合规审查通常被当成法务的事，和写代码的人隔着一道墙。可产品要上线、代码要合并、客户数据要处理、事故要响应，这些环节里都埋着隐私问题。等到上线后再补合规文档，返工成本往往更高。

打开网易新闻 查看精彩图片

GDPRGard 推出的 GDPR Compliance Skills，是一个免费、开源的 Claude Code 插件，把常见的 GDPR 评估和文档任务直接搬进 AI 辅助的开发工作流。项目采用 MIT 许可证发布。

它的思路不是让用户每次从空白页开始写合规材料，而是围绕具体 GDPR 条款预置专用工作流，需要时直接调用。

七个专用技能

  • DPIA（数据保护影响评估）：判断在 GDPR 第 35 条下是否可能需要做 DPIA，并能生成 DPIA 草稿。适用于处理个人数据的新产品、AI 系统、大规模监控活动和高风险处理操作。
  • ROPA（处理活动记录）：围绕第 30 条记录要求，帮助建立或审计处理活动记录，适用于 GDPR 文档、内部审计、合规复查和 DPO 支持工作。
  • 隐私政策审查：对照 GDPR 第 12 至 14 条的透明度要求审查隐私政策，适用于网站上线、隐私政策更新和合规差距分析。
  • Cookie 与追踪器审计：审计 Cookie、追踪器、同意机制和 Cookie 横幅，找出潜在合规问题。
  • 数据处理协议审查：对照 GDPR 第 28 条审查数据处理协议（DPA），并可起草红线修改建议，针对的是企业常用的第三方供应商和处理者。
  • 违规响应：引导团队走完 GDPR 违规处理要求，包括与第 33、34 条相关的通知考量。事故发生时分秒必争，这个技能就是为提速准备的。
  • DSAR 响应：支持与第 15 至 22 条权利相关的请求，包括访问请求、删除请求、更正请求及其他数据主体权利流程。

两个内置命令

除了单项技能，插件还带两个命令。/gdprgard-compliance:gdpr-check 针对某个文件或文件夹运行按优先级排序的合规审查，可用于审查应用代码、审计项目文档、在发布前检查隐私相关资产。/gdprgard-compliance:breach 则针对已报告的事件启动违规响应流程。

对开发者来说，这套东西的价值在于把合规审查前移。数据收集方式、日志保留、分析埋点、第三方集成、用户账户管理、安全事件处理，这些工程决策本身就与 GDPR 要求直接交叉。在编码助手内部就能调用隐私相关技能，合规复查不必等到部署之后。

项目方也把边界说得很清楚：这些技能生成的是草稿和检查清单，不构成法律建议，输出内容在依赖之前应由合格的专业人士、DPO 或法律顾问审阅。AI 能加速合规工作，但责任归属和法律解释仍然在人这边。

另一个值得注意的设计是隐私优先。按项目描述，GDPRGard 不会收到通过插件分析的文件、代码或网站，插件只是运行在用户 Claude Code 会话里的一组指令。对处理敏感信息的组织来说，这种架构比要求把文档上传到外部服务的方案更有吸引力。

它不会取代隐私专业人士或法律顾问。但它能帮团队生成初稿、识别合规缺口、把重复性任务流程化。随着隐私法规持续演进，对开发者友好的合规工具正在从加分项变成必需品。