reg-gap-analysis

/reg-gap-analysis

1. 加载 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → 隐私政策承诺、监管覆盖范围、DSAR 系统。
2. 运行以下工作流。
3. 确定范围：法规是否适用？（司法管辖区、门槛、行业）
4. 提取要求 → 与当前状态逐项比对 → 列出差距。
5. 制定整改计划，列明负责人、日期和优先级。
6. 保存带日期的文档。即使“没有差距”，也要记录。

/privacy-legal:reg-gap-analysis "Colorado Privacy Act"

/privacy-legal:reg-gap-analysis
[paste guidance / reg text]

---

法规与政策差距分析

目的

某个州通过了一项新的隐私法。ICO 发布了新的指南。CPPA 完成了法规定稿。情况发生了变化——现在你需要知道哪些内容（如果有的话）需要调整。

此技能会将新要求与当前做法进行比对（依据 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → 隐私政策承诺，以及 PIA 中记录的做法），并生成差距清单和整改计划。

加载当前状态

阅读 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md：

• ## Privacy policy commitments — 你公开承诺了什么
• ## Regulatory footprint — 已经适用哪些法规
• ## DSAR process → 系统清单 — 你实际如何开展运营

如果法规不适用于你（司法管辖区不符、未达到门槛或行业不同），差距分析只需一句话：“不适用。原因如下：[原因]。无需采取行动。”

工作流

步骤 1：确定法规适用范围

进行比对前，先回答：

• 是否适用？ 司法管辖区（你是否拥有该地的数据主体？）、门槛（收入、用户数量、数据量）、行业豁免
• 何时适用？ 生效日期、执法日期（通常较晚），以及任何分阶段实施安排
• 实际新增了什么？ 许多“新”州隐私法有 90% 的内容与 CCPA 相同，只做了一些调整。找出相较于你已遵守的规定有哪些变化，而不是通读全文。

步骤 2：提取要求

阅读法规（或摘要／指南）。将每项实质性要求列为单独条目：

#	要求	引用	类别
1	[按原文表述的要求]	[条款]	[告知／权利／安全／供应商／其他]

类别：

• 告知 — 你必须告知用户哪些内容（隐私政策内容）
• 权利 — 用户可以提出哪些请求（与 DSAR 相关）
• 安全 — 技术和组织措施
• 供应商 — 你必须向处理者传达哪些要求
• 同意 — 选择加入／选择退出机制
• 治理 — DPO、影响评估、记录保存

步骤 3：与当前状态比对

对每项要求：

### [Requirement #N]: [short name]

**Regulation says:** [requirement, quoted or paraphrased]

**We currently:** [what the config CLAUDE.md / privacy policy / practice shows]

**Gap:** [None | Partial | Full]

**If partial/full gap — what's missing:** [specific]

**Effort to close:** [Policy update only | Product change | Vendor renegotiation |
New process]

**Risk of non-compliance:** [regulatory penalty range, enforcement likelihood,
reputational]

步骤 4：确定优先级

差距的重要性各不相同。按以下顺序排序：

1. 有实际后果的硬性截止日期 — 生效日期、开始执法且存在实际处罚
2. 投入与影响之比 — 更新政策措辞成本低；重建产品则不然
3. 已部分完成的事项 — 如果你已完成 GDPR 要求的 80%，州法新增部分可能很少

步骤 5：制定整改计划

在文档开头添加 ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md 中 ## Outputs 下的工作成果标题（标题因用户角色而异——参见 ## Who's using this）。

研究连接器预检。 输出整改计划前，检查本次会话是否可连接法律研究连接器——Westlaw、EUR-Lex／监管机构网站连接器，或律所配置的任何研究 MCP。按照 CLAUDE.md 中的 ## Outputs，将检查结果写入审核者备注：如果步骤 2 或“常见法规类别研究”步骤没有连接器返回结果（或者运行时未配置连接器），请在审核者备注的 Sources: 行中记录——例如，not connected — cites from training knowledge; the highest-fabrication items in privacy gap analyses are new state-law effective dates, enforcement-begins dates, and article/section pinpoints — spot-check those first。逐条引用的 [model knowledge — verify] 标签仍应保留在正文中。不要在输出内容上方单独添加提示横幅。

[WORK-PRODUCT HEADER — per plugin config ## Outputs]

## Remediation Plan: [Regulation name]

**Effective date:** [date]
**Enforcement begins:** [date]

### Must-do before enforcement

| Gap | Fix | Owner | Due | Status |
|---|---|---|---|---|
| [gap] | [specific fix] | [name] | [date] | [ ] |

### Should-do (lower risk, not blocking)

[same table]

### Already compliant

[list of requirements where gap = None — useful for the "we're mostly fine" message]

### Accepted gaps (risk-accepted, not fixing)

[if any — with documented rationale and who accepted the risk]

常见的法规类别

确定差异时，先将新法规大致归类，再研究具体要求，会很有帮助：

• 基线数据保护／隐私法 — 广泛涵盖某司法管辖区的个人数据处理实践
• 行业专项补充规定 — 医疗、金融、儿童、教育、就业等领域
• AI 专项制度 — 对自动化决策的透明度、影响评估或治理要求
• 数据经纪商／广告科技制度 — 注册、选择退出和删除机制
• 数据泄露通知制度 — 独立规定或纳入更广泛的法律
• 跨境传输制度 — 充分性认定、传输机制和评估要求

对于与新法规相关的每个类别，起草差距分析前，都要研究当前生效的要求。引用一手来源。核实信息是否为最新——每个立法会期都会有新的州法律生效，监管机构也会发布解释性指引，改变特定控制措施所对应的“合规”含义。对于尚未确认的规则，应标明不确定性并交由律师核实，不要断言其成立。

不得擅自补充。 如果对已配置的法律研究工具（Westlaw、监管机构数据库或律所平台）执行查询后，某项法规、指引文件或执法行动的结果很少或没有，请报告检索结果并停止。不要在未征求同意的情况下，用网络搜索或模型知识填补空白。请说明：“使用 [工具] 的检索返回了 [N] 条结果。[制度／主题] 的资料覆盖似乎不足。可选方案：(1) 扩大检索范围；(2) 尝试其他研究工具；(3) 搜索网络——结果将标记为 [web search — verify]，依赖前应对照发布机构核实；或 (4) 标记为未核实并停止。您希望如何处理？”是否接受置信度较低的来源，由律师决定。

来源归属分级。 差距分析中的每条引文都要标明来源。对于基于模型知识的引文，使用以下三个级别之一，而不是统一标注“需核实”：

• [settled] — 稳定且广为人知、不太可能变动的法律和法规引用（例如，GDPR 第 33 条、CCPA § 1798.100、FTC Act § 5）。提交前仍需核实，但优先级较低。
• [verify] — 真实但应核实的模型知识引文：具体实施法规、机构指引、判决要旨、门槛、 生效日期、新颁布的州法规。
• [verify-pinpoint] — 精确定位引文（具体分项字母、卷／页码、段落编号、法规子部分引用）具有最高的编造风险，必须始终对照一手来源核实。

工具检索到的引文保留其来源标签（[Westlaw]、[issuing authority site] 或 MCP 工具名称）；网络搜索引文保留 [web search — verify]；用户提供的引文保留 [user provided]。分级机制能凸显实际需要核实的内容——如果读者核实所有内容，就等于什么也没核实。切勿删除或合并这些标签。

与其他技能的集成

来自 PIA 生成： PIA 会标出隐私政策中的不一致之处 → 这些内容会作为已知差距输入到此处。

对接监管法律插件（如已安装）： 此技能是手动版本。监控插件会监视信息源，并在有变化时自动触发此分析。

输出

保存为带日期的 Markdown 文档。整改计划表将作为跟踪表——项目关闭后更新状态。

即使差距分析的结论是“没有差距，我们符合规定”，也要编写文档——日后它可以作为你曾进行过检查的有用证据。

以引文核验说明结尾：

本输出中的引文由 AI 模型生成，尚未对照一手来源核实。在依赖任何法规、成文法、指导意见或执法行动之前，请使用法律检索工具（Westlaw、贵所的研究平台或发布机构的网站）核实其准确性和当前状态。AI 生成的引文有时是捏造或误引的。每条引文上的来源标签（例如 [web search — verify]）会显示其来源；带有 verify 标签的引文存在更高的捏造风险，应优先核查。

以“下一步”决策树结尾

按照 CLAUDE.md ## Outputs 中的要求，以“下一步”决策树结尾。根据本技能刚刚生成的内容定制选项——五个默认分支（起草 X、升级处理、收集更多事实、观察等待、其他事项）只是起点，并非固定选项。决策树就是输出；由律师作出选择。

本技能不做什么

• 它不会对含义模糊的法规条文作权威解释。法规不明确时，应如实说明：“第 X 条可能有 [A] 或 [B] 两种解读。[A] 是较为保守的解读。如果这会产生重大影响，建议咨询外部律师。”
• 它不会主动跟踪法规变化。只有在你指出某项变化时，它才会运行。如需主动监控，请参阅 regulatory-legal 插件。
• 它不会实施修复措施，只会规划修复方案。