AI玩具出口欧洲，需要核验哪些GDPR和儿童隐私要求？

先画清数据流，再谈“GDPR合规”

AI玩具可能处理语音音频、转写文本、对话记录或摘要、长期记忆、账号与家长信息、设备标识、IP地址、诊断日志，以及产品启用的传感器或位置信息。采购方应把玩具、App、SDK、语音服务、AI智能体、大模型、存储、日志、分析、导出和删除链路完整画出来。

“不保存语音”并不等于不保留个人数据。原始音频可能仅用于实时处理，但转写、摘要、记忆、日志或备份仍可能被保存，因此需要逐项核验。

采购合同与上线前核验清单

合规结论必须基于最终量产使用的服务、地区、配置和合同，而不是演示环境或通用白皮书。

• 明确品牌方、平台方、云服务商分别是控制者、处理者还是子处理商，并在需要时签署DPA。
• 取得最新子处理商清单，核验数据存储地区、跨境传输机制、加密、权限和事件响应。
• 确认原始音频、转写、摘要、记忆、日志和备份的用途、留存期限及删除方法。
• 为家长提供同意、查看、导出、删除、解绑账号和安全控制能力。
• 完成DPIA、内容安全测试、漏洞与安全更新计划，并明确事件与召回联系人。

儿童场景还要核验模型服务条款

不同模型提供商、API、服务层级和地区对未成年人使用有不同限制。采购方应核验最终生产环境的公开条款和商业合同，确认儿童场景被允许，而不能因为某个模型技术上可以接入就直接上线。

本文仅作采购与产品规划参考，不构成法律意见。面向欧盟或其他受监管市场上线前，应由熟悉儿童隐私、数据保护和产品安全的专业人员完成项目审查。