律上不一定要求，但這是最安全的做法。若保留個人資料，依各司法管轄區規定，您需要合法依據，且往往須取得同意。
依 GDPR，假名化資料就足夠了嗎？
不夠。依 GDPR，假名化資料仍屬個人資料。只有無法再識別個人的資料才不受其規範。
日本企業可以將資料授權給美國 AI 公司嗎？
可以，但個人資料必須依 APPI 處理，包括其有關提供給第三方及跨境提供的規定。匿名加工資訊適用的規定較寬鬆。
我們需要取得客戶同意嗎？
若紀錄含有客戶的個人或機密資訊，通常需要，除非已將其移除，或您的合約已允許此類使用。