将姓名替换为占位符是很好的第一步。但根据 GDPR，这本身并不会使数据匿名。本文说明了法规的规定、欧盟法院于 2025 年 9 月作出的裁决，以及你应如何应对。
简短回答
一般来说，是的。GDPR 规定，经过假名化处理、但可借助额外信息归属于某个人的个人数据，仍属于有关可识别个人的信息。如果你持有能够将“Person_1”对应到真实姓名的密钥，那么你替换的文本对你而言仍是个人数据，你对它的处理也受 GDPR 管辖。
更严谨的回答是，这取决于谁持有数据，以及他们可以合理使用哪些手段来识别个人。这正是 2025 年法院裁决的重要之处。
GDPR 的规定
第 4 条第（5）款将假名化定义为：
“以这样的方式处理个人数据：如果不使用额外信息，个人数据便无法归属于特定数据主体；前提是此类额外信息须单独保存，并采取技术和组织措施，确保个人数据不归属于已识别或可识别的自然人”
序言第 26 条指出，经过假名化处理、但可借助额外信息归属于自然人的个人数据，应被视为有关可识别自然人的信息。判断一个人是否可识别时，应考虑所有合理可能会被使用的手段，例如控制者或其他人进行单独识别的手段，还应考虑所需成本和时间，以及现有技术。
从这段表述可以得出两点实际要求。密钥必须单独保存，并采取技术和组织措施，确保个人数据不会被归属于已识别或可识别的自然人。判断一个人是否“可识别”，要看现实中合理可行的手段，而不是理论上是否有可能识别。
欧盟法院在 2025 年作出的补充裁定
2025 年 9 月 4 日，欧盟法院就 EDPS 诉 SRB 案 （C-413/23 P 案）作出裁决。该案涉及一家银行管理机构将评论交给一家咨询公司之前，用代码替换了评论作者的身份信息。该案依据适用于欧盟机构的《条例 2018/1725》作出裁决，但其对个人数据和假名化的定义与 GDPR 中的定义相同。
法院裁定，假名化数据不应“在所有情况下、对每个人而言”都被视为个人数据。对于特定接收方而言，数据是否属于个人数据取决于具体情况，包括该接收方是否拥有合理可能用于重新识别相关人员的手段。实施假名化且持有额外信息的一方，与无法将代码对应到任何人的接收方，所处情况不同。
这是一个仍在由专业人士深入研究的法律新发展。不要把它理解为可以将假名化的客户数据发送到任何地方。它说明应从接收方的角度评估这个问题，而不是说这个问题不复存在。
这对 AI 聊天机器人意味着什么
- 你仍然是原始数据和密钥的 控制者。你如何处理该文档，包括替换信息，均须履行自身的 GDPR 义务。
- AI 服务提供商收到的是否属于个人数据， 需要结合具体事实判断。即使没有姓名，上下文也可能识别出某个人：罕见的职位、小城镇或不寻常的事件。如果有人能够现实地推断出文本所指的是谁，就应将其视为个人数据。
- 不要把“占位符会让文本变成匿名信息”作为你的合规依据。 应按数据可能仍属于个人数据来规划，并将占位符视为多项保护措施之一。
假名化仍然值得采用，GDPR 也明确认可这一点。第 32 条第 1 款(a)项将假名化列为控制者可以采用的安全措施之一。序言第 28 条和第 78 条指出，假名化能够降低数据主体面临的风险，并有助于贯彻数据保护设计和默认保护。该法规将其视为一种保护措施，而不是免受法规约束的途径。
实际应如何处理
- 先尽量减少数据。 只发送任务所需的段落。请参阅 如何将 AI 工具用于客户文件.
- 替换每一个标识符， 而不只是姓名。账号、身份证号和出生日期也都是标识符。 清单 列出了这些信息。
- 将密钥保留在自己这边， 与要发送的文本分开保存，并在事项结束后将其删除。
- 查看服务提供商的条款和你的套餐。 与包含数据处理协议的商业套餐相比，免费的个人账户情况不同。请参阅 数据设置说明.
- 对于高风险情况，请寻求专业建议： 健康数据、儿童数据、特殊类别数据，或任何发生泄露可能造成严重后果的信息。
日常交流中，人们经常混用这些术语。 匿名化、假名化与编辑删除 对它们进行了比较。
常见问题
假名化数据是否等同于匿名数据？
不等同。序言第 26 条指出，数据保护原则不适用于匿名信息，也就是说，不涉及可识别个人的信息，或经过匿名化处理后个人不再可识别的数据。可重新关联到个人的假名化数据属于另一类。
GDPR 是否禁止使用 AI 工具处理个人数据？
不禁止。它要求有合法依据、尽量减少数据、确保安全，并在使用服务提供商时签订适当的合同。使用占位符有助于减少数据。
这是否也适用于欧盟以外的地区？
英国有自己的对应法规，许多国家也有类似规则。为欧盟境内人员提供服务的欧盟以外企业也可能受 GDPR 约束。
ClientSafe 会将占位符与真实姓名对应的表格保存在你的 PC 上。你为 AI 工具复制的文本只包含占位符。由于没有任何工具能捕捉到所有信息，请先检查检测结果。
本内容仅提供一般信息，不构成法律建议。请就你自身的情况咨询合格的数据保护顾问。