把后台文档工作外包给 BPO 服务商，还是在自己的服务器上用 AI 自动处理：首席运营官如何决定

当理赔、客服工单或 KYC 文件堆积起来时，首席运营官可以招更多员工，可以把工作交给 BPO 服务商，也可以在公司自己的服务器上用 AI 自动处理。KYC（know your customer，了解你的客户）文件，是金融公司在接纳客户之前收集的身份证件和其他记录。BPO（business process outsourcing，业务流程外包）是指由另一家公司的员工来做这项工作，有时是在另一个国家。采用自动化时，运行在你公司掌控的服务器上的软件读取文档，并把它处理不了的文件交给人。如果大多数文件都需要人来判断，而且允许外部人员查看这些文档，BPO 服务商就比较合适。反复出现的文档类型适合自动化，必须留在公司内部的文档也是如此。有些公司把两者结合起来。

后台文档工作，我们有哪些选择？

扩充内部团队，文档和经验都留在公司内部。但这样一来，业务量每增加一次，就要招人、培训人，而这些人需要时间才能完全上手。

BPO 服务商按照一份约定了服务水平的合同，接手一整个流程，比如审核理赔或分拣客服工单。服务水平是服务商承诺达到的指标，比如每份文件必须在多长时间内处理完。招人和培训都成了服务商的事。它的员工可能身在另一个国家，要么在服务商自己的系统里工作，要么通过你给他们开的登录账号，在你的系统里工作。

在你自己的服务器上用 AI 自动处理，是指由软件用大语言模型（LLM），也就是 ChatGPT 背后的那类 AI，读取每一份文档。软件依据你的规则检查它抽取出的字段，把通过检查的写入你的系统。没通过检查的文件交给人处理。

几条路线可以结合起来。软件可以接手常规字段，比如标准表单上的姓名、日期和金额，其余的留给人处理。

由 BPO 服务商来做这项工作时，谁会看到我们的文档？

服务商的员工会看到这些文档，因为阅读文档本身就是这份工作，而理赔和 KYC 文件里满是个人数据。根据欧盟《通用数据保护条例》（GDPR），代表你处理个人数据的公司是处理者。你的公司仍然是控制者，也就是决定为什么以及如何使用这些数据的一方。

GDPR 第 28 条（2026 年 10 月 19 日在 EUR-Lex，即欧盟发布其法律的官方网站上查阅）规定，控制者“只能使用提供充分保证的处理者”。该条还要求与每个处理者签订合同，或订立其他具有约束力的法律文件。根据这份合同，处理者必须确保“获授权处理个人数据的人员”负有保密义务，无论这种义务来自他们自己的承诺，还是来自法律。服务商在引入另一个处理者之前，比如接手部分工作的分包商，也需要获得你的书面授权。

即使不把文件复制给服务商，只是让服务商的员工登录你的系统，数据也同样向他们开放了。由欧盟各国数据保护机构组成的欧洲数据保护委员会（EDPB），在其第 05/2021 号指南（2023 年 2 月 14 日的 2.0 版，同一天查阅）中讨论了这种情况。

根据 EDPB 的指南，从第三国进行的远程访问，在满足三项标准时，“也被视为一种传输”。第三国是指欧洲经济区（EEA）以外的国家。即使访问“仅以在屏幕上显示个人数据的方式进行”，也同样如此。其中一项标准是，获得访问权限的公司（这里就是 BPO 服务商）位于第三国。EDPB 还补充说，这种传输“只能在特定条件下进行”，这些条件规定在 GDPR 第五章中。

如果 AI 在我们自己的服务器上运行，文档就留在我们这里吗？

如果系统的每个部分，包括语言模型在内，都运行在你公司掌控的服务器上，文档就留在你这里。日常工作中没有外部人员阅读这些文档，每份文档的文本也不会发给 OpenAI 或任何其他模型提供方。如果系统使用的是由外部提供方托管的模型，文档就会发送到那家提供方。

即使在你自己的服务器上，你仍然要决定哪些员工可以打开哪些文件，以及系统可以往日志里写些什么（日志就是系统操作的记录）。构建和运行系统的人可能需要查看真实文档。这时，替你做这项工作的工程公司通常和 BPO 服务商一样，属于 GDPR 下的处理者。上面链接的那篇关于外包 AI 开发而数据不出公司的文章，讲了外部工程师如何在这样的系统上工作。

在混合模式下，BPO 服务商的员工可以处理你系统中的复核队列，也就是软件转交给人处理的文件清单。这样，服务商的员工只能看到这些文件，而 GDPR 关于处理者合同和从 EEA 以外远程访问的规则，对他们依然适用。

如果外包的工作出了问题，由谁负责？

法律加在你公司身上的义务仍由你公司承担，服务商则根据合同承担它自己的义务。欧盟的《反洗钱条例》（Anti-Money Laundering Regulation，编号 (EU) 2024/1624，同一天在 EUR-Lex 上查阅）说明了这在 KYC 上如何运作。该条例开始适用后，其第 18 条允许受其约束的公司（其中包括银行和其他金融机构）把条例要求它们完成的任务外包给服务提供商。

外包这类任务的公司，必须在服务商开始工作之前，通知其监管机构，也就是负责监督它的主管机关。该公司“仍须对与外包任务有关的任何行为，无论是作为还是不作为，承担全部责任”。第 18 条还列出了“在任何情况下均不得外包”的任务，其中包括：

• 决定为客户确定哪种风险画像
• 决定是否接纳一位客户，或与其进行一笔偶发交易
• 批准公司内部关于反洗钱和反恐怖融资的政策、程序和控制措施
• 批准用于识别可疑或异常交易及活动的标准

同一条还禁止把这类任务外包给设在被欧盟列为存在洗钱风险的第三国的服务商。例外是同一集团内的服务商，但还要满足其他条件。第 90 条规定，该条例“自 2027 年 7 月 10 日起适用”，对其中两类公司适用时间更晚，所以要核实目前适用于你的本国规则。

该条例序言第 47 条补充说，在没有服务提供商执行该任务的情况下，公司“使用或购置第三方软件”不属于外包。

软件可以收集 KYC 文件并检查其中的字段，而批准接纳该客户的，是你公司的一位指定人员。对于理赔，无论文件由哪条路线准备，都要写明哪些决定始终由你自己的员工作出。

业务量骤增时，每条路线如何应对？

月末或监管截止日期可能带来一波文件激增。BPO 服务商应对激增的办法，是从其他工作中抽调人手或者招人。问清它需要提前多久得到通知，以及新员工学习你的规则期间，它的服务水平会怎样。

只要服务器容量足够，软件就能按同样的规则处理更多文档。它处理不了的文件仍然要交给人，所以一旦质量差的扫描件或特殊案件激增，复核队列就会变长。事先决定在你最繁忙的那一天由谁来处理这个队列：是你自己的员工，还是服务商随叫随到的员工。

在我们的文档上，服务商的员工和软件，哪个做得更好？

同一种衡量方法对两者都适用。每种类型各取一批近期文档作为样本，由你自己的员工写下每个字段的正确值。然后对照这批样本，按每种文档类型的每个字段，给服务商的员工和软件打分。

如果你的合规规则允许服务商的员工查看这些文档，服务商就可以在试做中处理这批样本。软件则在允许处理这些文档的服务器上，用同一批样本进行测试。比较每个字段的准确率、转交给人处理的文件比例，以及从文档送达到形成完整记录所用的时间。

用同一批样本测量你自己的员工。人也会出错，你的员工的得分，就是两条路线都应当达到的水平。上面链接的两篇文章，一篇讲该向自动化公司问哪些问题，一篇讲文档 AI 是购买还是自建，都介绍了如何建立这批样本。其中第二篇把它称为验收集。

BPO 服务商和工程公司如何为这项工作定价？

各家的计价模式不同，所以要问清每家 BPO 服务商和每家工程公司如何收费。BPO 服务商可能按人、按小时或按处理的文档数量收费。工程公司的报价可能分为两部分：先是构建系统，然后是系统支持。

按文档类型和月份写下你未来三年的预期业务量，包括你最繁忙的那个月，并让每一家都按这同一组数字报价。再把你自己的成本加进去：选软件，就是服务器和处理复核队列的员工；选服务商，就是你的管理人员花在监督服务商上的时间。每一份报价还应当说明，当你的业务量下降或某张表单发生变化时，价格会如何变化。

如果终止合同，我们能留下什么？

交给 BPO 服务商时，很多经验，比如如何处理特殊案件，都装在它的员工脑子里。除非这些经验被写了下来，否则合同一结束，它们就随员工一起离开了。

从一开始就要求服务商提供书面的流程规则，并在工作发生变化时及时更新。把附有正确答案的样本保存在你自己的文件里。有了书面规则和样本，你就可以把工作交给新的服务商或交给软件，并核实质量没有下降。

对于文档中的个人数据，GDPR 第 28 条要求处理者合同写明工作结束时如何处置。处理者根据你公司的选择，“在服务提供结束后删除全部个人数据，或将其返还给控制者”。除非法律要求保留，处理者还要删除其持有的副本。签约之前就要约定你要的是两者中的哪一种，以及服务商将如何确认已经做到。

走自动化路线，只要合同把它们转让给你，你就能留下代码、给模型的指令，以及任何用你的数据进一步训练过的模型。读一读合同排除了哪些东西，比如这家公司在多个项目中重复使用的组件。

我们应该问 BPO 服务商和工程公司什么？

向两条路线上的每一家候选方发出同样的问题：

• 查看我们文档的人会在哪里办公？他们是登录我们的系统，还是把文件复制到你们的系统里？
• 还有哪些其他公司会参与这项工作，它们在哪些国家？
• 在我们签约之前，你们是否愿意处理我们的文档样本，让我们可以逐个字段给结果打分？
• 你们处理不了的文件会怎样，接下来由我们公司的谁来查看？
• 合同结束时，哪些书面规则、代码和数据会交还给我们，以什么形式交还？

关于外包、数据传输和客户核查的规则因国家和行业而异。本文以欧盟的法律文本为例，不构成法律意见，所以请就你选择的路线向律师或你的监管机构核实。

amBrain 在其中处于什么位置？

amBrain 公开描述的唯一一个语言模型项目是：“我们已在一家客户的金融科技边界之内，将一项 LLM 集成投入生产：把非结构化的经纪商与交易场所通知——公司行动、金融工具与保证金变更——抽取并规范化为交易系统所消费的结构化记录。”

本文不是案例研究，客户也不具名。上面引用的这句话没有说明该项目中模型在哪里运行，也没有说明它包括上文所述的哪些步骤。本文没有任何内容表明 amBrain 搭建过处理理赔、客服工单、KYC 文件或任何其他后台文档的系统，也没有表明 amBrain 替换过 BPO 服务商、与 BPO 服务商合作过，或者运行过由软件和服务商员工组成的混合模式。

GDPR 和《反洗钱条例》在本文中出现，只是作为你的公司可能需要遵守的规则。本文不对 amBrain 自身在这些规则或任何其他规则下的合规状况作任何声明。本文不给出 amBrain 的任何价格或工期，也不给出原型或试点的任何条件，包括签约前用你的样本进行试做的条件。

amBrain 自 2019 年起开发软件。它有三种合作方式：整体交付、专属团队，或工程师嵌入你的团队。它关于所有权的说法是：“客户拥有产品与代码的全部所有权，我们的可复用组件除外。”如果 amBrain 在你的候选名单上，就给它和其他任何工程公司同样的样本和同样的问题。