新西兰企业启动 AI 工作流前，应先回答的七个治理问题

治理从目的和数据最小化开始

先写清流程为什么需要 AI、不用 AI 是否也能解决、输入中有哪些个人或敏感信息，以及每一项数据是否真的必要。范围越模糊，后续供应商、权限与留存决策越难。

七个上线前问题

这些问题不是法律意见，而是一个实施团队应当能用证据回答的运行清单。

• 目的：这个流程解决什么问题，成功与停止标准是什么？
• 信息：哪些个人信息进入，能否减少或去标识？
• 供应商：数据去哪里、保留多久、是否用于训练？
• 准确性：用什么真实测试集评估，谁批准上线？
• 人审：哪些决定必须由具备责任的人确认？
• 透明度：客户和员工何时需要知道 AI 参与？
• 持续复盘：如何处理投诉、异常、知识过期和供应商变化？

把 PIA 当作活的设计文件

新西兰隐私专员建议在使用 AI 处理个人信息前进行并持续更新隐私影响评估。实践上，这意味着流程、字段、供应商或用途变化时，评估也要更新。