零数据保留对企业意味着什么

如果你在把专有知识或客户数据交给 OpenAI 或 Anthropic 之前曾犹豫过，你并不孤单。数据隐私已成为企业选择 AI 供应商时的决定性因素。Fortune 本周报道（新窗口），零数据保留 (ZDR) 如今正是 AI 创新前沿实验室竞相角逐的焦点。ZDR 的承诺很简单：供应商处理你的提示词，返回答案，然后不留任何记录。但在实际操作中，ZDR 只留给顶级客户，而且还附带种种例外（稍后详述），这意味着供应商可以在短短几周内推翻自己的策略。

我们是如何走到这一步的

6 月 9 日，Anthropic 发布其最强大的模型 Fable 5 和 Mythos 5，并对所有流量强制实施 30 天保留要求。该要求适用于模型运行的所有平台，包括 AWS Bedrock 和 Google Vertex AI，并推翻了部分企业已经签署的零保留协议。Anthropic 表示，这些数据用于识别滥用行为，不会用于训练，并会在 30 天后“在几乎所有情况下”删除。

企业并不买账。不到一天，Microsoft 就限制自家员工访问 Fable（新窗口），同时其法务团队在审视相关条款。Nvidia 把 Anthropic 模型的使用范围（新窗口）限制在敏感度较低的工作上，转而在内部倚重自家的 Nemotron 模型。Palantir 拒绝通过其软件提供 Anthropic 模型（新窗口），除非 Anthropic 保证不可撤销的零保留。Booz Allen Hamilton（新窗口）是一家大部分业务服务于国防和情报机构的美国咨询公司，它禁止员工将商用模型用于专有网络安全工作。

一个月后，Microsoft 首席执行官 Satya Nadella（新窗口）和Palantir 首席执行官 Alex Karp（新窗口）公开警告企业不要依赖前沿 AI。Nadella 说：“你实际上要为智能付两次费，一次是金钱，另一次是更宝贵的东西：为了让这种智能变得有用而必须交出的专有知识。”

如今各供应商正竞相弥补损失。8 月 19 日，OpenAI 重申对其前沿模型上的合资格企业和应用程序接口客户提供完全的零数据保留（新窗口）。它还预览了 Private Safety Processing：在这一设计中，合资格客户的内容留在客户自己控制的基础设施上，或存储在 OpenAI 的基础设施中，并使用 OpenAI 并不持有的密钥加密。自动化系统会扫描这些内容，并返回一个仅描述活动类别和严重程度的精简信号。

9 月 1 日，Anthropic 发布了Enterprise Frontier Safeguards（新窗口）（简称 EFS），该方案将滥用监控数据存储在客户自己的云帐户中，使用客户自己的加密密钥，而不是存于 Anthropic 的帐户。EFS 在发布时尚未可用，将于今年秋季晚些时候在企业套餐上分阶段推出。与此同时，被 Anthropic 认定为合资格的客户可以在 Fable 上获得 ZDR，作为过渡方案。

这两种方案都保留了监控。记录存放的位置以及谁能读取它们或许有所改变，但两家 AI 实验室都没有承诺移除这些记录。

为什么数据保留成了一票否决项

当初采用企业级 AI 的企业之所以接受保留条款，是以为自己的数据只会被短暂保存，仅用于发现滥用行为，绝不会用于训练。但有四件事动摇了这一认知。

法院可以推翻删除承诺。2025 年 5 月，New York Times 诉讼案（新窗口）中的一项证据保全令迫使 OpenAI 无限期保留 ChatGPT 和应用程序接口的输出日志，包括已删除的聊天记录以及付费 Team 套餐上的聊天内容。该命令持续了约四个月，其中部分数据至今仍被保留。享有 ZDR 的应用程序接口客户未受影响，因为他们的数据从未被存储。但一旦供应商留存了副本，它能存在多久就由法院说了算。

无论你的数据身在何处，美国法律都能触及。根据 CLOUD Act，美国当局可以强制美国公司交出由其持有、保管或控制的数据，即使这些数据存放在欧洲的数据中心。美国供应商提供的欧盟数据驻留选项，改变的是数据的存储地点，而不是哪个政府有权索取它。合作伙伴和承包商也是这一问题的一部分，而非无关紧要的脚注：Anthropic 的 30 天规则同样适用于 AWS 和 Google Cloud，而 OpenAI 表示，专门的外部承包商会为了支持、滥用调查和法律合规而访问会话内容。由客户持有的加密密钥限制了云服务商可以交出的内容，但并不能让服务商脱离美国的司法管辖。

FBI 还可以在未经法官批准的情况下发出国家安全信函。这类信函索取的是订阅者记录和交易记录，也就是谁使用了服务、在何时使用、使用了多少，而不是会话内容本身。它们通常附带封口令，因此供应商可能被禁止告知你。这就是为什么即使内容已被删除，元数据依然重要。

美国政府也可以直接把模型关停。6 月 9 日发布三天后，美国商务部的一封信禁止非美国国籍人士访问 Fable 5 和 Mythos 5。Anthropic 随即撤销了全球客户的访问权限，直到 6 月 30 日前后管控放宽。在大约三周时间里，市场上能力最强的模型在美国境外无法使用，只因某个美国机构认为它不该被使用。任何数据处理条款，无论起草得多完善，都无法防范这种情况。可用性同样是一种司法管辖风险，欧洲买家已开始这样看待它：在今年公布的一项针对 1,500 位欧洲企业领导人的 Proton 调查中，74% 的人表示担心美国当局可能命令供应商切断他们的访问。

保留成了访问的代价。企业谈下来的 ZDR 合同，并不能在其最想使用的模型上提供保护。受客户保密义务或行业法规约束的公司，不得不在最好的模型和自身义务之间做选择。

有一点区别值得牢记：“不用它训练”并不等于“不从中学习”。留存你提示词的供应商仍然可以研究它们：你自动化了哪些任务、你的工作流长什么样。Fortune 援引的安全专家表示，AI 公司可以利用这类洞见来改进未来的产品，而无须直接在这些数据上训练。这可能帮助供应商打造出与你的产品相竞争的东西。

零保留之下的所有例外

标题上的那个数字很少能代表整个策略。细读保留条款，你会发现同样的例外情形反复出现。

滥用监控。大多数 AI 应用程序接口默认会保留提示和输出，以便扫描滥用行为，通常保留约 30 天，有时人工审核人员也能查看这些内容。滥用监控正是 Anthropic 30 天规则（新窗口）的理由，也是你必须申请 ZDR 的原因。目前公布的默认值：OpenAI 应用程序接口为滥用监控保留 30 天；Azure OpenAI 在 Microsoft 的环境中存储 30 天，人工审查仅限于已被标记的内容，且只有获批采用修改版滥用监控才能移除，而这需要签订企业协议；Google 的付费 Gemini Developer API 默认 55 天，可配置为 7 天、14 天或 28 天，而 Vertex AI 为 30 天。具体天数取决于你实际购买的是哪一个服务入口。
被标记的会话。如果自动分类器判定某次聊天违反了使用策略，保留时限就会随之改变。根据 Anthropic 公布的条款，被标记为违规的输入和输出最多可保留两年，与之关联的信任与安全分类评分最多可保留七年。分类器也会出错：安全团队测试自家防御，或者研究人员询问化学问题，都可能触发标记。保留策略通常不会承诺在标记发生时通知你。
关于你的数据的数据。即使会话本身已被删除，关于它的记录仍可能留存：分类器评分、帐户与用户标识符、时间戳、使用量、调用了哪些工具或连接器。这些足以勾勒出你公司运作方式的详细图景。而这正是国家安全信函可以索取的那类记录。
反馈按钮。点一下“赞”或“踩”（新窗口），整个会话都会随之发送出去。Anthropic 会保留通过反馈或问题反馈提交的数据五年。
文件、记忆和智能体。ZDR 通常只覆盖模型调用，而不包括围绕它包装的各项功能。上传的文件、向量存储、记忆、已保存的聊天、连接器和智能体会话都会一直存储，直到你将其删除。例如，Anthropic 自己的策略就把“由你掌控、保留时间更长”的服务排除在外，比如它的 Files API。
个人帐户。如果员工在个人套餐上使用 AI，你公司的数据就要受消费者条款约束。根据 2025 年底更新的消费者条款，允许将其聊天用于训练的 Anthropic 用户，其聊天记录最多会被保留五年。

删除承诺几乎总是以安全调查和法律义务的例外收尾，也就是那个“在几乎所有情况下”的条款。而正是在这些例外情形中，你的数据停留得最久。

条款本身就是风险

Anthropic 已经改变了策略：其最新模型不再附带 Fable 的保留要求，EFS 也即将推出。但所有这些变化恰恰证明，供应商可以自行更改条款，并背弃它已经达成的每一份协议。

你所使用的 AI 供应商决定你的数据如何被处理的条款，而且它可以随时改写这些条款。

正因如此，一些公司决定改为在内部完成敏感的 AI 工作。Fortune 的报道称，Fable 发布之后，安全软件公司 Cinder 发现，询问如何自行运行开放模型的普通公司数量激增。

不过，愿意自建这套复杂基础设施的公司仍然很少。Menlo Ventures（新窗口）估计，2025 年底开放源码模型占企业 LLM 使用量的 11%，低于前一年的 19%。而这还是在今年夏天的反弹之前。

企业清楚，一旦自行运行模型，安全就成了自己的责任。能承担这份重担的公司并不多。

向 AI 供应商提出的五个问题

先做一次清点：列出所有正在使用的 AI 工具，并记下每个人所在的层级，以及使用的是公司帐户还是个人帐户。然后向每家供应商提出以下问题：

在我们所在的层级上，究竟保留了什么，涉及哪些模型和功能？问清楚 ZDR 是否同时覆盖新模型和现有模型，是否覆盖上传的文件、记忆、连接器、智能体和反馈，而不只是基本的应用程序接口调用。
滥用监控会保留什么、保留多久，被标记后是否会延长？问清楚由谁审查被标记的内容，是否有人工可以查看，以及当你的某个会话被标记时，是否会收到通知。
会话被删除后，还有什么会保留下来？询问分类器评分、元数据、合作伙伴和承包商持有的日志，以及备份的情况。
谁能访问被保留的数据，哪些政府可以索取这些数据？询问员工和承包商是否可以读取。询问无论你的数据存储在何处，供应商或其任何云服务商是否受 CLOUD Act 约束。询问收到传票或法律保留通知时你是否会被告知，以及供应商是否公布其收到的政府请求数量，包括国家安全信函。New York Times 案的命令让付费 Team 套餐上已删除的聊天记录被保留了数月之久。
你们能更改这些条款吗？会提前多久通知？询问你的 ZDR 协议是否对未来模型具有约束力。今年 6 月，Anthropic 的新保留规则从其最新模型上线当天起，就推翻了已有的协议。
对于那些正是因为你不留存记录才选择你产品的客户，你如何应对？攻击者被零保留吸引的理由，与企业如出一辙。Anthropic 9 月的威胁情报报告描述了一个平台，它通过美国的基础设施以隧道方式传输流量来规避地区封锁，并利用 ZDR 服务来转发受限制的研究请求。任何可信的供应商——哪怕它没有任何日志可记——都需要回答：在没有存档可供检查的情况下，滥用行为如何被发现？如果他们说不清楚，那就很值得注意。