compliance（合规技能Skill）Skill 是什么？如何下载使用？

合规技能Skill：把 GDPR、CCPA 与数据主体请求处理变成可复用的合规工作流

定位清晰：合规技能Skill（英文名 compliance，技能ID 13795）是一个面向内部法律与隐私合规团队的 AI 助手，专注隐私法规导航、数据保护协议审查、数据主体请求处理与监管监控四件事。
不是“法律意见机器”：技能本身明确声明只协助法律工作流程，不提供法律建议，最终合规决定仍需具备资质的法律专业人员复核，这一点决定了它的正确用法是“提效”而非“替代”。
内置结构化方法论：GDPR 与 CCPA/CPRA 的义务拆解、数据处理协议（DPA）审查清单、数据主体请求的响应时间线与豁免判断、监管升级标准，都以清单和表格形式固化，可直接当作业模板使用。
覆盖多法域：除欧盟 GDPR 与美国加州 CCPA/CPRA 外，还涵盖 LGPD（巴西）、POPIA（南非）、PIPEDA（加拿大）、PDPA（新加坡）、澳大利亚隐私法、PIPL（中国）与 UK GDPR 的关键差异点。
适合谁用：没有专职隐私律师的中小企业法务、需要快速过一遍供应商合同的产品与采购团队、以及日常处理用户“删号/查数据”请求的运营与客服团队。

该技能叫什么？如何下载安装 AI 技能提升开发效率？

技能基本信息

项目	内容
中文名	合规技能Skill
英文名	compliance
技能ID	13795
能力范围	隐私法规导航、数据保护协议审查、数据主体请求处理、监管监控

它解决什么问题

隐私合规的痛点往往不在“不知道有 GDPR”，而在于三件事：第一，法规条文多且分散，响应时限各不相同，人脑记不住 30 天、45 个日历日、10 个工作日这些硬指标；第二，供应商塞过来的数据处理协议动辄几十页，逐条比对第 28 条要求极其耗时；第三，用户的访问、删除、更正请求进来后，容易在“该不该给、多久给、能不能拒”上卡壳。合规技能Skill 的价值就是把这三类重复劳动变成可复用的清单化流程。

一键安装的思路与步骤

“一键安装”的核心思路是：把专业技能包挂载到你的 AI 客户端或 Agent 环境里，之后无需每次重复描述背景，直接用自然语言下达合规任务即可。具体操作路径如下：

确认前提：拥有可安装技能的 AI 客户端或平台账号，并具备可用的模型调用额度（具体支持的环境与额度规则以官方说明为准）。
找到技能：在技能市场或技能列表中，用英文名 compliance 或技能ID 13795 搜索定位；若平台支持链接直达，也可通过技能详情页的安装入口进入（入口形式以官方说明为准）。
执行安装：点击安装或启用按钮，按提示完成授权；部分环境需要将技能添加到指定会话或工作区后才生效。
验证是否生效：新开一个对话，输入类似“请按 GDPR 第 28 条列出数据处理协议必须包含的要素”的问题。如果返回的是结构化的清单（主题与期限、处理性质与目的、个人数据类型、数据主体类别、控制者权利义务等），说明技能已正确加载；如果只是泛泛而谈，通常是技能未挂载或未命中。
固化用法：把常用提示词（如“审查这份 DPA”“这是一个删除请求”）保存为模板，减少每次重复交代背景的成本。

需要提醒的是，安装环节的具体命令、按钮文案、是否收费与额度策略，各家平台差异较大，请以官方说明为准，本文不代为承诺。

该技能的主要功能和特点

隐私法规导航，一表看清差异：把 GDPR、CCPA/CPRA 与 LGPD、POPIA、PIPEDA、PDPA、澳大利亚隐私法、PIPL、UK GDPR 放在同一视角下对照，突出各自的管辖区域与关键区别点，例如 PIPL 的严格跨境传输规则与数据本地化要求、UK GDPR 脱欧后的独立监管体系。
义务拆解到“可执行项”：GDPR 部分不止罗列概念，而是落到合法基础识别、数据主体权利响应、数据保护影响评估（DPIA）、72 小时违规通知、第 30 条处理记录、国际传输保障、数据保护官任命等具体动作。
DPA 审查清单化：按“必需元素—处理者义务—国际传输—实际考虑”四层结构逐项打勾，覆盖次级处理者的书面授权与变更通知、审计权利、终止后的删除或返还、违规通知时限（理想 24–48 小时内，以便控制者赶上 72 小时监管截止）等高频争议点。
典型问题对照“风险—标准立场”：对空白次级处理者授权、违规通知超过 72 小时、无审计权利、删除时间线未约定、处理位置不明、使用过时标准合同条款等常见坑位，直接给出风险描述与建议坚持的立场，谈判时可直接引用。
数据主体请求全流程：从识别请求类型（访问、更正、删除、限制、可移植、反对、选择退出销售/共享、限制敏感个人信息使用）、判断适用法规、身份验证、登记要素，到时间线管理、豁免判断、响应与留痕，形成闭环。
时间线内建：GDPR 与 UK GDPR 为 30 天（可延长 60 天并通知）、CCPA/CPRA 为 10 个工作日确认加 45 个日历日实质响应（可再延 45 天）、LGPD 为 15 天，避免“凭记忆办事”。
监管监控有方法也有升级线：明确监控对象（监管指南、执法行动、立法变化、行业标准、跨境传输动态）与监控手段（订阅官方通信、跟踪法律出版物、维护监管日历），并给出何时必须升级给高级律师的判断标准。
边界感强：全程强调“协助流程、不提供法律建议、法规会变化需通过权威来源验证”，这在合规场景里不是缺点，而是可被审计的严谨性。

和普通工具相比，它的差异不在“能聊天”，而在于把隐私合规的专业方法论预先结构化：你不用再教模型什么是第 28 条、什么是次级处理者，直接进入业务判断。

如何使用该技能？

以下按“从零到产出”的顺序给出可照抄的操作路径。

第 1 步：明确你的角色与任务边界

在对话开头交代身份和目标，例如：“你是内部法律团队的合规助手，我是某 SaaS 公司的法务，现在需要审查一份供应商的数据处理协议，我们处理的是欧盟用户的账号与支付相关数据。”角色交代得越清楚，输出越贴近可用的工作底稿。

第 2 步：选择任务类型

技能支持四类主任务，直接说出你要哪一类即可：法规导航（“GDPR 和 PIPL 在跨境传输上的核心区别是什么”）、协议审查（“按第 28 条逐项检查以下条款”）、请求处理（“这是一封用户要求删除账号的邮件，帮我判断流程”）、监管监控（“整理本月需要关注的数据保护执法动态维度”）。

第 3 步：提供必要事实，而不是只给结论诉求

以 DPA 审查为例，输入示例：

请以 GDPR 第 28 条为基准审查以下数据处理协议片段。我们的角色是控制者，供应商是处理者，数据包括欧盟用户的姓名、邮箱与账单信息，供应商可能在印度和爱尔兰两地处理数据。请按“必需元素、处理者义务、次级处理者、国际传输、实际考虑”五部分输出，每项标注“满足／缺失／需澄清”，并对缺失项给出建议修改立场。协议片段：……

第 4 步：读懂输出结构

正常情况下你会得到一份清单式结果：哪几项已满足、哪几项缺失、缺失项的风险是什么、建议坚持的标准立场是什么（例如“要求通知并有权反对次级处理者变更”“要求终止后 30–90 天内删除”）。跨境部分还会提示识别传输机制、检查是否为 2021 年 6 月版标准合同条款、模块选择是否正确、是否需要传输影响评估与补充措施、是否包含英国附录。

第 5 步：处理数据主体请求

输入示例：“一位加州用户来信要求删除其全部个人信息，同时他还有一笔未结清的账单争议。请给出处理流程、适用法规、响应时间线、可能的豁免，以及回复邮件应包含的要点。”预期输出会覆盖：请求类型判定为删除权、适用 CCPA/CPRA、10 个工作日确认与 45 个日历日实质响应、账单记录可能落入法律保留或诉讼保留豁免、拒绝时需引用具体法律基础并告知可向监管机构投诉。

第 6 步：人工复核并留痕

把技能输出当作“初稿 + 检查清单”，由法律专业人员复核结论、补齐事实、确认当地最新要求，并归档请求接收日期、请求类型、适用法规、响应截止日、处理人与最终响应，形成可追溯记录。

同类型竞品对比分析

方案名称	定位	核心功能	安装／使用门槛	适用场景	优势与不足
合规技能Skill（compliance，技能ID 13795）	内部法律团队的隐私合规助手技能	法规导航、DPA 清单化审查、数据主体请求流程、监管监控与升级标准	在支持技能的平台搜索安装即可，零代码；深度依赖使用者提供的事实与上下文	供应商合同初审、用户权利请求响应、跨境传输评估、隐私合规自查	优势：方法论结构化、多法域对照、时间线内建、可反复复用；不足：不提供法律建议、法规时效需人工核验、结论需专业人员把关
通用大模型直接对话	通用问答与写作助手	开放式问答、文本总结、条款改写	门槛最低，人人可用	临时查概念、写邮件草稿	优势：灵活、无需配置；不足：回答稳定性依赖提示词，容易遗漏审查项、时间线记错、格式不统一，需要自己搭模板
外部律所或隐私顾问	专业法律服务	出具法律意见、谈判支持、承担专业责任	门槛高，需预算与排期（费用以各机构报价为准）	高风险合同定稿、监管问询应对、重大跨境架构设计	优势：权威、可担责；不足：成本高、响应周期长，不适合海量低风险合同的初筛
企业级隐私合规管理平台	合规流程与数据治理系统	数据映射、请求工单流转、同意管理、审计报表	需要采购、实施与系统对接，周期较长	中大型企业的体系化合规运营	优势：流程闭环、可审计、跨部门协同强；不足：实施重、成本高，条款层面的“读懂与判断”仍依赖人

选择建议：先用技能完成“读条款、列清单、判时限”的高频动作，把外部律所的预算留给真正需要担责的高风险决策，把平台留给需要跨系统留痕的流程管理。

该技能的典型应用场景与实际体验情况

场景一：中小企业法务初审供应商 DPA

角色是“一个人的法务部”，每月要处理多份云服务、外包客服、营销工具的合同。痛点是逐条比对第 28 条太慢，且容易漏掉次级处理者和跨境模块。使用方式是把协议片段贴入，要求按五部分输出“满足／缺失／需澄清”。实际体验是：上手难度低，首次使用只需交代角色与数据情况；输出高度结构化，可直接改写成给采购的反馈意见；需要注意模型可能对未贴出的附件条款“想当然”，因此务必提供完整文本，并把“需澄清项”回抛给供应商书面确认。

场景二：产品团队的隐私设计评估

产品经理准备上线一个新功能，需要判断是否触发数据保护影响评估、是否需要调整同意机制。痛点是不清楚从哪问起。使用方式是描述功能（收集哪些字段、目的是什么、是否涉及特殊类别数据、是否大规模系统监控），让技能给出 GDPR 下的义务清单与 DPIA 触发判断要点。实际体验是：能把模糊的“要不要做 DPIA”变成一张可讨论的清单；但功能描述的颗粒度决定质量，建议附上数据流草图说明。

场景三：客服与运营处理用户权利请求

痛点是请求类型混杂——有人要数据副本，有人要注销，有人只是不想被“共享”。使用方式是粘贴来信要点，要求输出请求类型、适用法规、时间线、豁免可能性与回复要点。实际体验是：时间线提醒价值最大，尤其是 CCPA/CPRA 的 10 个工作日确认与 45 个日历日响应，避免踩线；注意事项是身份验证环节不能用“多要材料”敷衍，技能会提示验证措施应与数据敏感性成比例。

场景四：跨境传输机制自查

涉及中国用户数据出境或多法域部署时，痛点是机制选择混乱。使用方式是说明数据流向（从哪里到哪里、涉及哪些主体、是否有集团内传输），要求对照 GDPR 国际传输要求与 PIPL 的跨境规则给出检查项。实际体验是：能快速列出“传输机制识别、SCC 版本、模块选择、传输影响评估、补充措施、英国附录”这些容易漏的检查点；但监管要求经常变化，最终机制选择必须回到官方文本与权威来源验证。

该技能能为用户带来的价值

把隐性经验变成显性清单，降低门槛。隐私合规长期依赖资深律师的个人经验，新人上手周期长。技能把“该看哪几条、该问哪几个问题、该坚持什么立场”固化成模板，让没有隐私专长的法务、采购、产品也能产出结构化的第一版判断。

显著压缩重复劳动时间。一份几十页的 DPA，人工逐条比对第 28 条要素往往需要数小时；借助清单化输出，首轮筛查通常可以压缩到几十分钟量级，人只需要处理“需澄清”和“高风险”的部分。用户权利请求同样如此，从“翻法规找时限”变成“核对清单确认时限”。

减少漏项带来的隐性风险。空白次级处理者授权、违规通知超过 72 小时、无审计权利、删除时间线未约定、使用过时标准合同条款——这些都是事后代价高昂的遗漏。技能把它们以“问题—风险—标准立场”三列呈现，等于把踩坑清单前置。

提升跨部门沟通效率。给采购的反馈不再是“这个条款我觉得不行”，而是“缺失项 X，风险是 Y，建议立场是 Z”，减少来回拉扯。

形成可审计的合规痕迹。从请求接收日期、适用法规、响应截止日到最终响应，每一步都有记录口径，长期看是一份可复用的合规知识资产，也便于应对监管问询。

长期价值在于“人机分工”的稳定化：机器负责穷举与提醒，人负责定性与担责。这种分工一旦跑顺，合规工作就从“救火”转向“流水线”。

常见问题 FAQ

Q1：这个技能怎么安装？需要写代码吗？

不需要写代码。在支持 AI 技能的平台中搜索英文名 compliance 或技能ID 13795，点击安装或启用即可。安装前提、可用环境、是否需要授权与额度规则，各家平台不同，以官方说明为准。安装后用“列出 GDPR 第 28 条要求”这类问题验证是否生效。

Q2：它是收费的吗？

技能本身是否收费、是否需要配合平台订阅或按调用量计费，取决于所在平台的商业策略，本文无法代为确认，请以官方说明为准。

Q3：它能替代律师吗？可以直接拿它的结论对外签署合同吗？

不能。技能明确说明自己协助法律工作流程，但不提供法律建议，合规决定应由合格法律专业人员审核；同时监管要求经常变化，必须通过权威来源验证当前要求。正确用法是把它当作初筛与检查清单工具，结论由人签发。

Q4：和直接问通用大模型有什么区别？

区别在“结构化程度”。通用模型也能聊 GDPR，但你每次都要交代背景、纠正格式、防止漏项；合规技能Skill 预置了第 28 条审查清单、多法域对照表、数据主体请求时间线与豁免判断、监管升级标准，输出更稳定、更接近可直接使用的工作底稿。

Q5：我该选它、选律所，还是选合规平台？

按风险分层：低风险、高频次的条款初筛与请求响应流程，用技能提效；高风险、需要专业担责的合同定稿与监管问询，找外部律所；需要跨系统数据映射、工单流转与审计报表的体系化运营，上企业级合规平台。三者是互补关系，而非替代关系。