如果你身在歐洲或處理歐洲使用者的資料，GDPR 合規不是選項，而是義務。以下說明如何在合規的前提下運行 OpenClaw。

AI Agent 的 GDPR 基礎知識

當你的 AI Agent 處理歐盟居民的個人資料時，GDPR 就適用。這包括：

對話中的姓名、電子郵件、電話號碼
包含與會者資訊的行事曆事件
來自客戶的電子郵件內容
任何可識別個人身分的資料

GDPR 核心原則

合法基礎 — 你需要合法的理由來處理資料
目的限制 — 僅將資料用於其聲明的用途
資料最小化 — 不收集超過所需的資料
儲存限制 — 不保留超過必要期限的資料
安全性 — 以適當措施保護資料
問責性 — 能夠證明合規

自架以符合 GDPR

自架 OpenClaw 讓你擁有最大的控制權：

資料存放地點

將伺服器設在歐盟境內。選擇提供歐盟資料中心的供應商：

Hetzner（德國）
OVH（法國）
Scaleway（法國）

所有資料都留在歐盟境內。

資料處理

使用 AI 模型時，你的資料會被送至模型供應商：

Anthropic（Claude）— 美國公司，但提供零保留 API
OpenAI（GPT）— 美國公司，API 零保留
DeepSeek — 中國公司，請考量相關影響
自架模型（Llama、Mistral）— 資料永遠不離開你的伺服器

零保留 API 的使用

Anthropic 和 OpenAI 都提供不保留輸入/輸出資料的 API 方案。這對 GDPR 很重要 — 模型供應商會處理但不儲存你的資料。

歐盟 AI 法案的考量

歐盟 AI 法案自 2026 年 8 月起引入額外要求：

風險分類

像 OpenClaw 這樣的個人 AI 助理通常被歸類為有限風險 — 需要履行透明度義務，但不需要遵守高風險系統的完整要求。

透明度要求

使用者必須被告知他們正在與 AI 互動
AI 生成的內容應可被辨識
保留 AI 系統運作的日誌

實際意義

個人使用時，要求很低。商業用途中若有面對客戶的 AI，請確保：

客戶知道他們在與 AI 互動
你能說明 AI 存取了哪些資料
你有維護稽核日誌

實務合規檢查清單

資料處理協議

如果使用託管服務，確保你的供應商提供 DPA（資料處理協議）。

隱私權政策

更新你的隱私權政策，載明：

使用 AI 助理技術
AI 存取哪些資料
資料如何被處理和儲存
第三方模型供應商資訊

資料主體權利

確保你能履行以下權利：

存取權 — 向個人展示 AI 擁有他們的哪些資料
刪除權 — 刪除特定的記憶和資料
可攜權 — 以標準格式匯出資料

OpenClaw 基於檔案的記憶系統讓這變得很簡單 — 記憶檔案是人類可讀的 Markdown。

安全措施

加密靜態資料和傳輸中的資料
使用強認證
定期安全更新
多租戶環境的容器隔離

資料保留

設定自動清理：

對話日誌：90 天
記憶檔案：直到明確刪除
暫存資料：24 小時

託管服務的合規

ClawTank 提供：

容器隔離 — 每位使用者的資料在實體上是分離的
加密儲存 — 靜態資料已加密
全面 TLS — 傳輸中的資料已加密
不共享資料 — 你容器中的資料只屬於你
輕鬆刪除 — 刪除容器即移除所有資料

建議

個人使用

使用零保留的 API 方案
盡可能將伺服器設在歐盟
留意你分享給 AI 的個人資料

商業使用

向你的託管供應商取得 DPA
更新你的隱私權政策
實施資料保留政策
使用歐盟境內的基礎設施
考慮自架模型以獲得最大控制權

面對客戶的 AI

告知客戶他們正在與 AI 互動
未經同意不處理客戶資料
建立資料主體請求處理程序
保留稽核日誌
進行資料保護影響評估（DPIA）

立即開始

在 ClawTank 上部署，享有容器隔離和加密儲存。若要符合歐盟法規，搭配 Anthropic 或 OpenAI 的零保留 API 方案使用。