图像生成不应要求你交出存档

从产品侧看，图像上传很小。一个文件。一个请求。一个进度条。干净的小型 API 对象。真是赏心悦目。

但从用户侧看，它可能通往一座存档。所选图片可能来自手机相册，里面包含多年的家庭生活、工作截图、旅行记录、收据、医疗文件、孩子的面孔、私人的玩笑，以及那些并不打算提交给机器的对话截图。

这也是为什么图像权限的感受与文本框不同。文本框是在询问用户输入了什么。照片选择器可能会让人感觉像是在要求用户翻找抽屉。现代操作系统已经通过有限的照片选择来改进这一点，但产品在所选文件离开设备之后的行为仍然很关键。

AI 图像生成应将上传视为用于狭窄任务的狭窄输入。服务需要这张图片来完成所请求的转换。它并不必然需要自动保留原图、加入用户的图库、暴露给支持工具、导入分析管道、为模型改进而留存，或通过长期存在的 URL 提供访问。

最好的隐私姿态是“无聊但字面”：使用上传的图片进行生成，然后就停止保留它。如果有例外，就说明。如果滥用审查在特定类别的情况下需要临时留存，就说明。如果计费记录需要请求元数据，就说明。如果只有在用户明确保存输出时才会存储，就说明。文案不应需要一套律师阶层来解读。

还有一个设计问题。产品是否会推动用户进行批量导入、建立永久库，以及把一个图片任务变成一个被存储的创作账户的便利功能？还是让用户运行一次任务后就离开？一个产品可以很强大，但不必变得黏人。

创始人常担心隐私默认值会降低参与度。也许会。但并不是每个产品都应该为了参与度而优化。有些产品应该为了信任、任务完成，以及让用户能够干净利落地离开而优化。当输入是个人的或具有商业敏感性时，这一点尤其重要。

“交出你的存档”这句话听起来很戏剧化，直到你看到有多少应用会把一次上传变成持久记录。然后它就开始变得烦人地准确。

AI 图像生成之所以有用，是因为它让人们能够转换视觉素材。当这种转换要求用户交出比任务本身更大的记忆负担时，它就会变得危险。

延伸阅读：你的自拍照不再只是图片，为什么“删除我的上传”需要可验证，以及你的数据。