Hướng dẫn tuân thủ AI — GDPR, DSGVO, RGPD, LGPD, KVKK và tokutei-shoutorihiki của Nhật Bản

Mỗi khu vực có các quy định khác nhau về cách một SaaS triển khai LLM trong môi trường production phải xử lý dữ liệu. Hướng dẫn này là cẩm nang thực tiễn — cơ quan quản lý nào thực sự yêu cầu điều gì, Kunavo cung cấp và không cung cấp những gì, và bạn vẫn cần làm gì ở phía mình. Đây không phải tư vấn pháp lý (hãy trao đổi với luật sư về vấn đề đó), mà là danh sách kiểm tra vận hành mà hầu hết đội ngũ kỹ thuật thực sự cần.

Bốn yêu cầu chung — áp dụng ở mọi nơi

1. Giả danh hóa PII trước khi gửi đến upstream LLM — không bao giờ gửi tên, email, số điện thoại, số tài khoản thô cho bên thứ ba. Che bằng các token ổn định, khôi phục cục bộ
2. Ký DPA / thỏa thuận xử lý dữ liệu với mọi bên xử lý dữ liệu cá nhân. Kunavo không cung cấp thỏa thuận này — các yêu cầu được xử lý tại Hoa Kỳ và chuyển tiếp đến các nhà cung cấp upstream — vì vậy để có DPA bao phủ các lệnh gọi LLM, hãy ký hợp đồng trực tiếp với nhà cung cấp mô hình (theo các điều khoản doanh nghiệp của Anthropic, OpenAI hoặc Google)
3. Duy trì dấu vết kiểm toán — ID yêu cầu, mô hình được sử dụng, băm lời nhắc, số lượng token, dấu thời gian. Nhật ký phải có thể xóa để đáp ứng yêu cầu quyền được xóa
4. Cập nhật chính sách quyền riêng tư — nêu rõ việc xử lý AI, liệt kê các bên xử lý phụ (Kunavo + nhà cung cấp upstream)

Yêu cầu cụ thể theo khu vực

🇪🇺 Liên minh Châu Âu — GDPR (tổng quan)

• DPA theo Điều 28 với từng bên xử lý — Kunavo không cung cấp; đối với các lệnh gọi LLM, hãy ký hợp đồng trực tiếp với nhà cung cấp mô hình (theo các điều khoản doanh nghiệp của Anthropic, OpenAI hoặc Google)
• Điều khoản Hợp đồng Tiêu chuẩn (SCC) cho việc chuyển dữ liệu đến các upstream đặt tại Hoa Kỳ (Anthropic, OpenAI) — các điều khoản này đi kèm DPA riêng của nhà cung cấp; Kunavo không có khu vực EU và xử lý yêu cầu tại Hoa Kỳ
• Hồ sơ hoạt động xử lý (Điều 30), bao gồm các mục đích cụ thể cho LLM
• Bảo mật ngay từ thiết kế — giả danh hóa, tối thiểu hóa dữ liệu, giới hạn mục đích
• Thời hạn thông báo vi phạm trong 72 giờ nếu sự cố bảo mật ảnh hưởng đến các chủ thể dữ liệu tại EU

🇩🇪 Đức — DSGVO + Impressum + DDG

Đức áp dụng thêm các yêu cầu bên trên GDPR:

• Impressum (§ 5 DDG / § 18 MStV) — công bố danh tính đơn vị vận hành, địa chỉ, thông tin liên hệ và cơ quan giám sát. Bắt buộc đối với các trang nhắm đến người dùng Đức. Impressum của Kunavo có tại /legal/impressum
• Yêu cầu đồng ý nghiêm ngặt hơn đối với việc xử lý dữ liệu “không thiết yếu” (đồng ý cookie, phân tích)
• Đối với bán hàng B2B: quy tắc chuyển ngược nghĩa vụ thuế áp dụng trong nội khối EU. Quy trình thanh toán tiêu chuẩn của Kunavo không hiển thị VAT cũng như không thu thập mã số VAT; để nhận chứng từ kế toán, hãy viết tới contact@kunavo.com

DSGVO-konformer LLM-Einsatz cung cấp phần phân tích chuyên sâu bằng tiếng Đức cùng mã che giấu PII.

🇫🇷 Pháp — RGPD + các mối quan ngại về chủ quyền AI

• RGPD là GDPR; DPA theo Điều 28 tương tự được áp dụng
• CNIL là cơ quan thực thi; dự kiến bị giám sát chặt chẽ hơn đối với lĩnh vực y tế/tài chính
• Đối với các lĩnh vực nhạy cảm (khu vực công, y tế, quốc phòng): hãy cân nhắc định tuyến chỉ trong EU — ví dụ Mistral, được ký hợp đồng trực tiếp; Kunavo không có khu vực EU và không cung cấp định tuyến chỉ trong EU
• Chính sách quyền riêng tư phải bằng tiếng Pháp nếu phục vụ người tiêu dùng Pháp

Conformité RGPD pour LLM en France cung cấp phần phân tích chuyên sâu bằng tiếng Pháp.

🇯🇵 Nhật Bản — APPI + tokutei-shoutorihiki

• 特定商取引法 (Đạo luật về Giao dịch Thương mại Cụ thể): công bố thông tin người bán, chính sách hoàn tiền và phương thức thanh toán. Bắt buộc đối với B2C tại Nhật Bản. Trang của Kunavo tại /legal/tokutei-shoutorihiki
• APPI (Luật Bảo vệ Thông tin Cá nhân) — Kunavo không ký thỏa thuận xử lý dữ liệu; đối với hợp đồng bao phủ việc xử lý LLM, hãy làm việc trực tiếp với nhà cung cấp mô hình
• Việc chuyển dữ liệu xuyên biên giới đến các nhà cung cấp thượng nguồn tại Hoa Kỳ/EU cần có sự đồng ý hoặc hợp đồng

🇰🇷 Hàn Quốc — PIPA

• Đạo luật Bảo vệ Thông tin Cá nhân của Hàn Quốc — một trong những đạo luật nghiêm ngặt nhất trên thế giới
• Sự đồng ý rõ ràng đối với việc thu thập và chuyển dữ liệu xuyên biên giới
• Thông báo quyền riêng tư bằng tiếng Hàn nếu phục vụ người dùng Hàn Quốc

🇧🇷 Brazil — LGPD + BACEN cho lĩnh vực fintech

• LGPD (Lei Geral de Proteção de Dados) có cấu trúc tương tự GDPR
• Đối với các trường hợp sử dụng PIX/thanh toán, các Thông tư BACEN 4.018 + 3.978 về rủi ro vận hành được áp dụng — lập tài liệu về các quyết định của mô hình và cho phép phản đối
• Direito ao esquecimento (Điều 17) — nhật ký của bạn phải có thể xóa được

Claude para análise de risco PIX no Brasil đề cập cụ thể đến LGPD + BACEN.

🇹🇷 Thổ Nhĩ Kỳ — KVKK

• Luật Bảo vệ Dữ liệu Cá nhân (KVKK) — cấu trúc DPA tương tự GDPR
• Việc chuyển dữ liệu ra nước ngoài cần có sự đồng ý rõ ràng hoặc các biện pháp bảo vệ được KVKK phê duyệt
• Bên kiểm soát dữ liệu phải đăng ký với KVKK nếu hoạt động xử lý vượt quá các ngưỡng quy định

Lưu giữ Dữ liệu bằng Không (ZDR) — khi nào bạn cần

Theo mặc định, Anthropic lưu nhật ký prompt trong 30 ngày, Google trong 60 ngày để giám sát hành vi lạm dụng. Đối với khối lượng công việc có độ nhạy cảm cao (y tế, tài chính, chính phủ, khu vực công EU), các nhà cung cấp mô hình cung cấp ZDR theo các điều khoản doanh nghiệp riêng của họ. Kunavo không cung cấp ZDR, vì vậy mỗi lựa chọn sau đây đều cần hợp đồng trực tiếp với nhà cung cấp:

• Anthropic ZDR: dành cho khách hàng doanh nghiệp của Anthropic. Anthropic xóa prompt trong vòng 30 giây kể từ khi hoàn tất, không huấn luyện và có cam kết theo hợp đồng
• Google Vertex AI ZDR + khu vực EU: định tuyến đến europe-west1 (Bỉ) hoặc europe-west4 (Hà Lan), dữ liệu ở lại EU, có ZDR
• OpenAI ZDR: chỉ dành cho tầng Enterprise

Các yêu cầu gửi qua Kunavo được xử lý tại Hoa Kỳ và chuyển tiếp đến các nhà cung cấp upstream, áp dụng chính sách lưu giữ dữ liệu riêng của họ; Kunavo không thể bật ZDR hoặc định tuyến khu vực EU cho các yêu cầu đó. Khối lượng công việc cần một trong hai tính năng này phải được thực hiện theo hợp đồng trực tiếp với nhà cung cấp mô hình.

Những gì Kunavo cung cấp so với những gì vẫn thuộc phía bạn

Danh sách kiểm tra kiểm toán 30 phút

1. Cần DPA cho các lệnh gọi LLM? Kunavo không ký DPA — hãy ký hợp đồng trực tiếp với nhà cung cấp mô hình (theo các điều khoản doanh nghiệp của Anthropic, OpenAI hoặc Google)
2. Thêm bước giả danh hóa PII trước mọi lần gọi LLM (mã mẫu trong các phần phân tích chuyên sâu theo khu vực)
3. Xác nhận nhật ký kiểm toán của bạn ghi lại request_id, prompt_hash, model, tokens, timestamp — và có thể xóa được
4. Cập nhật chính sách quyền riêng tư: liệt kê “Kunavo” + các nhà cung cấp thượng nguồn là các bên xử lý phụ, đề cập đến mục đích (phân loại, tạo nội dung, v.v.)
5. Công bố các thông báo theo từng khu vực: Impressum (DE), tokutei-shoutorihiki (JP) — các thông báo riêng của Kunavo tại /legal cho thấy định dạng
6. Nếu thuộc lĩnh vực nhạy cảm: hãy sắp xếp ZDR trực tiếp với nhà cung cấp mô hình (Kunavo không cung cấp tính năng này)
7. Thiết lập chu kỳ rà soát hằng tháng — quy định thay đổi, nhà cung cấp thay đổi, thời hạn lưu giữ nhật ký kiểm toán của bạn có thể cần điều chỉnh

Đừng hoảng sợ, nhưng cũng đừng bỏ qua

Đối với hầu hết SaaS B2C không có dữ liệu thuộc danh mục đặc biệt, bốn yêu cầu chung cùng một chính sách quyền riêng tư được cập nhật sẽ giúp bạn hoàn thành 95% công việc. 5% còn lại — thông báo theo ngành, ZDR và upstream có chủ quyền — phát sinh khi bạn mở rộng quy mô hoặc bước vào các ngành chịu quản lý.

Câu hỏi thường gặp