日韩市场进入：个人信息保护法、韩国个人信息保护法与韩国人工智能基本法

执行阶段（20–33 周，估算）

1. 1. 阶段一：域外适用判定与本地代表/代理人设置

   3–5 周

   把三件"没做就等于没入场"的事办掉：确认日本个人信息保护法的域外适用并建立日本侧的联络与应对能力；按韩国个人信息保护法指定国内代理人并在隐私处理方针中公示；若被认定为人工智能事业者，还须按韩国人工智能基本法指定国内代理人并向科学技术信息通信部申报。三者的法律基础不同，可以由同一家服务商承担，但授权文件与公示内容要分别做。

   本阶段义务

   • 境外事业者确认域外适用并建立日本侧联络与应对能力日本个人信息保护法 · Art. 171 · 严重度 高
   • 境外处理者指定国内代理人并在隐私处理方针中公示韩国个人信息保护法 · Art. 31-2 · 严重度 极高
   • 境外 AI 事业者指定国内代理人并向 MSIT 申报韩国人工智能基本法 · Act Art. 36; Enforcement Decree Art. 29 · 严重度 极高

   完成后应留存的证据

   • · 域外适用判定备忘录（日、韩分别列出判定依据）
   • · 日本侧联络与应对安排（联络人、响应语言、时区覆盖）
   • · 韩国国内代理人委任书与隐私处理方针中的公示内容
   • · 韩国人工智能基本法国内代理人申报材料与受理回执

   常见卡点

   • · 把韩国个人信息保护法的国内代理人与人工智能基本法的国内代理人当成同一件事：两部法律各有申报与公示要求。
   • · 代理人只挂名不具备应对能力：监管问询与本人请求会直接发到代理人，答不上来等于未指定。
   • · 日文/韩文对外文本缺失：本地本人的告知与请求受理需要当地语言，只有英文会被视为未有效告知。

2. 2. 阶段二：日本个人信息保护法基线与 2026 年修订适配

   5–8 周

   先把基线做实：特定并公示利用目的且不超目的利用、要配虑个人信息的事前同意、安全管理措施、受托方监督、泄露事态的委员会报告与本人通知、以及向外国第三方提供个人数据的三条路径。再按 2026 年修订法逐条校准：人脸特征数据等的周知义务与选择退出提供禁止（对计算机视觉产品影响最大）、16 岁以下本人的法定代理人介入、受托方不得超出受托业务必要范围处理、以及课徵金制度带来的证据与内控要求。

   本阶段义务

   • 特定并公示利用目的，不得超目的利用日本个人信息保护法 · Arts. 17, 18, 21 · 严重度 高
   • 取得要配虑个人信息须事前取得本人同意日本个人信息保护法 · Art. 20(2) · 严重度 极高
   • 实施安全管理措施日本个人信息保护法 · Art. 23 · 严重度 极高
   • 对受托方实施必要且适当的监督日本个人信息保护法 · Art. 25 · 严重度 高
   • 泄露等事态的委员会报告与本人通知日本个人信息保护法 · Art. 26 · 严重度 极高
   • 向外国第三方提供个人数据的三条路径日本个人信息保护法 · Art. 28 · 严重度 极高
   • 人脸特征数据等的周知义务与选择退出提供禁止日本 2026 年个人信息保护法修订法 · Arts. 21-2, 27(2), 35(7)–(8) (as amended) · 严重度 极高
   • 受托方不得超出受托业务必要范围处理个人数据日本 2026 年个人信息保护法修订法 · Arts. 30-3, 58-2 (as amended) · 严重度 极高
   • 为课徵金制度做好证据与内控准备日本 2026 年个人信息保护法修订法 · Arts. 148-3 to 148-17 (as amended) · 严重度 高

   本阶段交付物

   传输影响评估（TIA）——配合欧盟标准合同条款第 14 条

   完成后应留存的证据

   • · 利用目的的特定与公示文本（日文）及其版本历史
   • · 要配虑个人信息处理清单与同意取得记录
   • · 安全管理措施文件（组织、人员、物理、技术四类）
   • · 受托方监督制度与受托范围界定文件（对应修订后的范围限制）
   • · 人脸特征数据处理的周知内容与选择退出禁止的落实证据
   • · 向外国第三方提供的路径选择记录与配套告知材料

   常见卡点

   • · 利用目的写得过宽以便"将来都能用"：日本实务对目的特定性的要求较严，过宽的目的在个人请求与检查时容易被质疑。
   • · 人脸识别产品沿用旧的选择退出做法：修订法对人脸特征数据等设有明确的选择退出提供禁止，但该禁止自政令指定的施行日起才生效（截至 2026-09-12 尚未指定），因此现在的风险不是"已经违法"，而是产品改造与同意链路重建的周期可能长于过渡期——须按施行日倒排，并保留改造完成的时间证据。
   • · 受托方合同没有限定处理范围：修订后的范围限制要求合同与实际处理一致，泛授权条款不再安全。

3. 3. 阶段三：韩国个人信息保护法基线

   5–8 周

   韩国的合规密度高于日本，且执法活跃。这一阶段要把六件事做完：逐项处理确定法定依据并取得合规同意；国外移转落在第 28 条之八的五条法定路径之一；自动化决定的拒绝权、说明请求与基准公开；泄露事态的本人通知与委员会申报；事业主与代表者的最终责任与个人信息保护负责人配置；以及安全性确保措施与受托方违规防止。达到规模标准的处理者还须取得个人信息保护认证。

   本阶段义务

   • 为每一项处理确定法定依据并取得合规同意韩国个人信息保护法 · Arts. 15, 17, 18, 22, 22-2 · 严重度 极高
   • 国外移转须落在第 28 条之八的五条法定路径之一韩国个人信息保护法 · Art. 28-8 · 严重度 极高
   • 自动化决定的拒绝权、说明请求与基准公开韩国个人信息保护法 · Art. 37-2 · 严重度 高
   • 泄露等事态的信息主体通知与 PIPC 申报（含 2026 年新增泄露可能性通知）韩国个人信息保护法 · Art. 34 · 严重度 极高
   • 事业主/代表者最终责任与个人信息保护负责人（CPO）配置韩国个人信息保护法 · Arts. 30-3, 31 · 严重度 高
   • 实施安全性确保措施并防止受托方违规韩国个人信息保护法 · Arts. 26(4), 29, 64-2(1)9 · 严重度 极高
   • 达到规模标准的处理者取得个人信息保护认证韩国个人信息保护法 · Arts. 32-2(1) proviso, 75(2)15, 28-8(1)4 · 严重度 高

   本阶段交付物

   客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）

   完成后应留存的证据

   • · 处理活动与法定依据对照表（韩文对外版本）
   • · 国外移转路径判定记录与配套文件（按第 28 条之八逐条对照）
   • · 自动化决定的基准公开内容、拒绝权与说明请求的受理流程
   • · 个人信息保护负责人（CPO）任命文件与独立性保障说明
   • · 安全性确保措施实施证据与受托方管理记录
   • · 认证适用性判定与（如适用）认证取得计划

   常见卡点

   • · 把同意当成万能依据：韩国对同意的形式与分项要求严格，捆绑同意在检查中很容易被否定。
   • · 国外移转没有落在法定路径上：中国接收方的情形需要逐条论证，泛泛的"已获同意"往往不够。
   • · 自动化决定的基准不公开：这是可被本人直接主张的权利，缺失会直接产生投诉。

4. 4. 阶段四：韩国人工智能基本法适配

   4–7 周

   按四条线落地：透明度（事前告知使用 AI、生成内容标示、逼真合成内容的额外告知）；算力门槛模型的安全性确保义务与结果提交；高影响 AI 的事前自查与向主管部长申请确认，以及第 34 条第 1 项六款法定措施；以及基本权影响评估（努力义务，但在采购与监管沟通中会被问到）。另须建立配合事实调查、执行中止或整改命令的内部流程。

   本阶段义务

   • AI 透明度：事前告知、生成内容标示与逼真合成内容告知韩国人工智能基本法 · Act Art. 31; Enforcement Decree Art. 23 · 严重度 极高
   • 超算力门槛模型的安全性确保义务与结果提交韩国人工智能基本法 · Act Art. 32; Enforcement Decree Art. 24 · 严重度 极高
   • 高影响 AI 事前自查与部长确认申请韩国人工智能基本法 · Art. 33 · 严重度 高
   • 高影响 AI 的法定措施（第 34 条第 1 项六款）韩国人工智能基本法 · Act Art. 34; Enforcement Decree Art. 27 and Annex 1 · 严重度 极高
   • 高影响 AI 的基本权影响评估（努力义务）韩国人工智能基本法 · Act Art. 35; Enforcement Decree Art. 28 · 严重度 高
   • 配合事实调查并执行中止或整改命令韩国人工智能基本法 · Arts. 40, 43 · 严重度 高

   本阶段交付物

   模型卡（Model Card）欧盟人工智能法案 第 27 条 基本权利影响评估（FRIA）

   完成后应留存的证据

   • · AI 使用事前告知与生成内容标示的界面证据（韩文）
   • · 算力门槛判定记录与安全性确保措施实施报告
   • · 高影响 AI 自查记录与向主管部长的确认申请材料
   • · 第 34 条法定措施的逐款落实台账
   • · 基本权影响评估报告（如已开展）
   • · 事实调查配合与命令执行的内部流程文件

   常见卡点

   • · 把"高影响"判定交给销售按客户说法填：判定应基于使用场景的法定标准，客户表述不是依据。
   • · 标示只做在自家界面上：内容离开产品后仍应可识别，否则透明度义务形同虚设。
   • · 算力门槛判定没有计量口径：与欧盟同类义务一样，需要可复核的估算方法与原始记录。

5. 5. 阶段五：商务落地与持续维持

   3–5 周

   把合规产出转成日韩企业客户能接受的采购材料，并进入维持节奏。日本侧对齐人工智能推进法下国家制定的指针与基本计划，同时明确推进法不替代既有法律的合规判断；韩国侧维持认证、代理人申报与事实调查配合能力。日韩大企业的供应商复审通常一年一次且要求当地语言材料，把刷新节奏写进日历比临时应付更省成本。

   本阶段义务

   • 对齐国家依第 13 条制定的指针与第 18 条人工智能基本计划日本人工智能推进法 · Arts. 13, 18 · 严重度 低
   • 不以推进法替代既有法律的合规判断日本人工智能推进法 · Arts. 1, 3, 13 · 严重度 中
   • 对受托方实施必要且适当的监督日本个人信息保护法 · Art. 25 · 严重度 高
   • 实施安全性确保措施并防止受托方违规韩国个人信息保护法 · Arts. 26(4), 29, 64-2(1)9 · 严重度 极高

   本阶段交付物

   招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

   完成后应留存的证据

   • · 日文与韩文的客户合规材料包
   • · 与国家指针、基本计划的对齐说明（日本侧）
   • · 年度维持日历（认证复审、代理人信息更新、材料刷新）
   • · 事件台账与跨辖区通报时限对照表

   常见卡点

   • · 把日本人工智能推进法当成免责依据：推进法不改变既有法律下的合规判断，误读会导致个人信息侧失守。
   • · 材料只做英文版：日韩企业采购普遍要求当地语言，英文版在评审阶段常被要求补件。