AI 隱私中最危險的一個字

AI 隱私中最危險的字，並不是「training（訓練）」。而是「eventually（最終/之後）」。

Eventually deleted（最終刪除）。Eventually removed from backups（最終從備份移除）。Eventually purged from logs（最終從日誌清除）。Eventually inaccessible（最終無法存取）。Eventually anonymized（最終匿名化）。Eventually processed（最終處理）。Eventually reviewed（最終審查）。Eventually 是一張吊床，承載著令人不舒服的承諾。

eventually 的問題在於，它聽起來很負責任，卻拒絕承擔責任。它讓產品在不提供給使用者時間窗的情況下，暗示會刪除資料。它讓營運團隊能夠迴避對流程做出承諾。它讓支援人員用最柔和的迷霧回答最棘手的問題。

AI 影像工作流程需要更精準的措辭，因為這些素材可能很敏感。提示詞可能包含私人的意圖。上傳可能包含臉部。輸出可能揭露一場活動、一位客戶、一位家人，或一個個人的實驗。使用者有權知道「temporary（暫時）」到底是幾秒、幾小時、幾天，還是採購流程熱寂之後的地質年代。

修正方法不一定是立刻刪除。對某些系統而言，立刻刪除可能不切實際。任務會失敗。佇列會重試。濫用系統需要短時間窗。備份有週期。安全日誌也有留存需求。誠實的隱私不應假裝這些限制會消失。

但誠實的隱私會把數字說清楚。暫時上傳會在特定時間窗後刪除。簽署的 URL 會在特定時間後過期。提示詞內容不會被保存，或是會為特定目的與特定期間保存。備份會在明確聲明的期間內保留加密副本。例外情況會被命名。

這也有助於工程實作。明確的留存時間窗會變成可測試的需求。「在 24 小時後刪除生成的輸出，除非使用者自行保存」可以被實作、監控與稽核。「eventually 刪除」則只是用搖頭來換一張路線圖。

產品團隊有時會刻意避開細節，因為他們擔心自己會說錯。這很合理。具體的承諾會帶來義務。這正是重點。沒有義務的隱私承諾，不算承諾。那只是氛圍。

如果你的 AI 影像產品使用了 eventually 這個字，請用數字或拒絕（無法承諾）來取代。要嘛告訴使用者何時刪除資料，要嘛承認你目前還不能保證刪除。第二種選擇會很痛苦。第一種選擇更好。迷霧比兩者都更糟。

延伸閱讀：為什麼暫時上傳需要留存政策、使用者真正理解的隱私承諾、以及 零留存的 AI 影像生成。