一、结论先行：五条义务与三个期限
AI客服、智能外呼、智能质检并不需要专门的许可，它们落在《个人信息保护法》的常规义务框架内。把合规要求压缩，就是五条义务：
- 合法性基础：处理个人信息应当具备法定情形之一，如取得个人同意、为订立或者履行合同所必需、履行法定职责或者义务等（《个人信息保护法》第十三条）。营销外呼通常不属于「履行合同所必需」，须取得同意。
- 告知：处理前应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序（第十七条）。
- 单独同意：向其他处理者提供个人信息、处理敏感个人信息、向境外提供个人信息，应当取得个人的单独同意（第二十三条、第二十九条、第三十九条）。
- 自动化决策约束：利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇（第二十四条第一款）。
- 影响评估：处理敏感个人信息、利用个人信息进行自动化决策、委托处理、向他人提供、向境外提供等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录（第五十五条、第五十六条）。
三个期限要单独记：影响评估记录至少保存三年（第五十六条）；通话录音与文本转写的保存期限由处理目的决定，目的实现后应当删除；发生个人信息泄露、篡改、丢失的，应当立即采取补救措施并通知履行个人信息保护职责的部门和个人。
二、AI客服与智能外呼的法律定性
判断合规义务，第一步是定性：企业在这些场景中扮演什么角色。
定性一：个人信息处理者。企业自主决定处理目的与处理方式，属于个人信息处理者，承担《个人信息保护法》下的全部义务，不因「使用了第三方技术」而免责。
定性二：委托处理中的委托人。企业采购第三方AI客服系统、语音识别服务、大模型API，由供应商按其指令处理数据，构成委托处理关系。企业应当与受托人约定委托处理的目的、期限、处理方式、个人信息种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督（第二十一条）。
定性三：共同处理者。企业与供应商共同决定处理目的与方式的，构成共同处理，应当约定各自的权利义务，但该约定不影响个人向其中任何一方要求行使权利；造成损害的，承担连带责任。
三、告知与同意的三层要求
AI客服与智能外呼的告知同意，不是一句「继续通话即视为同意」可以解决的。要求分三层：
| 层次 | 要求 | 常见错误 |
|---|---|---|
| 告知内容 | 处理者名称与联系方式、处理目的与方式、信息种类、保存期限、行使权利的方式和程序（第十七条） | 隐私政策只写「为改进服务」，不写具体目的与期限 |
| 同意质量 | 自愿、明确作出；法律、行政法规规定应当取得单独同意的，须单独作出（第十四条） | 默认勾选、捆绑授权、以提供服务为条件强制同意 |
| 变更处理 | 处理目的、方式、种类发生变更的，应当重新取得同意（第十四条第二款） | 上线新用途不重新告知，沿用旧授权 |
三个高频场景需要单独说明：
场景一：号码来源。客户号码若来自公开爬取、购买名单、员工私下导入或者合作方未授权共享，后续话术再规范也无法弥补源头缺陷。号码来源的合法性是整个链条的起点。
场景二：拒绝机制。个人明确表示不愿接收营销电话或者要求删除信息的，企业应当有可执行的退订、屏蔽与删除流程。仅有「请按9退订」而实际未生效，属于未提供便捷的拒绝方式。
场景三：录音提示。通话录音属于处理个人信息，应当在通话开始时明确提示「本次通话将录音」，并说明用途。未提示而录音，可能构成未履行告知义务。
四、自动化决策：透明度、公平性与拒绝权
《个人信息保护法》第二十四条对自动化决策设定了三层要求，逐款适用：
第一款：透明度与公平性。利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。「大数据杀熟」即属此款禁止的情形。
第二款：信息推送与商业营销的选项。通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。
第三款：重大影响的说明与拒绝。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
AI客服场景中，第三款的适用最容易被忽略。当系统基于客户画像自动决定是否给予优惠、是否通过审核、是否限制服务、是否列入风险名单时，即可能构成「对个人权益有重大影响」。此时企业应当：提供人工复核渠道；对决定理由作出说明；允许个人拒绝仅由机器作出决定。客服话术中「系统就是这样判定的，我改不了」这类表述，恰恰是合规风险的典型信号。
五、通话录音与质检：留存、权限与删除
AI客服与智能质检会产生大量衍生数据：通话录音、文本转写、意图标签、情绪评分、客户画像、质检评分。这些数据可能包含姓名、电话、地址、订单、投诉、健康与金融信息，其中健康、金融账户、行踪轨迹等属于敏感个人信息。
管理上应当落实五项措施：
- 保存期限：按处理目的确定最短必要期限，到期自动删除或者匿名化；不得以「以后可能有用」为由无限期保存。
- 访问权限：按岗位设置最小必要权限，禁止批量导出；导出行为留日志。
- 下载审批：录音、转写文本的对外提供应当经审批并记录用途。
- 脱敏规则：用于质检、模型训练的语料应当去标识化；去标识化后的信息仍属个人信息，只有匿名化（无法识别且不能复原）后才不受《个人信息保护法》约束。
- 日志审计：记录查询、导出、删除操作，日志保存期限与评估记录一致。
如果企业将录音与聊天记录提供给外部AI服务商训练模型，还要额外审查四件事：委托处理协议是否覆盖训练用途；数据是否出境；是否完成去标识化或者匿名化；供应商的删除与返还机制是否可执行。「供应商说不会用于训练」是陈述，不是保障，须落到合同条款与审计权。
六、敏感个人信息与影响评估
只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息（第二十八条）。处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定应当取得书面同意的，从其规定（第二十九条）。处理敏感个人信息还应当向个人告知处理的必要性以及对个人权益的影响（第三十条）。
需要事前进行个人信息保护影响评估并记录处理情况的情形，包括：处理敏感个人信息；利用个人信息进行自动化决策；委托处理、向其他处理者提供、公开个人信息；向境外提供个人信息；以及其他对个人权益有重大影响的处理活动（第五十五条）。
评估应当包含三项内容：处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；保护措施是否合法、有效并与风险程度相适应。评估报告与处理记录应当至少保存三年（第五十六条）。
医疗、金融、招聘、教育、未成年人相关场景的AI外呼，属于高风险叠加：既涉及敏感个人信息，又可能构成自动化决策，还常伴随录音。这类场景的评估不能套用模板，应当逐项说明必要性与替代方案。
七、违规后果与责任分配
违法处理个人信息的后果分三层：
第一层：行政处罚。情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款（第六十六条）。
第二层：民事赔偿。处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任（第六十九条）。这是过错推定，举证责任在被告一方。
第三层：内部责任分配。企业与AI供应商之间的责任，依委托处理协议确定；构成共同处理的，对外承担连带责任。协议约定不能对抗个人的赔偿请求。
八、常见问题与实务提示
问：智能外呼前必须取得客户同意吗？
营销类外呼通常不属于「为订立或者履行合同所必需」，应当取得个人同意。若号码来源不明或者未经同意，即使接通后立即说明并允许退订，也不能补正前置的合法性缺陷。
问：客户说「别再打了」，还需要做什么？
应当停止外呼并按要求删除或者屏蔽号码，且该处理应当可执行、可核查。仅口头答应而系统仍继续外呼，属于未提供便捷的拒绝方式。
问：通话录音可以保存多久？
按处理目的确定最短必要期限，目的实现后应当删除。若以质检为目的，保存期限应当与质检周期匹配；以争议处理为目的的，可以保存至争议解决，但须在告知中说明。
问：把录音交给第三方做质检，需要什么手续？
构成委托处理，应当订立委托处理协议，明确目的、期限、方式、信息种类、保护措施与双方权利义务，并对受托人进行监督（第二十一条）；同时应当事前进行个人信息保护影响评估（第五十五条）。
问：AI客服自动给出的优惠额度，算自动化决策吗？
若基于客户画像自动决定交易条件，属于自动化决策，须保证透明度与结果公平，不得实行不合理的差别待遇（第二十四条第一款）。若该决定对个人权益有重大影响，还应当提供说明与拒绝仅由机器决定的权利。
问：用客户对话数据训练模型，需要重新取得同意吗？
处理目的由「提供服务」变更为「模型训练」，属于目的变更，应当重新取得同意（第十四条第二款）；用于训练的语料应当去标识化，且不得超出告知的目的范围。
律师提示：AI客服与智能外呼的合规，核心不在技术，而在四个可核查的动作：号码来源能否追溯、告知同意能否举证、录音与转写能否按期删除、供应商协议能否约束用途。建议上线前把AI应用拆成数据采集、模型调用、业务决策、客户触达、数据留存、供应商管理六个环节，逐环节形成书面记录；上线后按季度复核一次。合规底座不是一次性文件，而是持续运行的记录。
法条与依据核验：《中华人民共和国个人信息保护法》第十三条（处理的合法性基础）、第十四条（同意的要件与变更后的重新取得）、第十七条（告知内容）、第二十一条（委托处理）、第二十三条（向其他处理者提供与单独同意）、第二十四条（自动化决策的三款要求）、第二十八条（敏感个人信息的处理规则）、第二十九条（敏感个人信息的单独同意）、第三十条（敏感个人信息的告知）、第三十九条（向境外提供的单独同意）、第五十五条（事前影响评估的情形）、第五十六条（评估内容与至少三年的记录保存）、第六十六条（法律责任）、第六十九条（过错推定）、第七十三条（个人信息与去标识化、匿名化的定义）；《中华人民共和国民法典》第一千零三十五条（处理个人信息的原则与条件）。特别说明：AI客服与智能外呼本身不需要专门许可，本文所述义务均来自《个人信息保护法》的一般规则；算法推荐服务的备案与透明度要求另由《互联网信息服务算法推荐管理规定》规范，本文未逐条引用；敏感个人信息的范围、去标识化与匿名化的界限，实践中仍有争议，已在正文提示。本文未引用任何具体裁判文书，条文序号依现行有效文本标注，请以全国人大官方公布文本为准。
