阅读原文：普通人必须知道的 AI 隐私安全

一、免费的真相

你大概已经习惯了这样的日常：写周报之前让 AI 润色，体检报告拍个照丢给 AI 解读，跟伴侣吵架了深夜找 AI 倾诉，孩子的数学题不会做顺手拍给 AI 让它讲解。

这些 AI 工具基本都是免费的。这感觉很像互联网早年的黄金时代——Gmail 白送你邮箱空间，Google Photos 免费无限存储照片，微信让你免费跟全世界聊天。当年你觉得自己赚了。后来你知道了：Gmail 的免费，代价是广告系统扫描你的邮件内容；Google Photos 的免费，代价是你的照片成了训练算法的养料；微信的免费，代价是平台比你更清楚你跟谁聊天、聊了什么、几点睡的觉。

互联网有一条没变过的铁律：如果你没有为产品付钱，那你本人就是产品。

AI 时代，这条铁律变得更锋利了。你输入 AI 的不是「搜索了什么关键词」这种粗粒度信号，而是你的想法、你的工作、你的人际关系、你的健康焦虑。搜索引擎只知道你对某个话题感兴趣，AI 却能看到构成你生活的那些具体细节。这两者的差别，比你以为的大得多。

二、AI 到底在收集你的什么

当你打开一个 AI 对话框，你觉得你只是在打字。但在服务商的后台，你交出去的东西有四层。

对话内容。 大多数人默认对话是「阅后即焚」的——关了标签页就消失了。事实相反：绝大多数 AI 产品长期保留你的完整对话历史，部分产品将其用于模型训练。即便少数公司承诺「不使用你的数据做训练」，这也是企业自行制定的政策边界，而非技术上的彻底隔离。政策可以改，可以在你不知情时更新服务条款，而你几乎不会点开那封通知邮件。

你上传的文件。 你把合同截图、体检报告、简历照片拖进对话框之后，它们离开了你的设备，住进了某个云服务商的服务器。访问权限、调用记录、擦除时间——这些你一概不知。你只知道 AI 返回了一段看起来还不错的分析。

你的使用行为。 你几点打开 AI、问了什么类型的问题、用了多久、从哪个 IP 登录、用什么设备——这些元数据本身就能拼出一份精准的用户画像。平台不需要知道对话内容，只需要知道你在凌晨两点反复搜索「失眠怎么办」、紧接着又搜索「如何跟伴侣提分手」，就已经得到了你未必想让人知道的推论。

你的生物特征。 任何 AI 修图 App、换脸工具、生成头像服务——你上传的自拍照去了哪里、训练了什么模型，你不知道。而脸部数据一旦流出，是不可逆的，你不能像改密码那样换一张脸。

三、输入框不是搜索框

我们这一代人从小习惯了搜索引擎，「在搜索框里输入任何想知道的东西」是肌肉记忆。这个习惯无缝迁移到了 AI 时代——但迁移过程中出了一个根本性问题。

搜索引擎看到的是你的关键词，AI 看到的是你的上下文。

当你在搜索引擎输入「高血压药副作用」时，它只知道一个匿名的 IP 对这个问题感兴趣。但当你把自己的血压记录、正在服用的三种药名、最近两周的症状描述、外加一句家族病史，一股脑粘贴进 AI 对话框，问「我这种情况要不要换药」——你交出去的是一份近乎完整的个人健康档案。

搜索引擎的隐私问题是「别人会知道我搜了什么吗」——答案通常是不会，它只看到一个匿名关键词。AI 的隐私问题是「别人会知道我是谁吗」——AI 不一定知道你的名字，但它看到了你的生活，那些私密的、具体的、可追溯到具体个人的真实生活。

问题的关键从来不是 AI 有没有「坏心思」。AI 本身没有意图，问题是，你把这些信息交给了谁，他们将如何保管、如何使用、会流向哪里。这跟 AI 有没有「坏心思」无关，只跟商业模式、数据架构和法律框架有关。

四、你的数据去了哪里：五条路径

你以为数据输入后就消失了。实际上它正沿着几条你看不见的路线流动。

第一条：模型训练。 AI 越来越聪明，很大程度上因为它「见」过足够多的东西。你的对话可能被纳入下一轮训练数据集。这里的问题不仅仅是「AI 从跟你聊天中学习」——真正的问题是学术界反复验证过的「记忆效应」：大模型会记住训练数据中的某些具体片段。研究者已经证明，通过精心设计的提问，可以从模型中提取出训练数据里的个人可识别信息。你的对话如果进了训练集，未来某个完全不认识你的人可能通过正常对话间接「问」出你输入过的东西。不是通过黑客攻击，而是通过模型本身的运转机制。更何况，一家公司今天承诺「不用于训练」，明天服务条款一改，这个承诺就可能消失。

第二条：服务器存储与系统漏洞。 你的对话存储在 AI 公司租赁或自建的云基础设施上。需要澄清的是，主流大厂通常会对数据进行高强度的传输与存储加密，黑客极难直接攻破。然而，这无法完全防御系统的软件逻辑漏洞。 过去就曾发生过因系统 Bug 导致用户在侧边栏意外看到他人对话标题与历史的事件。这意味着，数据集中存储虽然有加密保护，但一旦平台遭遇严重的安全漏洞、供应链攻击或管理越权，你的完整对话全文、上传的文件依然面临被意外暴露的风险。

第三条：人工审核。 大多 AI 公司设有人工内容审核团队，用以发现违规内容、改进安全过滤、标注训练数据。流程声称是「去标识化」的——审核员只看文本，看不到对应哪个账号。但如果你在对话中自然提及了真实姓名、公司名称、住址，去标识化设计对它们无效。你深夜向 AI 倾诉的一段极其私人的内容，可能成为某个审核员当天工作流水线上的一条工单。

第四条：第三方套壳中转。 市面上有大量调用大模型 API 的「套壳」产品——界面看上去是「XX智能助手」，背后其实是 ChatGPT。在这里必须明确区分「正规 API 开发」与「无资质套壳」。 直接调用大厂官方 API 的企业服务通常是安全的，大厂在商业合同中对 API 数据有「不存储、不训练」的严格承诺；真正危险的是来路不明的山寨套壳工具，你的数据在到达大厂之前，会先在这些小作坊的中间商服务器上「裸奔」——它存不存、怎么存、用来干什么，完全是一个不可控的黑盒。

第五条：法律与监管调取。 你的对话数据存储在某个具体司法管辖区的服务器上。所在国政府依法发出数据调取令时，AI 公司必须配合。你今天在对话框里输入的内容，有可能在未来某个法律程序中被重新打开，成为呈堂证供。这不是阴谋论，而是所有存储在第三方服务器上的数据共同面临的结构性现实。

五、什么绝对不能输入 AI

隐私不是非黑即白的。你对不同对象，天然暴露不同程度的信息——你不会跟出租车司机聊婚姻矛盾，也不会让最好的朋友替你看病历。这个梯度的直觉你本来就有，需要做的只是把它迁移到 AI 使用场景中。

红线：不可触碰的禁区

以下内容，无论用什么工具、什么目的，都不该输入 AI 对话框。

• 证件信息。 身份证号、护照号、驾驶证编号。这类信息的特征是：一旦泄露，无法通过网络止损。密码泄露可以重置，银行卡被盗可以挂失，但证件号被人知道了，你没法换一个。止损机制的缺位，构成了「绝不输入」的充分理由。
• 金融凭证。 银行卡号、有效期、任何形式的密码。以及一个说出来可能让你意外的事实：有人会把密码粘贴进 AI 对话框问「这个密码够不够强」——你的 AI 账号本身也是账号，你用它分析其他账号的密码，等于把一个秘密交给了另一个秘密的保管系统。
• 账号令牌。 API 密钥、Access Token、Cookie。如果你习惯把代码粘贴给 AI 做 debug，请在粘贴前检查代码里有没有硬编码的密钥。一条密钥混在几百行代码里被一起送进对话框，等于把服务器大门钥匙交给了不可控的存储系统。
• 公司核心机密与未公开内容。 商业计划、客户名单、内部邮件。即便公司还没明令禁止使用 AI 工具，在绝大多数雇佣合同和保密协议里，把内部资料上传到未经公司批准的第三方服务器本身就是违规。AI对话框就是这样一个「未经批准的第三方」。
• 别人的隐私。 未经授权的照片、别人的联系方式、朋友的私事。隐私权是一件你不能替别人放弃的东西。你自己的照片是你自己的选择，但你不该替家人、朋友、同学的脸部数据做同样的决定。

黄线：能不用就不用，非用不可先脱敏

• 工作文件与核心代码逻辑。 请 AI 分析文件前，把真实姓名、公司全称、具体金额、准确日期替换成占位符。对于程序员而言，即便代码里没有密钥（红线），也不要将公司未公开的核心架构设计、独特算法实现或包含内部服务器 IP 的代码整段粘贴。请用高度抽象的伪代码，或完全剥离业务背景的纯算法题形式向 AI 请教。AI 只需要知道问题的结构，不需要知道是谁的问题。
• 医疗健康数据。 体检报告、化验单。删除姓名、医院、病历号后再提问。不要上传原始 PDF 或截图——文件的元数据里可能嵌入了比你预想更多的可追溯信息（创建时间、设备信息、甚至 GPS 坐标）。
• 法律文件。 合同、协议、判决文书。请删除当事方信息、涉案金额和日期后再提问。
• 孩子的信息。 不输入真实姓名、学校、日常路线和班级。帮孩子建一个「学习专用化名」，约定只用化名与 AI 互动。

绿区：相对安全

通用知识问答、不涉及具体人物的创意写作、公开信息的整理分析、完全不暴露商业细节的通用头脑风暴、用彻底剥离业务背景的示例代码学编程——这些场景不含可追溯的个人或企业特征，风险相对可控。

六、你能做的几件事

以下建议的核心逻辑不是「做到百分百安全」，而是用最小的成本压缩最大的数据暴露面。

关闭训练数据共享。 每个 AI 工具都需要单独设置。ChatGPT 在设置-数据控制中关闭「为每个人改进模型」；Gemini 关闭「Gemini 应用活动记录」；Claude 去设置确认数据使用选项；国内产品（豆包、Kimi、文心一言、通义千问）在设置里找「隐私」或「体验改善计划」相关选项并关闭。需要注意：关闭训练数据共享不等于对话不被存储。它只阻止你的对话进入下轮训练集，对话记录本身依然存在。

开启对话自动删除。 多数 AI 工具已提供此功能——比如 ChatGPT 可设置 30 天后自动清除。即使不开自动删除，也建议养成定期手动清理的习惯，含敏感信息的对话尤其应该用完即清。

检查手机上 AI 类 App 的权限。 现在打开手机设置，逐个检查 AI 修图、AI 聊天、AI 写作类 App 的权限列表。问自己：这个 App 要通讯录干什么？要相册「全部访问」而不仅是单次授权干什么？麦克风和定位权限跟它的功能有什么合理关联？权限与功能之间找不到说得通的联系就关掉。

使用企业级或隐私专项保护方案。 如果你在工作、生产环境必须高频使用 AI，尽量推动团队使用ChatGPT Team、Enterprise 或 Microsoft Copilot 商业版等企业级方案，它们在法律合同层面上保证了数据与公共训练集的彻底隔离。此外，也可以在工作流中部署本地隐私脱敏网关（如私有部署的 AI Gateway），在请求发送给云端前自动识别并拦截敏感信息。

优先选择端侧处理。 当 AI 计算在你的设备本地完成、数据不离开你的手机或电脑时，前述五条路径中的绝大多数自然失效。苹果的 Apple Intelligence 等生态已将大量任务优先放在设备本地运算，市面上本地运行的开源轻量模型也越来越多。端侧模型的「聪明程度」目前在某些复杂场景下还追不上云端最强的大模型，但在隐私敏感的场景下，这个取舍完全值得。

建立「输入前三秒」反射。 每次按下回车前，停顿三秒，快速过三个问题：这段话里有能定位我个人或公司身份的信息吗？有别人的隐私吗？如果这段内容明天被人全文贴在公开网页上，最坏的连锁后果是什么？答案如果是「会很麻烦」，就不要发送，或先脱敏处理。一两周的刻意练习足以把它变成肌肉记忆。

跟家人沟通。 隐私不是一个纯个人事务——家人不经意的一次操作，可能比你自己小心翼翼地保护开更大的口子。

• 对老人：不需要讲技术术语，说明白就行——网上免费的 AI 工具你传照片进去它能给你生成图，但你不清楚照片传出去之后会被用来做什么；如果要玩，尽量用不包含清晰面孔的照片。还有：AI 只需要公开渠道获取的几秒钟音频就能合成任何人的声音，如果接到「家人出事要钱」的电话，先用自己平时用的号码回拨确认。
• 对孩子：使用 AI 辅导工具时用化名，不透露真实学校和住址，不上传自己或同学的照片。还需要一条需要时间才能内化的底线——「AI 对你很友好，但它不是你的朋友，它是一家公司的产品。」

七、知道代价，然后选择

AI 是这一代人手里最强大的信息工具之一。主动不用意味着在很多场景下少了一套杠杆。担忧隐私安全并不是让你恐惧到不敢用，而是帮你在知情的前提下自己做选择。

每一次重大的技术普及过程中，隐私总是最先被牺牲、最后才被正视——不是因为它不重要，而是因为在扩张初期，「代价」总是隐蔽的、延迟的，等到代价显性的时候，数据已经出去了。

从现在开始，你只需要在每次打开对话框之前记住一件事：那头是一台别人的服务器，运行着别人的代码，受别人的商业条款和法律框架管辖。你输入的每一个字，都是你主动交出去的信任。这份信任应该交给谁、交到什么程度——这个判断没有 AI 能替你做。

阅读原文：普通人必须知道的 AI 隐私安全