AI建站生成的隐私政策和Cookie同意书符合GDPR吗？

学完这篇，你能按检查清单判断 AI 建站工具生成的隐私政策和 Cookie 同意书是否满足 GDPR，并知道在 WordPress 后台、Cookie 插件和 Chrome 开发者工具里具体改哪里。

第一步：先认清责任——AI 生成的是草稿，不是合规凭证

这一步要判断“谁负责合规”，做完你会明白：AI 建站平台只帮你生成文本，法律责任仍在网站运营者身上。GDPR 第 13、14 条要求隐私政策必须写清控制者身份、数据用途、法律依据、接收方、跨境传输、保留期限、用户权利和投诉监管机构；第 7 条要求 Cookie 同意必须自由、具体、知情、明确，且撤回和给予一样容易。

先打开你的隐私政策页面，例如 https://你的域名/privacy-policy，确认能访问：

curl -I https://你的域名/privacy-policy
curl -s https://你的域名/privacy-policy | grep -iE "legal basis|retention|supervisory authority|data protection officer|withdraw"

如果这些关键词一个都没有，AI 生成内容大概率不完整。

注意：把 AI 文本直接复制上线，不等于 GDPR 合规。AI 不承担监管责任，你承担。

第二步：逐项检查隐私政策是否覆盖 GDPR 强制信息

这一步要拿到“缺什么”的清单，做完你能直接补内容。GDPR 隐私政策至少要有：控制者名称、地址、邮箱；收集的数据类别；处理目的；法律依据，例如同意、合同履行、合法利益、法律义务；接收方或处理者；跨境传输及保障措施；保留期限；用户权利，包括访问、更正、删除、限制、反对、可携带、不受自动化决策；撤回同意方式；向监管机构投诉的权利；提供数据是否强制及后果；自动化决策或画像说明；数据来源。

在 WordPress 6.5 后台进入“设置 > 隐私”，页面会给出隐私政策指南。你可以把 AI 文本贴进“隐私政策”编辑器，再逐条核对。如果政策里只写“我们可能收集信息”，没有法律依据和保留期限，就不合格。

注意：合法利益不是万能理由，必须在政策里说明具体利益，并做平衡测试。

第三步：检查 Cookie 同意书是否在同意前阻止非必要 Cookie

这一步要验证“同意前有没有偷偷埋 Cookie”，做完你能判断弹窗是否真合规。打开 Chrome 124 无痕窗口，按 F12，进入 Application > Storage > Cookies 和 Local Storage，再刷新网站。在点击“接受”之前，如果出现 _ga、_fbp、IDE、_gcl_au 等非必要 Cookie，就违反 GDPR 和 ePrivacy 指令。

再检查弹窗：拒绝按钮是否和接受按钮同等明显；有没有“接受全部”以外的“拒绝全部”；是否有分类开关，例如必要、分析、营销、功能；页脚有没有“Cookie 设置”入口用于撤回同意。

如果你用 WordPress，可安装 CookieYes 3.2：后台“插件 > 安装插件”，搜索 CookieYes，安装启用后进入 CookieYes > Cookie Banner > General，开启“Prior consent”。或用 Complianz 6.5：Complianz > Wizard > Cookies > Scan，按向导扫描并分类 Cookie。

注意：Google Analytics 4 默认可能发请求。必须在 GA4 里配置 Consent Mode，或让 Cookie 插件在同意前阻止它加载。

第四步：检查同意记录和撤回机制

这一步要确认“你能证明用户同意过”，做完你能应对用户投诉或监管问询。GDPR 要求控制者能证明同意。CookieYes 3.2 可在 CookieYes > Consent Log 查看记录；自建方案要保存同意时间戳、同意范围、政策版本、用户标识。撤回入口要固定，例如页脚“Cookie 设置”或“隐私设置”，点击后能再次打开弹窗修改选择。

注意：记录 IP 可能算个人数据，尽量最小化，不要无限期保存。

第五步：检查 DPA 和跨境传输

这一步要确认 AI 建站平台、主机、插件是否作为处理者合规，做完你能补上合同和传输依据。GDPR 第 28 条要求与处理者签数据处理协议 DPA。去主机商、CDN、AI 建站平台、邮件服务商官网找 DPA 页面并签署或下载。若数据传到美国，要确认对方使用标准合同条款 SCC，或已加入 EU-US Data Privacy Framework。

在隐私政策里搜：

curl -s https://你的域名/privacy-policy | grep -iE "Standard Contractual Clauses|Data Privacy Framework|SCC|跨境"

注意：只写“数据可能传输到境外”不够，要写明传输机制和保障。

第六步：检查用户权利请求流程

这一步要确保有人能处理访问、删除、更正请求，做完你能在法定期限内响应。设置专用邮箱，例如 privacy@你的域名，并在隐私政策里写明。GDPR 通常要求一个月内回复。可在 Gmail 或企业邮里建过滤器，把主题含“GDPR”“删除数据”“访问请求”的邮件自动打标签。

注意：政策写了权利，但没人处理，仍然不合规。

第七步：上线前验证并留档

这一步要做最终检查，做完你有一份可追溯记录。用 Chrome 124 无痕窗口重新测 Cookie，截图 CookieYes > Consent Log，保存隐私政策版本、更新日期、检查日期。如果网站面向欧盟用户，建议让当地律师或 DPO 复核一次。

小结：AI 生成的隐私政策和 Cookie 同意书只是初稿。要合规，必须检查隐私政策是否覆盖 GDPR 强制信息，Cookie 是否在同意前阻止非必要项，拒绝和撤回是否容易，是否有同意日志、DPA、跨境传输依据和用户权利响应流程。缺一项，就可能被认定为不合规。