企业官网建设流程全解析

版权与内容来源声明
本文为原创整理。文中涉及官方文档、开源仓库、论文与公开报道的内容，均在附表 A 中标注来源；引用官方原文保持原样，不作改写。文中命令、版本号与界面截图以本文成文时的实测/核验结果为准，标注「待验证」的部分请以你本地环境实际输出为判断依据。本文不推荐任何不合规的软件获取方式，也不对任何收益结果作承诺。转载请注明出处。

第 1 章 从"用模型筛简历"说起：你其实在做一件受规制的事

做 HR 的朋友转到 AI 大模型方向，最顺手的第一步往往是：把积压的简历丢给模型，让它按岗位要求打个分、排个序，甚至直接给"建议进入面试 / 建议淘汰"。

这一步技术上一点都不难，难的是——你处理的不是普通文档，而是带着真人身份、经历、甚至健康与家庭信息的材料。

1.1 简历不是普通文本，是个人信息

《个人信息保护法》第四条给"个人信息"下了定义：

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

一句话解释：只要一条内容能指向"某一个具体的人"，它就属于个人信息。简历上的姓名、手机号、邮箱、毕业院校、工作经历，每一条都能指向具体的求职者，所以整份简历都是个人信息。

1.2 用模型自动筛掉一份简历，本质上就是"自动化决策"

《个人信息保护法》第七十三条给了一个关键定义：

自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。

一句话解释：只要是用程序自动对一个人做出"影响到他"的决定，比如自动筛掉一份简历、自动决定不给他面试机会，这就属于自动化决策。注意，不需要你写复杂的算法才算——你 prompt 一句"帮我筛掉不符合条件的简历"，模型照做，就已经落在这个定义里了。

1.3 先谈"材料"，再谈"技术"

所以这件事的落点不是"模型能不能筛"，而是"筛之前，材料备齐了没有"。本篇把它拆成三份必须备齐的材料：

• 第一份：数据分类与处理依据——哪些字段是个人信息、哪些是敏感个人信息、凭哪一条合法处理；
• 第二份：个人信息保护影响评估——自动化决策场景依法要先做评估；
• 第三份：告知义务与拒绝权——得告诉候选人"有模型在参与决策"，并给一个便捷的拒绝方式。

下面一章一章拆。

第 2 章 第一份材料：先把数据分好类，再找处理依据

很多人一上来就想"先把数据分级做对"，但分级只是入口。真正要回答的是两个问题：这份简历里，哪些是敏感个人信息？我处理它，合法性基础落在哪一条？

2.1 哪些是个人信息，哪些是敏感个人信息

《个人信息保护法》第二十八条定义了"敏感个人信息"：

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

一句话解释：敏感个人信息就是"一旦泄露后果更重"的那类信息。简历里常见的坑是：候选人可能在自我介绍里写"已婚已育"“有腰椎间盘突出史”“宗教信仰”——这些一旦进入模型，就属于敏感个人信息，处理门槛更高。

处理敏感个人信息，第二十九条有单独要求：

处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。

2.2 处理简历的合法性基础，通常落在第十三条第二项

《个人信息保护法》第十三条规定了处理个人信息的合法性基础，其中和 HR 最相关的是第二项：

（二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

一句话解释：如果你是在"实施人力资源管理所必需"的范围内处理简历，可以不需要单独取得候选人同意，而是依据这一条作为合法性基础。但要注意两点：一是不能超出"所必需"的范围过度收集；二是如果简历里混入了敏感个人信息，仍然要单独同意。

2.3 一张"字段—分类—依据"对照表

把常见简历字段先分好类，后面两份材料才好填：

提示：这张表只是"分类思路"示例，具体企业场景要结合实际岗位与制度判断，本文不做合规结论。

第 3 章 第二份材料：个人信息保护影响评估

光分好类还不够。一旦你做的是自动化决策，法律要求你在"动手之前"先做一件事——个人信息保护影响评估（简称 PIA）。

3.1 为什么自动化决策必须"事前"评估

《个人信息保护法》第五十五条列了必须事前评估的情形，第二项正好点名自动化决策：

第五十五条 有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
……
（二）利用个人信息进行自动化决策；
……

一句话解释：只要你用模型筛简历属于自动化决策，就必须在处理前先做影响评估，并且要把评估和处理情况记录下来。这不是"做完再补"，是"做之前就要有"。

3.2 评估要写什么：看第五十六条

《个人信息保护法》第五十六条规定了评估内容：

第五十六条 个人信息保护影响评估应当包括下列内容：
（一）个人信息的处理目的、处理方式等是否合法、正当、必要；
（二）对个人权益的影响及安全风险；
（三）所采取的保护措施是否合法、有效并与风险程度相适应。
个人信息保护影响评估报告和处理情况记录应当至少保存三年。

一句话解释：评估至少回答三件事——目的和方式合不合法合理、对个人有什么风险和影响、你采取了什么保护措施。而且报告和记录至少要保存三年。

3.3 一份 PIA 模板长什么样

下面是一份可直接照着填的 PIA 模板结构（markdown），你把它存成文档，每次换岗位或换模型时更新一版：

标题：简历自动化筛选 - 个人信息保护影响评估（PIA） ## 1. 处理目的与方式 - 目的：对校招 / 社招简历做初筛排序 - 方式：将简历文本送入大模型，按岗位 JD 输出评分与建议 - 是否合法、正当、必要：依据第十三条第二项（人力资源管理所必需） ## 2. 对个人权益的影响与安全风险 - 影响：可能影响求职者是否进入面试 - 风险：敏感字段泄露、模型误判、结果不可解释 ## 3. 已采取的保护措施 - 入模前去除姓名、手机号、身份证号等直接标识符 - 对敏感字段单独取得同意后再处理 - 保留人工复核环节，不单纯依赖模型结论 ## 4. 记录留存 - 评估报告与处理记录保存不少于三年

第 4 章 第三份材料：告知义务与拒绝权

自动化决策最容易被忽略的一环，是"人有没有被告知"。模型在背后做了决定，候选人却完全不知道，这在法律上是有问题的。

4.1 必须告诉候选人：有模型在参与决策

《个人信息保护法》第二十四条第一段是对自动化决策的通用要求，第三段直接关系到"重大决定"：

第二十四条 ……通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。

一句话解释：用模型筛简历，如果结果会影响一个人能不能进面试（这通常就是"对个人权益有重大影响的决定"），候选人有权知道、有权要求说明、有权拒绝"只由模型说了算"。

4.2 给一个便捷的拒绝方式

第二十四条第二段讲的是"推送 / 营销"场景，但它的精神同样适用于筛选：要给个人"便捷的拒绝方式"。落到简历筛选上，最朴素的落地就是——保留人工复核通道，让候选人可以申请由人来重新看一遍，而不是被模型一票否决。

4.3 告知义务的要点清单

把"要告诉候选人什么"列成一张表，写进你的招聘须知或隐私政策里：

第 5 章 把三份材料落成一张可执行清单

三份材料分开看都好懂，难的是"真的做一遍"。下面把它们并到一张清单上，你照着打勾即可。

5.1 三份材料检查清单总览

5.2 落地到技术动作：入模前先去标识化

技术上有个简单但关键的动作——把能直接指向个人的字段，在送进模型前先"打码"。下面是一段示意脚本（未实际运行，仅供理解思路）：

⚠️代码待验证

importredefmask_resume(text:str)->str:# 仅作思路示意：入模前去掉直接标识符text=re.sub(r"1[3-9]\d{9}","[手机号]",text)# 手机号text=re.sub(r"\d{17}[\dXx]","[身份证号]",text)# 身份证号text=re.sub(r"[\w.-]+@[\w.-]+","[邮箱]",text)# 邮箱returntextif__name__=="__main__":sample="张三 13800138000 zhang@demo.com"print(mask_resume(sample))

注意：去标识化不等于匿名化，处理后的数据仍可能是个人信息，不能因此跳过前面的分类与评估。

5.3 清单的字段结构

把清单本身也结构化，方便接进你后面要做的工具里：

{"material":"个人信息保护影响评估","required_by":"第五十五条第二项","status":"pending","artifacts":["pia_report.md","processing_log.md"],"retention_years":3}

这份资料是什么：第 5 章把三份材料落成了一张可执行清单，配套的"合规落地清单"成品模板我整理进了资料包，方便你照着填。放在资料包里，扫码即可获取：

第 6 章 HR 转 AI 方向，这项能力本身就是稀缺技能

讲到这里你大概发现了：上面这些东西，纯写模型的人不一定懂，纯懂法的人又不一定会用模型。而你，正好是中间的那块拼图。

6.1 技术人会写模型，但不一定懂这层边界

很多做 Agent、做 RAG 的工程师，拿到一份简历数据第一反应是"怎么向量化、怎么提特征"，而未必会先问："这数据能这么处理吗？"合规边界不是他们的盲区，只是不是他们的第一反应。

6.2 你能补上的位置：合规 + 业务 + 模型的接口人

HR 转 AI 方向，最自然的价值点不是去和工程师比写代码，而是把"业务要什么"和"法律允许什么"翻译成"模型该怎么做"。你能把招聘场景里的敏感字段、合法性基础、告知义务讲清楚，再交给工程落地——这种"既懂人事业务、又懂数据处理边界"的人，在 AI 落地项目里很稀缺。

6.3 今天就能做的三件小事

• 把团队手里的简历字段先按第 2 章的表分一次类；
• 起草一版简历筛选的 PIA 模板（照第 3 章的结构）；
• 在招聘须知里补一段"自动化初筛告知 + 人工复核申请"的说明。

这三件事不依赖你会训练模型，但会让你在转 AI 方向的路上，比别人多一层别人没有的底牌。

第 7 章 常见误区与边界提醒

最后聊几个容易踩的坑，也把边界说清楚。

7.1 误区：匿名化后就万事大吉

有人觉得"我把名字去掉不就安全了"。但《个人信息保护法》第七十三条区分了两个概念：

（三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
（四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。

一句话解释：去掉名字通常只是"去标识化"，不是"匿名化"——如果还能结合别的线索认出是谁，它依然是个人信息，前面的分类与评估一步都不能省。

7.2 误区：用大模型训练就自动合规

如果你不只是"筛简历"，而是把简历拿去训练或微调模型，还要看《生成式人工智能服务管理暂行办法》。其中第七条明确：

（三）涉及个人信息的，应当取得个人同意或者符合法律、行政法规规定的其他情形；

第九条也规定提供者涉及个人信息的，要依法承担个人信息处理者责任、履行保护义务。一句话解释：一旦涉及训练，数据合法来源和个人信息保护义务是另一道更硬的门槛，不是"用了大模型就合规"。

7.3 边界：本文不替代法律意见

本文只做"动手前先备哪三份材料"的整理与出处标注，不构成法律意见，也不对具体企业的合规结论作判断。落到真实项目，请结合你们的法务与制度，必要时咨询专业律师。

这份资料是什么：第 7 章聊了几个常见误区，配套的"简历字段—分类—依据对照表"成品我放进资料包了，省得你自己从头列。放在资料包里，扫码即可获取：

附表 A：本文引用事实与出处对照表

附表 B：术语速查表

写在最后：这篇用到的资料

写这篇文章时，我把「用模型处理简历前要先想清楚合规边界」这件事从头到尾理了一遍，顺手也整理了几份配套的东西：

• 大模型学习路线图：从零基础到能自己动手做 Agent，按阶段说明每一步该学什么、哪些可以先跳过
• 《LangChain + LangGraph + MCP 智能体开发实战》视频课：7 个模块，从私有化部署、Embedding+RAG 到 MCP+Agent 全流程
• AI 大模型知识库（在线可查）：Agent Skills 从入门到落地、Claude Skills 完全指南等专题，按目录浏览即可
• 640 套 AI 大模型行业报告 + 经典 PDF 书籍：看行业落地案例和别人怎么做的时候用得上
• 大模型零基础到精通教学视频：跟着敲一遍，比只读文档快得多

资料是我自己整理的，放在下面这个码上，扫码即可获取：

添加时备注「AI」，优先通过。

资料按「先路线、再动手、最后查漏」的顺序整理好了，建议先看学习路线那一份，照着它挑一条适合自己当前基础的路径再往下看。