ChatGPT Enterprise vs. Microsoft Copilot vs. 自建 RAG：DACH 企业该把谁列入候选？

给奥地利、德国或瑞士企业的简短结论：如果工作和治理完善的知识已在 Microsoft 365 中，就把 Microsoft Copilot 列入候选。如果更看重跨多个系统的广泛助手和连接，就考虑 ChatGPT Enterprise。如果明确工作流需要托管产品无法提供的控制、检索行为、托管或模型选择，且您能维护系统，再自建 RAG。产品标签本身不能确立 GDPR 合规。角色和义务取决于实际处理、目的和合同。

这是采购与工程视角，而非供应商推销。产品名称、价格和数据条款已于 2026 年 9 月 2 日核对，并可能因市场、承诺期限、工作区资格、功能和协商合同而异。签约前请核对链接页面和最终订单。

对比一览

以下维度通常决定选择。请针对具体租户和配置重新核对商业与技术条款。

对 DACH 受众有一项重要提醒：微软说明，发送给已启用 Anthropic 模型的客户数据在美国处理，不在 EU Data Boundary 内，而存储的客户数据仍留在边界内。Bing 网络查询也有单独排除。如位置是选择标准，应映射每项启用功能和模型。

ChatGPT Enterprise

ChatGPT Enterprise 是带企业控制和多业务系统连接的托管助手。OpenAI 表示默认不使用业务数据训练模型，并提供 DPA、自定义保留、身份与管理控制以及公开的安全认证。部分受监管功能需要特定工作区配置，因此应确认具体控制，而不是从方案名称推断。欧洲数据驻留适用于符合条件的新 Enterprise 工作区，可让范围内的存储内容留在 EEA 和瑞士；符合条件的工作区还可增加区域内 GPU 推理。非 GPU 处理、系统数据、应用和不受支持的功能存在文档所列排除项。Enterprise 采用定制报价，部分协议提供基于额度或令牌的结构。

Microsoft Copilot

如果工作已在 Microsoft 365 中进行，Copilot 可基于登录用户通过 Microsoft Graph 有权访问的数据生成回答。微软表示提示词、响应和 Graph 数据不用于训练基础模型。原名 Microsoft 365 Copilot 的产品现已更名为 Microsoft Copilot；符合条件的基础许可证并不限于 E3 和 E5。Copilot Business 为符合条件的 Microsoft 365 商业客户提供相同核心能力，每个租户最多 300 个席位。符合条件的订阅包含 Copilot Chat 的网络检索模式，而基于工作数据的聊天需要 Copilot 许可证。价格因市场、计费周期和促销而异。部署风险在于现有权限、共享链接或治理不足的内容导致过度暴露，因此应在推广前审查访问权限和敏感度控制。

自建 RAG

当明确工作流需要托管产品无法满足的托管、授权、语料覆盖、评测或模型选择时，自建检索系统才有理由。它并不会自动具备主权、可移植、安全或更便宜。预算必须覆盖数据准备、源系统原生授权、摄取和删除流程、评测、可观测性、事件响应，以及模型或索引迁移。权限应在调用模型前强制执行，并测试共享、继承、撤销和过期索引。我们在 面向欧盟的 RAG 生产就绪检查清单 中对此做了深入展开。

还有一个值得点名的中间地带：像 Microsoft Copilot Studio 和 Azure AI Foundry，或 OpenAI 的代理工具，能让您定制并 ground 一个托管产品，而无需从零构建检索。当"买"太死板、"建"又太重时，这往往是务实的答案。

如何选择

请按真正约束您的那个限制来选，而不是按哪个演示最亮眼。

1. 选择 Microsoft Copilot：当您已有符合条件的 Microsoft 365 基础许可证，价值在于 Exchange、SharePoint 和 Teams 数据，并且其确切的 EU Data Boundary、网络、模型和治理配置满足您的门槛时。
2. 选择 ChatGPT Enterprise：当您需要跨多种业务系统的托管助手、管理和保留控制，以及经合同确认的欧洲位置控制时。
3. 自建 RAG：当您需要按自己条件的数据驻留或主权、在专有语料上做权限感知检索，或需要模型可移植，并且您拥有或将招聘工程与 MLOps 来承担维护时。
4. 从比您以为的更小处起步。 对大多数团队来说，正确的第一步是 Copilot 或 ChatGPT Enterprise 加上一次聚焦的赋能推动，只有当某个特定的高频工作流明确证明值得时，才去自建。我们在 如何在 2026 年于内部推广 AI 中描述了这个顺序。

"任何产品标签都不能决定 GDPR 合规。请映射真实处理活动和各方角色，再检验合同、位置控制、权限、保留和运营。"

不能跳过的 DACH 数据保护部分

GDPR 角色取决于具体处理活动，不能仅凭产品类别认定。请记录第 6 条下的合法依据；仅在供应商代表您处理数据时签署符合第 28 条的处理协议；并为可能带来高风险的用途评估是否需要 DPIA。跨境传输还需要覆盖实际接收方和功能的有效路径。《欧盟-美国数据隐私框架》目前仍然有效，欧盟普通法院已于 2025 年 9 月驳回首项撤销之诉，但上诉仍在进行。不要因此把框架描述为临时失效，也不要假定它覆盖每个子处理者。个人账户可能缺少所需合同、管理或保留控制，只能用于经批准的数据和用途。数据驻留本身是个深入话题，我们在 2026 年 AI 应用的欧盟数据驻留 中做了介绍。

如果答案是标准工具加培训，那次落地正是我们的 AI 落地服务：先把 AVV 和数据驻留问题谈清楚，把权限整理干净，先交付一个范围明确的用例，再考虑推给全公司。如果答案是定制 RAG，开发那一侧是我们的 AI 产品开发服务，而 Twinsoft AI 展示了围绕它的生产系统必须包含哪些东西。