画一张实际数据流图
从采集、存储、标注、模型调用到结果交付，逐步标出主体和地点。外部云服务、模型供应商与远程访问也应纳入。示例：资料留在客户服务器，但外部服务能够读取内容，仍需要理解其实际处理过程，而不是只看文件保存位置。
分别核对权限与规则
客户许可、大学协议、个人资料要求和行业限制可能同时适用。香港私隐专员公署的 AI 指引可帮助识别相关问题，但不能作为所有跨境安排均合规的证明。涉及内地或其他地区时，应由相应专业人员核对具体路径。
用最少必要数据开始验证
早期可以讨论匿名化、脱敏或合成示例是否足以回答技术问题，但这些处理的有效性也要验证。测试结束后明确保留、删除和访问撤销。管理目标是让项目能够在已确认边界内推进，而不是用一句“已脱敏”跳过判断。
行动清单
- 记录数据类别、主体、地点、用途和外部服务。
- 核对合同授权、个人资料与行业规则。
- 确定最小必要数据、保留期、删除和权限撤销流程。