数据主权

数据主权是指我可以自主决定自己生成的信息物理上存放在哪里、遵循谁的规则。这有点像决定把家里的贵重物品放进自己的保险柜,还是寄放在邻居家的仓库里。物品本身没变,但选择哪个仓库,会决定出问题时谁来负责、适用哪套当地规则。

企业使用AI服务时也会遇到同样的问题。如果把公司的对话记录、代码等敏感资料原样交给AI公司的服务器保管,就要遵循那台服务器所在国家的法律,以及那家公司的安全政策。像银行、医院这类监管严格的行业,往往会要求把自己的数据留在已经在用的云端(创建自己的存储空间),并且自己掌握密钥。

最近,AI公司为了识别新型威胁,开始倾向于将使用数据保留一段时间,这使得安全需求与数据主权之间常常产生冲突。即便保留数据本身是必要的,数据物理上存放在何处仍然是另一个问题。

Anthropic此前会将使用Claude最新模型的企业数据保留在自家服务器上30天,但在受监管行业客户以数据主权为由提出反对后,Anthropic决定将存储位置转移到客户自己的云端。一个常见的误解是,数据主权意味着数据完全不交出去,但实际上更接近于:保留数据的义务本身依然存在,只是物理存储位置和访问权限由客户来决定。