关键要点
- GDPR（第 44 条）： 个人数据必须留在 EU。数据主体有权利（访问、删除、可移植性）。向美国云 API 传输数据需要充分的保护措施（标准合同条款或充分性决定）。
- HIPAA（164.306）： 患者数据需要加密、访问日志、审计跟踪和事件报告。
- SOC2 Type II： 需要 6+ 个月的控制证据（加密、访问控制、事件响应）。
- EU AI Act（2024）： AI 系统必须有文档、透明和审计。违规：€20M 或 4% 收入。
- Local LLMs 满足所有合规要求，因为数据不离开您的基础设施。
- 罚款： GDPR 最高 €20M（4% 收入）、HIPAA 最高 $1.5M 每次违规。
- 从 2026 年 4 月起，本地部署通过将数据和控制保留在内部，大幅简化合规认证流程。
GDPR：合规对 AI 意味着什么？
GDPR（通用数据保护条例）适用于任何处理 EU 居民个人数据的情况，无论贵公司位置在哪。
第 44 条（数据转移）： 个人数据不能转移到 EU 外，除非适用特定保护措施（标准合同条款、充分性决定）。向美国云 API 传输数据需要这些保护措施——EU 托管基础设施可完全避免此要求。
第 12-22 条（数据主体权利）： 个人可以请求访问、删除（"被遗忘权"）或数据可移植性。您必须在 30 天内响应。
第 5 条（原则）： 数据必须最小化、准确和合法处理。目的限制：数据不能在未经同意的情况下用于新目的。
罚款： 最高 €20 百万或年度全球收入的 4%，以较高者为准。
HIPAA 如何保护患者隐私？
HIPAA（医疗保险携带和问责法）适用于医疗提供者、保险公司和任何处理 PHI（受保护的健康信息）的人。
164.306（安全规则）： 需要行政、物理和技术保护措施。
物理： 设施必须安全（上锁、监视）。
技术： 加密、访问控制、审计日志。
行政： 政策、培训、事件响应。
禁止向云 API 发送患者数据。HIPAA 要求与供应商签订"业务伙伴协议"，但云 AI 服务通常拒绝签署。
罚款： 每个违规类别每年最高 $1.5 百万。
SOC2 Type II 需要什么？
SOC2（服务组织控制）是处理企业数据的组织的合规认证。 Type II 需要 6+ 个月的审计证据。
认证审计员审查：
- 访问控制（谁可以访问系统）
- 加密（静态和传输中的数据）
- 事件响应（安全事件程序）
- 变更管理（更新批准方式）
- 备份和灾难恢复程序
Local LLMs 帮助实现 SOC2，因为您控制所有系统。云 API 将某些控制委托给供应商，使认证复杂化。
EU AI Act 需要什么？
EU AI Act（2024）对在 EU 部署的 AI 系统施加新要求，无论供应商位置。
禁止的 AI： 面部识别（公共场合）、预测性警务、某些情绪检测。
高风险 AI： 需要风险评估、文档、人类监督。
所需文档：
- 训练数据来源和大小
- 模型在不同人群上的性能
- 限制和错误率
- 预期用途和禁止用途
Local LLMs 让您记录一切（您控制训练）。云 API 使文档变难（供应商控制训练）。
需要什么文档和审计日志？
合规需要全面的文档和日志：
- 数据清单： 处理了哪些个人/敏感数据，在哪里，由谁。
- 数据流： 数据如何通过系统流动。
- 访问日志： 谁访问了什么数据、何时、为什么。
- 变更日志： 模型、数据或政策何时改变。
- 事件报告： 安全事件、违规、未授权访问。
- 数据保留政策： 数据保留多长时间、何时删除。
- 第三方风险： 处理数据的供应商和承包商。
常见企业合规错误
- 假设云供应商为您处理合规。 即使供应商有 SOC2，您仍然要为 GDPR 和 HIPAA 合规负责。云不能消除责任。
- 不记录 AI 训练数据。 EU AI Act 需要文档。如果您不能记录训练，您违反法律。
- 糟糕的访问控制。 "任何有密码的人"不安全。需要多因素认证、基于角色的访问。
- 没有事件响应计划。 当（不是如果）发生违规时，您必须在几天内响应。提前制定计划。
- 忽视审计日志。 日志必须保存、保护和审查。没有日志，您无法证明合规。
关于企业合规的常见问题
Local LLM 部署保证 GDPR 合规吗？
不—本地部署是必要但不充分。您仍需要适当的访问控制、加密、数据保留政策和事件响应程序。Local LLMs 消除云供应商风险因素但不消除合规责任。
SOC2 Type II 认证需要多长时间？
通常 6-12 个月。您必须展示 6+ 个月的持续安全控制合规（加密、访问日志、事件响应）。Local LLM 部署可以通过提供对所有必需控制的完全控制来加速这一过程。
使用 Local LLMs 时如果我们被入侵会怎样？
您必须在 72 小时内通知受影响的个人和监管机构（GDPR）。拥有审计日志、事件响应程序和加密可以减少罚款并证明尽职调查。Local LLMs 帮助因为所有日志保持在本地。
我们可以用专有数据微调本地 LLM 吗？
是的—本地微调将数据完全保持在您的控制下。数据不离开您的基础设施。这满足 GDPR、HIPAA 和 SOC2，因为您保持完全所有权和审计日志。
哪项法规最难满足？
HIPAA 最严格：需要加密、审计日志、访问控制和即时违规通知。SOC2 最程序化（需要文档）。GDPR 最广泛（覆盖全球数据处理）。Local LLMs 对所有三者都有帮助。
我们需要为本地 AI 部署购买单独的保险吗？
咨询您的网络保险提供商。某些政策区分本地 vs. 云。Local LLMs 实际上可能降低保费，因为它们消除第三方供应商风险。
参考资源
- GDPR 官方文本 -- gdpr-info.eu
- HIPAA 最终规则 -- hhs.gov/hipaa
- SOC2 信任服务 -- aicpa.org/soc2
- EU AI Act -- ec.europa.eu/digital-single-market/en/news/proposal-regulation