“你的模型到底了解你什么？”这个问题听起来抽象，但有一个具体的切入点：它知道你怎么写字。一位在国家级项目里做过十年相关工作的从业者给出的判断是，这一切合法、写在你看过的协议里，而且大约领先公众认知六年。
他强调这不是阴谋，而是优化——系统知道得越多，运转得越好，而目前还没有人成功造出同样好用却更便宜的版本。所以真正该问的不是“我是否在训练数据里”，答案是：你在。真正该问的是，一个对手、一个厂商或一个政府，能从你从未直接使用过的系统里，重建出多少关于你的信息。
你产出的数据，和关于你的数据
这里有一个有用的区分。一类是你产出的数据：消息、帖子、邮件、上传的文档、写的代码、留下的评论。这是所有人都在谈的部分，你多少还有点控制权——至少可以选择少在公开场合产出。
另一类是关于你的数据：你的写作风格、你的响应时间、你的关系网络、从上百个来源推断出的位置规律、你的消费记录、别人拍的照片里你的脸。这部分几乎没人想到，却是更有价值的那一半。
模型不需要你的名字，就能给你建一份有用的画像。它需要的是一簇相互关联的信号，而这些信号很充足，这簇信号也足够稳定，用少得惊人的信息就能在不同数据集之间重新识别出你。相关研究并不含糊：匿名化作为一种实际保护手段，大约十年前就基本失效了，人们继续用这个词，是因为法律框架需要一个词。
文风是指纹，不是比喻
有些模型能从几百个词里认出作者，准确度足以在民事诉讼中站得住脚，而且跨翻译、跨话题变化、跨刻意模仿他人语气都成立。你可以改变你说什么，但你很难改变你怎么说，因为“怎么说”恰恰是你意识不到自己在控制的部分。
这意味着，你写过的每一段被采集的文本，如今都是描述你风格的训练信号。如果有人能访问一个在此之上微调过的模型，哪怕只是它的嵌入表示，就能测试某段匿名文字是不是你写的。举报人保护、匿名论坛、化名写作，全都处在借来的时间里。
缓解办法存在，但很麻烦：把不想被归因的内容，用一种你在别处不用的语体来写。刻意地、机械地写得不一样——更短的句子、不同的标点习惯、不同的词汇层级。这是一套戏服，而戏服的效果和现实里差不多：部分有效，且只对没在仔细看的人有效。
模型“知道”的，比数据库里的更奇怪
人们的心智模型在这里断裂。模型不存储你的档案，它存储权重，权重编码的是统计结构，而这个结构里包含关于你的、从未集中出现在任何一处信息。
问它一个问题，它能复现记忆中的文本；给它一段精心构造的序列，它能暴露出一个训练样本；让它补全一个模式，它会推断出你从未明说过的属性，因为这个属性在数据里和你明说过的内容相关。隐私研究把这两件事叫作提取和推断。实际含义是：如果模型是在像你这样的人的数据上训练的，那么“我们没有你的数据”这句话并不让人安心，因为模型已经泛化了。
三件可以实际做的事
他不建议注销账号，那不是真实选项，这条建议也没用。他给的是三件事：
- 按功能隔离身份。职业、财务、私人通信使用不同的语体，最好用不同的账号，财务那一块最好用不同的设备。这不是偏执，是基础的分割，设置起来大概花一小时。
- 在所有提供该设置的地方关闭“用你的数据训练”，并且每季度检查一次。设置会变，原本默认退出的公司悄悄改成了默认加入。最不该跳过这一步的，是你对话最多的那个助手，因为那是你产出的信号最强的文本。
- 假设你输入聊天机器人的任何内容都会被记录。不是因为某个厂商有恶意，而是因为留存政策比你对说过什么记性更长，而“用于产品改进的对话历史”这类表述，总有办法越变越宽。
个人谨慎解决不了结构问题
个人小心并不能解决这件事，它只是把风险转移给没时间小心的人。最容易暴露在AI推断之下的人，恰恰最负担不起身份分割：受监控平台上的低收入劳动者、数据保护较弱国家的人、通信被自己从未选择使用的系统收编的人。
监管图景则是一块拼布，最强的保护恰好出现在谈判地位最强的地方——这不是因为隐私在地理上有什么必然，而是世界本来就这样运转。
所以，个人层面小心是对的，但别把个人谨慎当成解决方案。它是安全带，不是路。你的数据已经出去了，剩下的问题是：在它之上会被建起什么。
热门跟贴