AI客服 GDPR 合规清单（2026）：PDPL、LGPD 及更多法规

过去，一份 AI客服 GDPR 合规清单，无非就是一个隐私政策链接加一条 Cookie 提示。到了 2026 年，它还得覆盖欧盟《人工智能法案》对聊天机器人的告知义务——该义务自 2026 年 8 月 2 日起适用——以及海湾地区和更广泛的中东北非地区、土耳其、印度、巴西的数据保护法，以及美国各州层面的情况。本文给你 10 个可落地的步骤、一张按国家整理的泄露通报期限对照表，以及伊拉克和库尔德斯坦地区现状的清楚说明。

本清单是一般性信息，不构成法律意见；请在你开展业务的每一个司法辖区咨询有资质的律师。

核心要点

欧盟《人工智能法案》要求聊天机器人主动说明自己是 AI，除非这一点已经显而易见。 第 50(1) 条自 2026 年 8 月 2 日起适用，2026 年 7 月的《数字综合法案》（Digital Omnibus）并没有推迟它。
多数监管机构的泄露通报计时是 72 小时，但并非全部。 GDPR、沙特 PDPL 实施细则、土耳其 KVKK 委员会、埃及、巴林、阿曼和约旦都按 72 小时计，ADGM 的要求是“不得无故拖延，可行时不迟于 72 小时”；科威特对持牌服务商给 24 小时，DIFC 只要求“在切实可行的情况下尽快”，巴西 ANPD 则要求 3 个工作日。在美国没有统一的期限——泄露通报来自各州各自的泄露通报法，加州的规定是自发现起 30 个自然日内通知受影响的居民。
GDPR 第 28(3) 条要求与每一个处理方签订具有约束力的合同（DPA），通常包括你的收件箱平台和 AI模型服务商。
伊拉克目前没有生效的、覆盖私营部门的综合性数据保护法，库尔德斯坦地区同样没有，所以按 GDPR 的水准来做是合理的基线。
AI自动回复工具必须读取消息才能作答，所以访问控制、留存期限和凭据加密，和传输加密一样重要。

2026 年，谁需要一份 AI客服 GDPR 合规清单

一个符合 GDPR 的聊天机器人，会在有合法性基础的前提下处理个人数据，告诉用户他们的数据会经历什么，把数据保护好，并让用户能行使自己的权利。在 WhatsApp、Instagram 或 Telegram 上做生意的企业，通常还要对当地法律负责：

欧盟：GDPR（自 2018 年 5 月 25 日适用）和《人工智能法案》第 50 条。人在欧盟境外、却向欧盟境内的人提供服务？请咨询律师确认 GDPR 是否适用。
美国：没有统一的联邦隐私法。义务主要落在州一级，以加州的 CCPA/CPRA 为代表，另外还有 TCPA 对自动化营销电话和短信的同意要求，以及缅因州等州的机器人身份告知规定。
沙特阿拉伯：沙特《个人数据保护法》（PDPL），宽限期已于 2024 年 9 月 14 日结束。由 SDAIA 监管，也管在境外处理位于沙特境内人员的数据。
阿联酋（联邦）：2021 年第 45 号法令法，自 2022 年 1 月起生效，实施条例至今仍未出台。
迪拜国际金融中心（DIFC）：2020 年第 5 号法律；每年须向专员申报处理活动，第 10 条关于自主系统的规定也覆盖聊天机器人。
阿布扎比全球市场（ADGM）：《2021 年数据保护条例》；处理数据前须先在数据保护办公室登记，并每年续期。
卡塔尔：2016 年第 13 号法律，由 NCSA 监管；须取得明示同意，处理特殊性质的数据还需另行许可。
巴林：2018 年第 30 号法律；向境外传输需符合 PDPA 的许可名单、取得其授权，或依据其他法定理由。
科威特：CITRA 的规章在 2024 年收窄到持牌电信和互联网服务商，因此多数企业不在其适用范围内。
阿曼：2022 年第 6 号苏丹令，自 2026 年 2 月 5 日起可执行；以同意为先，不设正当利益这一合法性基础。
约旦：2023 年第 24 号法律，自 2025 年 3 月起适用；须事先取得同意，向境外传输还要再取得一次同意。
摩洛哥：第 09-08 号法律；处理前须先向 CNDP 申报，向境外传输需取得 CNDP 授权。
埃及：2020 年第 151 号法律；其实施条例（2025 年第 816 号法令）给出的合规期限约到 2026 年 11 月初。
土耳其：KVKK（第 6698 号法律），经第 7499 号法律修订，自 2024 年 6 月 1 日起施行。
印度：《2023 年数字个人数据保护法》（DPDP）；细则于 2025 年 11 月公布，多数实质性义务约自 2027 年 5 月起适用。
巴西：LGPD（第 13.709/2018 号法律），由 ANPD 执行。

美国的 AI客服合规：CCPA、TCPA 与机器人身份告知

一般性信息，不构成法律意见。这些法律是否适用于你，取决于你的营收规模、记录数量、所处行业和数据类型——请与律师确认。

各方公布的美国州级隐私法数量因统计口径而异：截至 2026 年 9 月，大约 20 部已生效、24 部已通过。

加州的 CCPA（经 CPRA 修订）适用于在加州开展业务、收集加州居民个人信息，并满足以下三项门槛之一的营利性企业：全球年度总营收超过 26,625,000 美元（自 2025 年 1 月 1 日起适用的数字）；买卖或共享 100,000 名及以上加州消费者或家庭的个人信息；或 50% 及以上的营收来自出售或共享个人信息。加州赋予六项权利：知情、删除、更正、拒绝出售和共享、限制敏感个人信息的使用，以及不受歧视。其他州有一套共同的核心内容——隐私告知，以及针对定向广告、出售和某些画像行为的选择退出——多数州还加上敏感数据的选择加入同意，而自由文本聊天没办法事先把内容分好类。

合同是其中最锋利的机制：按 CCPA 实施细则（第 7051(c) 条），没有签订合规的服务提供方合同的供应商就不算服务提供方，把个人信息披露给它可能被认定为出售或共享。大约十几个州还要求在你挂载聊天组件的网页上响应通用选择退出信号，而不是在 WhatsApp、Instagram 或 Telegram 上；Global Privacy Control（通用隐私控制信号）在加州、科罗拉多州和康涅狄格州获得认可，名单还会变动，所以要自己核实。

行业规则叠在上面：如果你的客户属于 HIPAA 下的受约束实体，而聊天中又带有健康数据，就要看 HIPAA——Meta 和 Telegram 不为常规商业消息签署业务伙伴协议（BAA），所以受保护健康信息不能走这些渠道——此外还有针对非银行金融机构的 GLBA Safeguards Rule（金融隐私法保障细则），以及针对 13 岁以下儿童数据的 COPPA。按 FTC Act（联邦贸易委员会法）第 5 条，你对外公布的隐私和安全声明必须属实。

对外营销则是另一回事。TCPA 要求：用自动拨号设备或预录语音向美国移动号码发送营销电话和短信，必须事先取得明示书面同意；法定赔偿为每次违规通话或短信 500 美元，故意或明知的违规最高 1,500 美元，一般按每条消息计算。撤回同意可以通过任何合理方式提出，并且必须在 10 个工作日内落实。TCPA 是否管得到经互联网传输的 WhatsApp 消息，目前尚无定论，所以请把书面的选择加入当作稳妥的基线，而不是已有定论的规则；何况 Meta 的《WhatsApp 商业消息政策》本来就要求取得选择加入。

机器人身份告知同样在州一级。缅因州的聊天机器人法（10 M.R.S. §1500-DD）自 2025 年 9 月 24 日起生效，覆盖面最广，连普通的销售和客服机器人都在其中；犹他州要求在消费者询问时告知，并在收集健康或财务数据这类高风险互动中主动告知。加州的 B.O.T. Act（机器人披露法）更窄：要有误导意图，针对美国月独立访客达 1000 万及以上的面向公众平台，并把清楚的告知设为安全港。

第 1 步：梳理聊天机器人收集了哪些个人数据、又流向了哪里

数据梳理，就是把机器人碰到的每一项个人数据、它存在哪里、谁会收到它，全部列出来。每个渠道都记一遍：

客户发来什么：姓名、手机号、邮箱、地址、订单详情、图片和语音消息。
你存下什么：对话历史、联系人档案和 AI 提示词日志。
什么在连接这些系统：渠道访问令牌、AI服务商 API 密钥和 webhook 密钥。
数据去了哪里：消息平台、你的收件箱服务商、AI模型服务商，以及任何 CRM 或支付工具。

每一家供应商的留存期限也要记下来。Meta 表示自己是 WhatsApp Cloud API 的数据处理方，Cloud API 消息最多保留 30 天（Meta 开发者文档）。可以看我们的 Cloud API 与 Business App 对比。

第 2 步：确定合法性基础，并在需要时取得同意

GDPR 第 6 条列出了处理个人数据的各种合法性基础。按用途选，而不是按工具选：

回答订单或售后问题是一个用途。
群发营销和跟进触达是另一个用途；要确认它是否需要单独的同意。
拿聊天记录来改进你的 AI又是一个用途；不要悄悄打包在一起。

在数据清单里把合法性基础写在每个用途旁边，并保留同意的证据。

第 3 步：告诉用户他们在和 AI 对话（欧盟《人工智能法案》第 50 条）

按欧盟《人工智能法案》第 50(1) 条，与人互动的 AI 系统必须从第一次互动起就清楚告知对方自己是 AI，除非这一点本来就显而易见。该义务自 2026 年 8 月 2 日起适用，罚款最高可达 1500 万欧元或全球营业额的 3%，依据是欧盟委员会第 50 条常见问题。自 2026 年 7 月 27 日生效的《数字综合法案》并没有推迟它。具体到你的场景该怎么执行，请咨询律师，同时确认你用的聊天机器人工具确实会展示这条告知。

在每一个私信会话里，让机器人的第一条回复带上一句话说明，比如“你好，我是 [品牌名] 的 AI 助手”。
附上隐私政策链接，里面要写清 GDPR 第 13 条要求在直接向个人收集数据时提供的信息。
美国的一些州也有同样的要求：缅因州自 2025 年 9 月 24 日起，犹他州则是在消费者询问时、或在高风险互动中。

第 4 步：把机器人收集、存储和发给 AI模型的数据降到最少

数据最小化，就是只收集任务真正需要的数据。数据越少，需要保护、删除和上报的东西就越少。

回答物流或营业时间的问题，不要去要身份证号或出生日期。
告诉客户永远不要在聊天里发卡号或密码，并让机器人拒绝接收。
只把必要的上下文发给 AI模型，而不是整份客户档案。
读一读你的 AI服务商条款，看 API 数据会不会被用于训练。
遇到投诉、退款，或任何会对客户产生实际影响的决定，提供转人工的入口。

第 5 步：对凭据、令牌和客户个人信息做传输加密和静态加密

GDPR 第 32(1)(a) 条把假名化和加密列为安全措施。根据 GDPR 第 34(3)(a) 条，如果加密已经让泄露的数据不可读，你就不必通知个人。但按第 33 条，你可能仍然要通知监管机构。

所有 API 调用和 webhook 都走 HTTPS/TLS。
在应用层加密渠道访问令牌、AI API 密钥和 webhook 密钥，密钥与数据库分开存放，这样数据库被拖库也不会把你的 WhatsApp 或 Instagram 账号一起交出去。
加密手机号、地址这类高风险的联系方式字段。

也要认清它的边界：要写出 AI 回复的服务器，必须读到消息文本，所以第 6 步和第 7 步和加密同样重要。

第 6 步：落实基于角色的权限控制，并保留审计日志

基于角色的访问控制（RBAC）只给每个人工作所需的权限：

一线客服拿到对话和联系人，拿不到账单、AI 设置或 API 密钥。
只读用户只看到他们需要看的内容，并且改不了。
有人离职当天就收回权限，并轮换他能看到的所有密钥。
记录谁改动过敏感设置。

印度 DPDP 细则第 6 条把“日志保留一年”列入安全保障措施。要问清你这套系统里的每一家供应商：它对自己员工的访问有哪些管控措施、这类访问是怎么记录的，并把答复和你的数据清单放在一起保存。

第 7 步：设定留存期限，处理删除和查阅请求

GDPR 第 17 条赋予个人被删除权，所以你需要一套能跨系统找到并清除某一个人数据的办法。

按数据类型分别定义留存期限，比如进行中的对话、已结束的对话和营销联系人。
期限一到就删除或匿名化数据，能自动执行更好。
搭一条请求处理流程：核验身份，在收件箱、CRM、AI 日志和导出文件里检索，然后执行并留档。
跟踪你要遵守的每一部法律规定的响应期限。在印度，DPDP 实质性细则生效后（约 2027 年 5 月），数据受托人必须在 90 天内答复权利请求。在加州，经核验的请求须在 45 天内答复，并可延长一次。

如果你接入了 Facebook 或 Instagram，要确认你的收件箱服务商是怎么处理 Meta 的数据删除请求的。

第 8 步：与每一个处理方签订 DPA，并管好跨境传输

数据处理协议（DPA）就是 GDPR 第 28(3) 条要求你与每一个替你处理个人数据的处理方签订的、具有约束力的合同。对一个 AI 聊天机器人来说，通常指收件箱平台、AI模型服务商和消息 API 服务商。要查次级处理方、是否用于 AI 训练、合同终止时的删除，以及供应商必须多快把泄露事件报给你。美国把同样的思路变成了一项前提条件——见上文 CCPA 第 7051(c) 条关于服务提供方的规定。

跨境传输也要留心。土耳其第 7499 号法律之后，向境外传输需要充分性认定、委员会标准合同这类适当保障措施，或者一项范围很窄的例外。委员会至今没有公布充分性名单，而那些例外只覆盖偶发、非经常性的传输，撑不起一条持续运转的聊天机器人数据管道：请按委员会的标准合同来规划，并核对它所要求的备案手续。把数据托管在沙特境外，并不会让你脱离沙特 PDPL 的适用范围——只要你处理的是位于沙特境内人员的数据；沙特的跨境传输还需要有一个法律允许的目的，再加上充分性认定或一项配有书面风险评估的保障措施。巴西要求原样使用 ANPD 的合同条款文本、不得改动。问清你的模型服务商依据的是哪种传输保障机制，并与律师确认它满足你要遵守的每一部法律。

第 9 步：按各辖区的期限准备数据泄露应急预案

泄露预案就是一份简短的操作手册，写清前 72 小时里谁负责做什么，因为大多数计时都是从你知悉泄露那一刻开始的。

指定一位事件负责人和一位备份负责人。
列出你要面对的每一个监管机构和期限（见下表）。
用你支持的每一种语言准备好客户通知模板，包括阿拉伯语和库尔德语。
写清怎么快速吊销和轮换渠道令牌、AI API 密钥和 webhook 密钥。

第 10 步：定期复查你的 AI客服 GDPR 合规清单

现在：确认你已经为埃及约在 2026 年 11 月初的合规期限做好准备。
每季度：复查团队权限、已连接的渠道和仍在生效的 API 密钥。
每半年：演练一次删除请求，做一次泄露应急演练。
每次变更时：新增渠道、AI 模型或供应商时，更新你的数据清单和供应商名单，并对任何新的 AI 用法做一次隐私风险筛查。
每年：逐个国家重新核对，尤其是阿联酋的实施条例、印度约 2027 年 5 月的阶段，以及伊拉克的法律草案。

各国速查：现状与泄露通报期限（2026 年 9 月）

司法辖区	主要法律	现状（2026 年 9 月）	向监管机构通报泄露的期限
欧盟/欧洲经济区	GDPR +《人工智能法案》第 50 条	已生效	72 小时（GDPR 第 33 条）
美国（联邦）	没有一般性隐私法；FTC Act 第 5 条、TCPA、行业规则	没有一般性法律；行业规则已生效	没有一般性的联邦义务；仅有行业规则（HIPAA：自发现起 60 天内通知个人，涉及 500 人及以上的泄露须在 60 天内报 HHS，其余则在该自然年结束后 60 天内报送；GLBA Safeguards Rule：自发现涉及 500 名及以上消费者未加密客户信息的事件起 30 天内报 FTC）
加州（CCPA/CPRA）	《加州民法典》第 1798.100 条及以下	已生效；CPPA 实施细则自 2026 年 1 月 1 日起施行	CCPA 本身未规定；另一部法律第 1798.82 条（经 SB 446 修订，自 2026 年 1 月 1 日起施行）要求自发现起 30 个自然日内通知受影响的居民，若受影响的加州居民超过 500 人，还须在通知消费者后 15 天内报加州总检察长。各州期限各不相同
沙特阿拉伯	PDPL（M/19 号，经 M/148 号修订）	自 2024 年 9 月 14 日起可执行	72 小时内报 SDAIA（实施细则第 24 条）
阿联酋（联邦）	2021 年第 45 号法令法	已生效；实施条例尚未出台	“立即”；未规定具体小时数
迪拜国际金融中心（DIFC）	DIFC 2020 年第 5 号法律	已生效；2022 年和 2025 年经过修订	在切实可行的情况下尽快（第 41 条）；无 72 小时规则
阿布扎比全球市场（ADGM）	《2021 年数据保护条例》	已生效并实际执行	不得无故拖延，可行时 72 小时
卡塔尔	2016 年第 13 号法律（PDPPL）	已生效；NCSA 已发布指引	法律本身未规定；NCSA 指引要求 72 小时
巴林	2018 年第 30 号法律	已生效；PDPA 自 2022 年起运作	自发现起 72 小时内报 PDPA
科威特	CITRA 规章，2024 年修订	仅约束 CITRA 持牌服务商	24 小时，仅限持牌方
阿曼	2022 年第 6 号苏丹令	自 2026 年 2 月 5 日起全面可执行	72 小时内报 MTCIT
约旦	2023 年第 24 号法律	宽限期已于 2025 年 3 月 17 日结束	72 小时；通知数据主体为 24 小时内
埃及	2020 年第 151 号法律	合规期约在 2026 年 11 月初结束	72 小时内报 PDPC
摩洛哥	第 09-08 号法律	已生效；采用申报制	无：第 09-08 号法律未设一般性泄露通报义务
土耳其	KVKK（第 6698 号法律）	已生效，2024 年 6 月修订	72 小时内报 KVKK 委员会
印度	《2023 年数字个人数据保护法》	多数义务约自 2027 年 5 月起	72 小时内提交详细报告（细则第 7 条）
巴西	LGPD	已生效，自 2021 年 8 月起可处罚	3 个工作日内报 ANPD，小型处理主体加倍
伊拉克	没有覆盖私营部门的综合性法律	存在法律草案	无法定义务；请与当地律师确认
库尔德斯坦地区	没有综合性法律；2008 年第 6 号法律	—	无法定义务；请与当地律师确认

伊拉克与库尔德斯坦地区：据 DataGuidance，伊拉克的隐私保护依据的是 2005 年宪法，而非一部专门立法。库尔德斯坦地区最接近的成文法，是 2008 年第 6 号关于滥用电信设备的法律。

Raabt 如何支持你在沙特、海湾地区乃至更广区域的合规工作

这是一张功能对照表，不是合规认证。没有哪个工具能靠自己让你合规：决定这件事的，是你的合法性基础、你的告知、你的留存期限和你的合同。平台能做的，是把各部法律期待你具备的那些控制手段交到你手上。

法律要求什么	Raabt 今天提供什么	什么仍然得你自己做
安全措施（GDPR 第 32 条、沙特 PDPL、巴林、阿曼、约旦、KVKK）	渠道访问令牌、AI服务商密钥、webhook 密钥，以及客户手机号、邮箱和订单地址，均以 AES-256-GCM 加密；密码用 Argon2id 哈希；一次性验证码仅以 HMAC-SHA256 哈希形式存储	留存期限、设备加密，以及你导出的任何数据的安全
访问控制与最小权限	四种角色（owner、admin、agent、viewer）并按板块细分权限，账单权限仅限 owner，密码登录需邮件一次性验证码，退出登录即吊销会话	定期复查谁有权限，并在有人离职当天收回
告诉用户他们在和 AI 对话（欧盟《人工智能法案》第 50 条、缅因州、犹他州）	AI 设置是一个受权限控制的板块，只有你指定的角色才能改动机器人的回复方式	写出这句告知，把它放进机器人的第一条消息，并确认它在每个渠道都确实展示
让每家企业的客户数据彼此隔离	企业侧接口在返回任何内容之前，先确认调用方是这家企业的有效成员	决定你把谁请进这个工作区
删除请求（GDPR 第 17 条及各国对应规定）	Meta 数据删除回调，带确认码和状态查询链接，见数据删除页面；注销账号需要密码加上邮件发送的验证码，随后立即停用账号并匿名化其邮箱	针对单个客户的删除请求，以及你自己的留存与删除政策
经过校验、可发现篡改的集成	没有合法 X-Hub-Signature-256 签名的 Meta webhook 会被拒绝，Telegram webhook 必须带 secret token，附件只通过带 HMAC 签名的限时链接提供	员工离职时轮换渠道令牌和 API 密钥
泄露响应（欧盟、沙特、巴林、阿曼、约旦和土耳其为 72 小时；科威特持牌方为 24 小时；美国按各州规定）	Raabt 自有平台员工的操作会写入只可追加的日志（操作人、操作内容、时间、IP），密钥类信息已脱敏	你的事件处置手册、给监管机构的通报和给客户的通知
把数据发往境外	AI服务商 API 密钥和服务账号 JSON 在应用层加密（AES-256-GCM）	决定哪家 AI服务商处理你的文本、你的传输评估、标准合同，以及任何本地备案

Raabt 目前为保护企业数据做了什么

没有哪个工具能让你自动合规；结果取决于你怎么配置和使用它。如果你的 AI 聊天机器人跑在 Raabt 上，以下这些控制措施今天就已经到位：

加密凭据和部分联系方式：渠道访问令牌（Facebook、Instagram、WhatsApp、Telegram）、AI服务商 API 密钥、webhook 密钥，以及客户手机号、邮箱和订单地址，都在应用层用 AES-256-GCM 加密。
密码与登录验证码：密码用 Argon2id 哈希。邮箱加密码登录，必须先通过邮件发送的一次性验证码，会话才会开始；Google 登录不使用该验证码。
基于角色的团队权限：四种角色（owner、admin、agent、viewer），按板块细分权限；账单权限无法下放给非 owner。
企业之间的隔离：企业侧接口会先确认调用方是这家企业的有效成员，否则返回“未找到”。
校验过的 webhook：没有合法 X-Hub-Signature-256 签名的 Meta webhook 会被拒绝，Telegram webhook 必须带 secret token。
会话吊销：退出登录会通过一份黑名单吊销会话，每一次经过身份验证的请求都会检查这份名单。
Meta 删除请求：Raabt 支持 Meta 的数据删除回调，状态查询链接在数据删除页面。
注销账号：需要密码加上邮件发送的一次性验证码。账号会立即停用，邮箱会被匿名化，但这不会清除对话和联系人数据。

有一条边界要提前规划：对话不是端到端加密的，因为 Raabt 的服务器必须读取消息才能生成 AI 回复。要写出回复的服务器，必须先读到消息。

带着这一点去规划留存期限、访问权限和客户告知，也可以看看我们的隐私政策。

常见问题

一般性信息，不构成法律意见。

我的 AI客服系统符合 GDPR 吗？

只有审视你自己的这套系统才能回答。逐项检查：每个用途都有合法性基础、有清楚的隐私政策、与每一个处理方签了 DPA、有加密这类适当的安全措施，以及删除请求能真正跑通。

必须告诉客户他们在和 AI 聊天机器人对话吗？

在欧盟，通常必须。自 2026 年 8 月 2 日起，《人工智能法案》第 50(1) 条就要求与人互动的 AI 系统从第一次互动起把这件事讲清楚，除非它显而易见。在美国，缅因州要求：当商用聊天机器人可能让消费者误以为自己在和真人对话时，必须作出告知；犹他州则要求在消费者询问时告知，并在收集健康或财务数据这类高风险互动中主动告知。

欧盟《人工智能法案》管客服聊天机器人吗？

管，通过第 50 条对与人互动的 AI 系统设定的透明度义务。《数字综合法案》把独立高风险（附件三）的期限推到 2027 年 12 月 2 日，附件一的期限推到 2028 年 8 月 2 日。你的用例是不是高风险，请与律师确认。

美国的隐私法管我的 WhatsApp 或 Instagram 聊天机器人吗？

通常管——不过是一州一州地管，而不是靠一部联邦法律。在这些法律下，与手机号或 Instagram 账号关联的聊天记录属于个人信息，此外还叠加了机器人身份告知义务，以及对外发营销适用的 TCPA 同意要求。门槛条件和 TCPA 尚未定论的问题，见上文的美国部分。

必须和聊天机器人服务商签 DPA 吗？

按 GDPR，如果服务商代表你处理个人数据，那就必须签，因为第 28(3) 条要求与每一个处理方签订具有约束力的合同。要查次级处理方、AI 训练条款，以及合同终止时的删除安排。

按 GDPR，AI客服的聊天记录可以保存多久？

没有一个可以照抄的数字。常见做法是：只在你声明的用途需要的期限内保留对话，在隐私政策里把这个期限告诉客户，到期后删除或匿名化。具体期限请与律师确认。

伊拉克有数据保护法吗？

没有一部覆盖私营部门的综合性法律，不过存在一部草案。2005 年宪法第 17 条保护个人隐私，第 40 条保护通信。库尔德斯坦地区同样没有综合性法律，所以目前按 GDPR 的水准来做是合理的基线。