AI 隐私中最危险的词

AI 隐私中最危险的词并不是“训练”。而是“最终（eventually）”。

最终删除。最终从备份中移除。最终从日志中清除。最终无法访问。最终匿名化。最终被处理。最终被审查。最终一切都“最终”。“最终”就像一张吊床，承载着令人不适的承诺。

“最终”的问题在于，它听起来很负责，却拒绝承担责任。它让产品暗示会删除数据，却不提供给用户一个时间窗口。它让运营团队可以不必承诺具体流程。它让支持团队用最柔软的迷雾来回答棘手的问题。

AI 图像工作流需要更尖锐的措辞，因为这些材料可能很敏感。提示词可能包含私人意图。上传内容可能包含面部信息。输出可能揭示一个活动、一个客户、家庭成员，或一次个人实验。用户有权知道“临时”到底意味着几秒、几小时、几天，还是在采购的热寂之后的地质时代。

修复方案并不总是“立刻删除”。对某些系统来说，立刻删除可能不现实。任务会失败。队列会重试。滥用防护系统需要短时间窗口。备份有周期。安全日志也有保留要求。诚实的隐私不应假装这些约束会消失。

但诚实的隐私会把这些数字说清楚。临时上传会在特定时间窗口后删除。签名 URL 会在特定时间后过期。提示词正文不会被存储，或仅为特定目的与特定时长存储。备份会在声明的期限内保留加密副本。例外情况也要被点名。

这也有助于工程实现。明确的保留窗口会变成可测试的需求。“在 24 小时后删除生成的输出，除非用户保存”可以被实现、被监控、并被审计。“最终删除（delete eventually）”只是一个带着路线图的耸肩。

产品团队有时会回避具体细节，因为他们担心自己会出错。可以理解。具体承诺会带来义务。这正是关键。没有义务的隐私承诺并不是承诺。它只是氛围。

如果你的 AI 图像产品使用“最终（eventually）”这个词，请用数字或拒绝来替换。要么告诉用户数据何时会被删除，要么承认你目前还无法承诺删除。第二种选择会很痛苦。第一种更好。迷雾比这两者都更糟。

延伸阅读：为什么临时上传需要保留策略，用户真正理解的隐私承诺，以及 零保留的 AI 图像生成。