你天天喊 AI 营销,但你真的敢用客户数据吗?

前段时间,有个创业朋友来找我喝茶。

他做母婴电商,融资融到了 A 轮,正准备甩开膀子上一个 AI 推荐系统。聊天讲到一半,他突然压低声音问我:

「老兄,我们想用客户浏览记录、购买记录、聊天记录训练模型,做精准推荐。但合规那边说这事儿麻烦。我到底要不要做?」

要不要做?

天呐,这事儿不是「要不要做」的问题,是「不做你很快就没法做了」的问题。

一、欧洲那张罚单,够买你半栋办公楼

先讲个让所有人都清醒一下的事。

2018 年,欧洲一部叫 GDPR 的法律正式生效。全称「通用数据保护条例」,听着很学术,翻译成人话就是——欧洲对个人数据立了一部铁律。

这部铁律有多狠?

• 罚款上限是「全球年营业额的 4%」或「2000 万欧元」,哪个高罚哪个。
• 一家大型互联网公司随便一罚,就是几个亿。

4%,听着不大?你算算。

你公司一年做 50 亿生意,4% 就是 2 个亿。北京东三环一栋写字楼,差不多就这个数。

GDPR 出来这几年,Google、Meta、亚马逊都被罚过。光 Google 一家,2019 年就被法国开了 5000 万欧元的罚单。理由很朴素——个性化广告的同意机制不够透明。

天呐。

而 2024 年,欧盟又来了个 AI Act(人工智能法案),把 AI 系统按风险分四档:不可接受、高风险、有限风险、最小风险。营销里那些大规模画像、自动化决策,大概率落在「高风险」这一档。

也就是说,你天天在搞的「AI 精准营销」,在欧洲法律眼里,可能就是高风险活动。

那这事儿在中国不重要?错了。中国的《个人信息保护法》(PIPL)2021 年就生效了,精神跟 GDPR 几乎一模一样——最小化收集、明示同意、可删除、可携带。

二、什么叫「数据最小化」?

我那个朋友听到这个词,愣了一下。

什么叫数据最小化?

说白了就是——只收你这次任务真正需要的那一份。

举个例子。

你想给客户推荐奶粉,你需要的是「这位客户买过几次奶粉、什么时候买的、什么品牌」。你不需要知道她的婚姻状况、收入水平、家庭住址、老公在哪儿上班。

你把这些都收上来,模型可能准一点点,但你扛的不是「准一点点」的成本,你扛的是「一旦泄露、监管上门」的成本。

GDPR 第 5 条写得清清楚楚:个人数据的收集,必须是为特定、明确、合法的目的,且不得超出必要范围。

这条原则,直接戳穿了 AI 营销的一个根本性幻想——你以为数据越多越准,法律告诉你:数据越多,你越睡不着。

三、隐私设计,不是上线前再补的

那怎么办?

这就是 GDPR 专家真正的工作——把隐私写进系统的 DNA,而不是上线前再补。

什么叫「写进 DNA」?

举三个具体动作:

第一,做 DPIA(数据保护影响评估)。新项目立项时,先做一次系统性的隐私风险扫描:你这个 AI 系统,会用什么数据?存在哪儿?给谁看?留多久?有哪些泄露路径?评估完了,再决定要不要上、怎么上。

第二,默认隐私(Privacy by Default)。产品一上线,默认设置就是「最保护用户的那一档」。比如新用户注册,个性化推荐默认是「关闭」的,需要他主动勾选「我愿意接收个性化推荐」才能打开。让同意变得有意义,而不是默认捆绑。

第三,审计留痕。每一次数据访问、每一次模型训练、每一次导出,都要可追溯。监管来查,你能拿出一份完整的「谁、什么时候、用了什么数据、做了什么」的日志。

这三件事,听着都挺朴素的吧?

但据我了解,真正能做到这三条的中国公司,不超过三成。大部分团队,都是营销上线了、数据收来了、模型跑了三个月之后,才意识到——咦,好像得问问合规?

这就晚了。

四、AI 营销的伦理,藏在算法的暗角里

法律是底线,伦理是更高的那根线。

AI 营销里最容易踩的伦理坑,是算法偏见。

你的推荐模型,是用过去一年的客户行为数据训练出来的。如果过去一年,你的客户群体里男性占 70%,会发生什么?

模型会自动把「男性偏好」当成「主流偏好」,把女性客户、老年客户、低收入客户,边缘化。他们打开你的 App,看到的全是给他们不相关的商品。久而久之,他们就走了。

你以为是模型不智能?不,是模型在系统性地歧视一部分人。

这事在欧洲已经被罚过了。有一家叫 OPTISTA 的公司,因为算法对不同性别、不同种族的客户给出不同的价格,被监管重罚。

GDPR 第 22 条明确规定:个人有权不接受完全基于自动化处理、对个人产生法律效力或类似重大影响的决策。

翻译成人话——你的 AI 不能偷偷给人贴标签、定价格、限流,而不告诉人。

五、跨境传输:被忽视的隐形炸弹

还有一个 90% 的中国出海公司都没搞懂的事——跨境数据传输。

你在中国收集了欧洲用户的数据,存到中国境内的服务器,或者反过来,用美国的 SaaS 工具处理中国客户数据。

你以为这只是个 IT 部门的小问题?

天呐,这事儿在 GDPR 里是 Chapter V,整整一章专门讲「第三国传输」。规则是:欧洲公民的个人数据,只能传到欧盟认可的「充分保护国家」,或者用标准合同条款(SCC)、约束性企业规则(BCR)这些工具来兜底。

中国不在这个充分保护国家名单上。

美国也不在(虽然有个 EU-US Data Privacy Framework 兜着)。

这意味着什么?意味着如果你公司有欧洲客户,你把他们的数据传回中国,你得拿出合法的传输机制。否则一笔罚单下来,前面赚的钱全打水漂。

六、未来三年,「合规」会变成「竞争力」

写到这里,我想换一个角度看这件事。

大部分中国公司把合规看作成本——花钱、招人、写流程、加 Cookie 弹窗,影响转化率。

但我最近看到一个反向案例。

有一家做欧洲市场的中国 SaaS 公司,提前两年就把 GDPR 合规做透了。他们的产品在合规这件事上,比欧洲本地 80% 的竞品都做得更细——可解释的算法、可一键导出的数据包、可一键删除的账户、清晰的同意管理界面。

结果呢?

欧洲客户选他们,不是因为便宜,不是因为功能多,是因为**「这家中国公司居然比我们本地的还规范」**。

这件事让我突然想通一个道理——

当所有人都把合规当负担时,主动把它做好,它就成了你的护城河。

未来三年,数据合规会从「成本中心」变成「信任中心」。而信任,在 AI 时代,是最稀缺的货币。

七、最后给你三个判断

如果你也在做 AI 营销,给你三个朴素的判断:

1. 数据治理,排在模型选型之前。模型可以换,数据治理必须从第一天就做。

2. 合规不是法务部门一个人的事。它是产品经理、工程师、运营、市场,所有人共同的认知。

3. 把「用户能不能随时拿走自己的数据」当成产品验收的标准。能做到,你就比 90% 的同行领先。

回到我那个做母婴电商的朋友。

我跟他说:你这个项目可以做,但你得先做三件事——先做 DPIA,先把同意机制做扎实,先想清楚跨境传输的合法路径。这三件事做完,你心里才有底。

他听完,沉默了一会儿,说:

「你说得对。我以前以为这事是『法务挡路』,现在明白了,这事是『未来三年的命』。」

没错。

创新和保护,从来不是对立的。

保护做得好的创新,才是真正走得远的创新。

祝你的 AI 项目,既跑得快,又跑得稳。