“我们的数据安全吗？”几乎是每个 AI 项目的第一个问题，也往往是回答得最含糊的问题。诚实的答案取决于数据实际流经哪些地方，而 AI 系统沿途的“站点”比大多数人想象的要多。
您的数据可能落脚的六个地方
以一个典型的知识助手为例，它根据内部文档回答员工的问题。数据会经过：
- 源系统：SharePoint、文档管理系统、ERP。这些系统已经有负责人和访问规则。
- 数据导入管道：提取文档并把它们切分成段落。
- 嵌入模型：把每个段落转换成用于检索的向量。如果它是云端 API，所有文档都会经过它。
- 向量数据库：存储这些段落和向量，往往相当于敏感内容的一份副本。
- 语言模型：每次请求都会收到问题以及检索到的段落。
- 日志和追踪记录：为了调试和质量控制而记录提示词和回答，这里也最容易在不知不觉中堆积敏感数据。
在瑞士《数据保护法》（nDSG）和 GDPR 的意义上，以上每一处都是一个数据处理地点。每一处都需要回答三个问题：它在哪里？由谁运营？数据保存多久？
合同先行
一旦外部服务商代表您处理个人数据，您就需要依据 nDSG 第 9 条和 GDPR 第 28 条签订数据处理协议。具体来说：
- 与您的实施合作方签订数据处理协议，明确项目期间他们可以看到什么、可以做什么。
- 一份次级处理方清单：云服务商、模型服务商、监控工具。这份清单及其任何变更都应由您批准。
- 对于瑞士和欧盟以外的任何服务商，要核实数据跨境传输的法律依据，例如充分性认定或标准合同条款。
NDA 保护的是商业秘密，并不能代替针对个人数据的数据处理协议。通常两者都需要。
让数据始终可控的设计选择
合同定下规则，架构决定风险有多大。最重要的几项选择：
有意识地选择区域。 主要的云服务商在瑞士设有数据中心，其中几家还在瑞士或欧盟区域提供语言模型。如果您需要的区域没有足够强的模型，可以在您自己的基础设施或瑞士云上运行开放权重模型。
关掉不需要的功能。 许多模型 API 提供零数据留存选项，并默认不把企业客户的数据用于训练。请以书面形式确认这两点，并明确进行配置，而不是依赖随时可能改变的默认设置。
发送之前先做最小化处理。 并不是每个字段都需要发给模型。姓名、账号和地址往往可以在请求前替换成占位符，之后再还原。模型照样完成工作，服务商却永远看不到这些标识信息。
尊重现有权限。 知识助手不能成为绕过访问规则的捷径。每个回答都只能基于提问者有权查看的文档生成，这一点要在检索环节强制执行，而不是靠要求模型“谨慎一些”。
把日志当作敏感数据。 对追踪记录中的个人数据进行遮盖，设定保存期限，并限制谁能查看。永久保存的调试日志是审计中常见的问题。
规划好退出。 项目结束时，归还或删除全部数据，包括向量数据库、备份和测试环境中的副本，并以书面形式确认删除。
一页纸的数据地图
在任何真实数据流动之前，我们会制作一张一页纸的系统地图：每个组件、所在位置、运营方、能看到哪些数据，以及保存多久。这正是您的数据保护官会要的文件，它让编制数据处理活动记录变得简单，也把“我们的数据安全吗？”变成一个有具体、可核查答案的问题。