在 BC 或安省经营 AI 创业公司，准备把员工档案、客户记录、客服对话或其他个人资料接入新的 AI 分析服务，应在上线前开展隐私影响评估（Privacy Impact Assessment，PIA），明确数据用途、法律依据、第三方访问权限、保存期限和风险控制措施，并由有权限的管理人员确认风险可以接受。 但必须先分清企业身份：BC 普通私营企业通常受《个人信息保护法》（PIPA）约束，BC 隐私专员办公室明确建议私企开展 PIA，但一般没有统一的法定 PIA 强制要求；安省《信息自由与隐私保护法》（FIPPA）下的省级公共机构则自 2025 年 7 月 1 日起有明确的 PIA 法定义务。
源1 源2 源3
关键是，PIA 与个人资料的合法使用是两件事：即使法律没有要求私企必须完成一份名为 PIA 的报告，公司仍须确认有权收集、使用和披露资料，并采取适当的保护措施。加拿大联邦隐私专员关于生成式 AI 的指引也要求组织明确法律依据、控制资料共享、限制不必要的收集，并把隐私保护纳入系统设计。源4
一、先判断公司适用哪套隐私规则
| 公司或业务情况 | PIA 的要求 |
|---|---|
| BC 普通私营 AI 公司，处理客户或员工资料 | PIPA 通常适用。OIPC 建议新项目或重大变更前开展 PIA，作为合规与风险管理最佳实践。 |
| 安省普通商业公司，处理客户资料 | 视业务性质和资料流向判断是否适用 PIPEDA、PHIPA 等法律。一般商业活动不因公司位于安省就自动产生统一的法定 PIA 义务。 |
| 安省省级政府机构等 FIPPA 适用机构 | 自 2025 年 7 月 1 日起，收集个人资料前原则上须准备书面 PIA，并遵守法定内容要求及适用例外。 |
| 安省市政府、学校董事会等 MFIPPA 适用机构 | 自 2027 年 1 月 1 日起，相关法定 PIA 要求生效；截至 2026 年 10 月 29 日，该日期尚未到来。 |
| 为政府或医疗机构开发、部署 AI 系统的供应商 | 还要检查客户机构的法定责任、合同要求及适用的健康资料规则。 |
以上区别可从 BC 省政府对私营部门隐私法的说明、安省 FIPPA 法条及安省隐私专员的修法问答核对。源2 源3 源5 源6
特别注意：安省隐私专员发布的 PIA 指南主要面向受 FIPPA 或 MFIPPA 约束的公共机构。私营创业公司可以借用其评估框架，但不能据此认定所有安省私企都受同一项法定 PIA 要求约束。源3
BC 也有两套容易混淆的法律：
- PIPA：通常适用于 BC 私营企业处理个人资料的活动，包括员工资料和客户资料。
- FOIPPA：主要适用于公共机构。其第 69 条规定公共机构开展 PIA 的相关义务，不能直接当成普通私营公司的法定义务。源1 源2 源7
如果公司同时在多个省运营，或跨境向 AI 服务商传输资料，应根据实际业务、机构性质、资料类别和处理地点逐项判断适用法律，不能只看公司注册地。
二、哪些 AI 项目应在上线前开展 PIA
对私营创业公司而言，最实用的做法是把 PIA 纳入产品设计、采购和上线审批流程。以下情形尤其值得启动评估：
- 将客服工单、电子邮件、聊天记录或客户账户资料接入外部大模型。
- 使用员工绩效记录、招聘材料、工作日志或内部沟通内容进行 AI 分析。
- 让 AI 对个人进行分类、画像、评分，或辅助招聘、绩效、定价及服务资格决策。
- 更换 AI 服务商、增加新的数据来源、改变资料用途，或允许供应商将输入内容用于模型训练。
- 将原本内部使用的资料开放给更多员工、外包团队、关联企业或第三方系统。
BC OIPC 的私营部门 PIA 指引明确建议在新项目或实质性变更项目时开展评估，并尽早介入设计阶段，以便识别风险、减少后续改造成本。源1
这份评估应覆盖完整的数据生命周期，而不只是第一次上传资料的动作：资料从哪里来、进入什么系统、由谁访问、是否生成新的个人推断、保存多久、如何删除，以及项目结束后供应商是否仍保留副本。
三、PIA 应由谁编写、谁批准
对于普通私营公司，法律与公司治理责任要分开处理。BC PIPA 要求组织对其控制的个人资料承担责任，并指定负责确保遵守该法的人；但 OIPC 的私营部门 PIA 指引并没有规定所有企业必须由某一特定职务签字，也没有设立统一的法定审批职位。源1 源8
建议采用以下分工：
- 项目负责人：说明 AI 功能、业务目的、使用场景和预期收益。
- 隐私负责人或隐私顾问：核对法律依据、告知与同意、用途限制、资料保存和个人权利。
- 技术与安全负责人：核查供应商的数据处理条款、访问控制、加密、日志、数据隔离和删除机制。
- 人力资源、法务或业务负责人：在涉及员工监控、招聘、绩效或其他高影响决策时，检查劳动关系和公平性风险。
- 有授权的管理层：审阅未解决的风险，决定是否批准上线、附条件上线或暂停项目。
PIA 的签字代表组织内部确认已审视相关风险。BC OIPC 特别提醒，批准者应理解评估内容，因为签署意味着接受相关风险。源1
如果公司为政府机构提供 AI 服务，供应商自己的 PIA 不能替代客户公共机构依法应完成的评估。双方应在合同中明确谁提供资料流向、供应商处理方式、安全控制和风险说明，以及客户如何完成其自身的法定审批。
四、把这 8 类信息写进评估记录
PIA 没有适用于所有私营企业的统一法定表格。公司可以使用内部模板，但至少应把以下内容记录清楚，方便日后复核、回应投诉和证明尽职管理。
| 记录项目 | 应写清楚的内容 |
|---|---|
| 1. 项目与用途 | AI 服务名称、负责人、预期用途、上线范围，以及为何需要使用个人资料。 |
| 2. 资料清单 | 资料来源、涉及人群、字段、敏感程度，以及是否包含员工评价、财务信息或其他高风险资料。 |
| 3. 法律依据 | 适用法律、收集和使用权限、告知方式、同意依据，以及向第三方披露的授权。 |
| 4. 数据流向 | 资料从何处进入 AI 系统、储存在哪里、谁能访问、是否跨境传输，以及供应商是否会转交其他服务商。 |
| 5. 模型用途 | 资料只用于推理还是也用于训练；提示词、输出、日志、备份是否保存；AI 是否生成有关个人的新推断。 |
| 6. 风险与控制 | 未授权访问、资料泄露、输出暴露隐私、错误推断、偏见及不当个人画像等风险，以及对应的缓解措施。 |
| 7. 保留与删除 | 公司和供应商各自的保存期限、删除流程、备份处理方式，以及合同终止后的资料处置。 |
| 8. 审批与复核 | 编写人、审阅人、批准人、审批日期、未解决问题、附加条件、复核触发条件和最终决定。 |
这份清单结合了 BC OIPC 的私营部门 PIA 指引，以及加拿大联邦隐私专员关于生成式 AI 的隐私原则。后者特别强调记录资料处理的法律依据、限制用途扩张、保护提示词和输出，并建立适当的保留与删除安排。源1 源4
对于安省受 FIPPA 约束的省级公共机构，法定要求更具体。FIPPA 第 38(3) 条要求书面评估涵盖收集、使用和披露的目的及必要性、法律授权、资料类型与来源、可访问资料的职位、使用限制、保存期限、安全保障措施、潜在损害风险及风险缓解步骤等内容。第 38(4) 条还要求相关风险缓解措施原则上在收集资料前落实；无法事先落实时，应在合理时间内完成。源5
因此，私企可以把上述八项作为内部基线，但如果项目涉及受 FIPPA 约束的机构，就应直接对照法条逐项检查，不能只依靠简化版清单。
五、上线前怎样审查 AI 服务商
采购 AI 工具时，产品介绍页写着“安全”“企业级”或“不会训练模型”，都不足以单独完成隐私审查。应要求供应商通过合同条款、技术文件或书面答复说明：
- 输入资料用途：提示词、上传文件、客户记录是否会被用于模型训练、产品改进或其他二次用途。
- 保存与删除：输入、输出、日志和备份分别保存多久，删除请求如何执行。
- 访问权限：供应商员工、分包商及其他服务方在什么情况下可以接触资料。
- 资料位置与跨境处理：资料储存、处理和备份的地点，以及适用的跨境传输安排。
- 安全与事故响应：访问控制、加密、审计日志、漏洞处理、事故通知及合作调查机制。
- 个人权利与纠错：如何查阅、更正或删除个人资料，如何处理错误的 AI 推断，以及如何复核涉及个人的重要决定。
加拿大联邦隐私专员的生成式 AI 原则指出，组织应明确并记录资料收集、使用、披露和删除的法律依据；在可行且合理时，应优先使用匿名化或去标识化资料；提示词原则上不应被保留、用于次要目的或披露，除非另有必要或法律要求。源4
需要特别注意，去掉姓名并不自动使数据成为匿名资料。如果结合其他信息仍可合理识别个人，就仍须认真评估隐私风险。AI 生成的、能够关联到特定个人的推断，也可能构成个人资料，不能因为它是模型推算出来的就忽略相关规则。源4
如果供应商无法明确回答资料是否用于训练、删除是否真正覆盖备份、谁能访问数据等关键问题，应先限制数据范围，改用合成数据或适当去标识化资料测试；必要时暂停接入，直到风险得到合理处理。
六、哪些记录必须保存，保存多久
对于普通私营 AI 公司，不能假定所有 PIA 都有统一的法定保存年限。公司应建立与业务、适用法律和合同相匹配的记录保存制度。另据 BC OIPC 私营部门 PIA 指引引用的 PIPA 第 35(1) 条，用于对个人作出直接影响决定的个人资料须至少保存一年，让当事人有合理机会查阅；AI 分析结果若参与此类决定，保存期应不短于此。源1
建议保留以下材料：
- PIA 完整版本、更新版本及版本变更说明。
- 数据流向图、资料字段清单、供应商隐私条款和安全审查材料。
- 法律依据、告知文本、同意记录及其他相关授权证据。
- 风险清单、缓解措施、尚未解决的问题和批准决定。
- 上线后发生的重大变更、复核结果及停用、删除或迁移记录。
同时，应区分 PIA 项目记录 与 隐私泄露记录。如果企业适用加拿大《个人信息保护与电子文件法》（PIPEDA），该法对安全保障措施遭破坏的事件另有记录要求：组织必须记录每一起此类泄露事件，并将相关记录至少保存 两年。这项两年期限针对泄露记录，不能直接套用为所有 PIA 的保存期限。源9
对于适用 PIPEDA 的企业，如果泄露事件造成重大损害的真实风险，还须依照法定条件向加拿大隐私专员报告并通知受影响个人。是否需要报告，应按事件事实和法定风险标准判断。源9
如果企业还服务于受监管的医疗机构、政府部门或其他有专门记录制度的客户，应另外核查对应法律、合同和客户政策对保存期限、审计及记录交付的要求。
七、上线后的复核不能省略
PIA 应随着系统变化更新。以下情形可作为企业内部的强制复核触发条件：
- 新增个人资料字段或引入新的资料来源。
- 供应商改变训练、保存、披露或跨境处理方式。
- AI 开始用于招聘、员工绩效、客户风险评分等新的用途。
- 发现输出可能泄露个人资料，或出现错误推断和不公平结果。
- 原有安全控制失效，或发生隐私泄露事件。
- 项目扩展到新的业务、地区或用户群体。
对于 BC 私企，这些复核安排属于建议采用的隐私治理措施；涉及适用法律规定的重大变更时，还必须履行相应法定义务。对于安省受 FIPPA 约束的省级公共机构，改变个人资料使用或披露目的达到法定条件时，应在重大变更前更新 PIA，并核对适用例外。源1 源5
八、AI 接入个人资料前的实用清单
正式上线前，负责人可以逐项确认：
- 已确认公司及客户分别适用哪些隐私法律。
- 已明确使用员工或客户资料的具体目的和法律依据。
- 已盘点输入、输出、日志、备份及模型训练涉及的数据。
- 已确认供应商是否保留资料、用于训练或交给分包商处理。
- 已检查跨境传输、访问权限、安全措施和删除机制。
- 已评估个人画像、错误推断、资料泄露和不公平决策风险。
- 已落实必要的告知、同意及其他法律要求。
- 已记录评估结果、风险缓解措施和有权批准的管理人员。
- 已制定保存期限、复核触发条件和项目结束后的删除安排。
- 已确认适用法律要求的评估及风险缓解步骤在规定时间内完成。
最值得记住的原则是：先确认法律授权，再评估数据流向和风险，最后审批上线。 对 BC 普通私企，PIA 通常是强烈建议的治理工具；对受 FIPPA 约束的安省省级公共机构，法定 PIA 义务已经生效。把评估、批准和后续记录连成一套流程，才能让 AI 项目在业务扩张时仍有可核查的隐私保护依据。
参考资料
[源1] BC Office of the Information and Privacy Commissioner，Privacy Impact Assessments for the Private Sector
https://www.oipc.bc.ca/documents/guidance-documents/2246
[源2] Government of British Columbia，Protecting personal information
[源3] Information and Privacy Commissioner of Ontario，Planning for Success: Privacy Impact Assessment Guide for Ontario’s public institutions
[源4] Office of the Privacy Commissioner of Canada，Principles for responsible, trustworthy and privacy-protective generative AI technologies
[源5] Ontario，Freedom of Information and Protection of Privacy Act，第 38 条
[源6] Information and Privacy Commissioner of Ontario，FIPPA and MFIPPA Amendments FAQ
[源7] British Columbia，Freedom of Information and Protection of Privacy Act
[源8] Office of the Information and Privacy Commissioner for British Columbia，Legislation
[源9] Office of the Privacy Commissioner of Canada，What you need to know about mandatory reporting of breaches of security safeguards