是否有明确的解决方案来应对生成式人工智能带来的隐私风险？

生成式人工智能带来的隐私风险是非常真实的。从增加监控和曝光到更有效的钓鱼和语音钓鱼活动，生成式人工智能无差别地侵蚀隐私，同时为不法行为者提供了针对个人和群体的工具。

解决这个问题的最明确的解决方案是消费者和用户集体反对人工智能的炒作，要求开发或实施所谓的人工智能功能的透明度，以及政府机构对其运营的有效监管。虽然值得努力实现，但这不太可能很快发生。

剩下的方法是合理的，即使不完整的方法来减轻生成式人工智能的隐私风险。长期的、可靠的预测是，公众对数据隐私的教育程度越高，生成式人工智能带来的隐私风险就越小。

我们是否真正理解生成式人工智能的概念？

人工智能的炒作如此普遍，以至于调查人们对生成式人工智能的理解几乎没有必要。当然，这些“人工智能”功能、功能和产品实际上并不是真正的人工智能的例子，而是主要是机器学习（ML）、深度学习（DL）和大型语言模型（LLMs）的例子。

生成式人工智能，如其名称所示，可以生成新内容——无论是文本（包括编程语言）、音频（包括音乐和类似人类的声音）还是视频（带有声音、对话、剪辑和摄像头变化）。所有这一切都是通过训练大型语言模型来识别、匹配和复制人类生成内容中的模式来实现的。

让我们以ChatGPT为例。像许多大型语言模型一样，它的训练分为三个阶段：

• 预训练：在此阶段，大型语言模型被“喂”以来自互联网、书籍、学术期刊和其他可能包含潜在相关或有用文本的材料。
• 有监督的指令细化：模型被训练以更连贯地响应指令，使用高质量的指令-响应对，通常来自人类。
• 从人类反馈中强化学习（RLHF）：像ChatGPT这样的大型语言模型通常会经过此额外的训练阶段，在此期间，用户与模型的交互被用来完善模型与典型用例的对齐度。

所有三个训练阶段都涉及数据，无论是预训练中使用的大型数据存储，还是通过强化学习从人类反馈中实时处理的数据。正是这些数据带来了生成式人工智能的主要隐私风险。

生成式人工智能带来的隐私风险是什么？

当个人信息（数据主体）在未经数据主体同意的情况下被泄露给其他个人或实体时，隐私就会受到损害。大型语言模型在预训练和细化过程中使用了广泛的数据，这些数据可能包含个人数据，通常来自公开可用的来源，但不总是如此。

即使这些数据来自公开可用的来源，将其聚合和处理大型语言模型，并通过大型语言模型的接口使其可搜索，也可以被视为进一步侵犯隐私。

从人类反馈中强化学习（RLHF）阶段使情况更加复杂。在此训练阶段，用户与大型语言模型的真实交互被用来迭代地纠正和完善大型语言模型的响应。这意味着用户与大型语言模型的交互可以被任何具有访问权的用户查看、共享和传播训练数据。

在大多数情况下，这并不是隐私侵犯，因为大型语言模型开发者通常包括要求用户在与大型语言模型交互之前同意的隐私政策和服务条款。隐私风险在于许多用户不知道他们已经同意了此类数据收集和使用。这些用户可能会在与这些系统交互时泄露私人和敏感信息，而不知道这些交互既不保密也不私密。

通过这种方式，我们得到了生成式人工智能带来的三种主要隐私风险：

• 可能包含个人信息的预训练数据存储容易受到损害和泄露。
• 预训练数据中包含的个人信息可能会通过大型语言模型的响应泄露给同一大型语言模型的其他用户。
• 在与大型语言模型交互过程中提供的个人和机密信息最终会落入大型语言模型开发者的员工和可能的第三方承包商手中，从而可能被泄露或查看。

这些都是对用户隐私的风险，但个人可识别信息落入错误人手中的几率似乎仍然相对较低。至少在数据经纪人介入之前都是如此。这些公司专门从事嗅探个人可识别信息的工作，并收集、聚合和传播甚至公开广播这些信息。

随着个人可识别信息和其他个人数据成为一种商品，数据经纪人行业也随之出现，以从中获利，任何“泄露”的个人数据都可能被数据经纪人收集并广泛传播。

生成式人工智能的隐私风险背景

在研究生成式人工智能产品、服务和企业合作伙伴带来的具体隐私风险之前，让我们退一步，全面地看一下生成式人工智能的全部风险。Moraes和Previtali为IAPP撰写的文章中，采用了数据驱动的方法，完善了Solove的2006年“隐私分类法”，将其中的16种隐私风险缩减为12种人工智能特有的隐私风险。

这些是Moraes和Previtali的修订分类法中包含的12种隐私风险：

• 监控：人工智能加剧了监控风险，通过增加个人数据收集的规模和普遍性。
• 识别：人工智能技术可以自动链接各种数据源中的身份，增加了个人身份泄露的风险。
• 聚合：人工智能将个人数据的各个部分结合起来，以进行推断，造成了隐私侵犯的风险。
• 颅相学和体貌学：人工智能从身体特征中推断出性格或社会属性，这是Solove分类法中没有的新风险类别。
• 二次使用：人工智能加剧了将个人数据用于除最初意图以外的其他用途的做法，通过数据的改用。
• 排除：人工智能使得用户对其数据的使用缺乏了解和控制更加严重，通过不透明的数据实践。
• 不安全：人工智能的数据要求和存储实践使数据泄露和未经授权的访问风险增加。
• 暴露：人工智能可以揭示敏感信息，例如通过生成式人工智能技术。
• 歪曲：人工智能能够生成真实但虚假的内容，增加了虚假或误导性信息的传播风险。
• 披露：人工智能可能会导致数据的不当共享，当它从原始数据中推断出额外的敏感信息时。
• 增加可访问性：人工智能使敏感信息更容易被比预期更广泛的受众访问。
• 侵入：人工智能技术侵犯了个人空间或独处，通常通过监控措施。

这是一些令人担忧的风险。值得注意的是，这个分类法考虑到了生成式人工智能倾向于产生幻觉——生成和自信地呈现事实上不准确的信息。这种现象，即使很少泄露真实信息，也是隐私风险。虚假和误导性信息的传播以比准确信息更微妙的方式影响了主体的隐私，但仍然影响了它。

让我们深入研究一些生成式人工智能产品中这些隐私风险的具体例子。

与基于文本的生成式人工智能系统的直接交互

最简单的场景是用户直接与生成式人工智能系统交互，例如ChatGPT、Midjourney或Gemini。用户与这些产品的交互通常被记录、存储和用于强化学习从人类反馈（RLHF）、有监督的指令细化，甚至其他大型语言模型的预训练。

许多此类服务的隐私政策分析也揭示了其他数据共享活动，这些活动是由不同的目的驱动的，例如营销和数据经纪。生成式人工智能系统带来的另一种隐私风险是：这些系统可以被视为巨大的数据漏斗，收集用户提供的数据以及他们与底层大型语言模型交互时生成的数据。

与嵌入式生成式人工智能系统的交互

一些用户可能正在与嵌入在某个产品中的生成式人工智能接口交互。用户可能知道他们正在使用“人工智能”功能，但他们不太可能知道这对数据隐私风险意味着什么。嵌入式系统的主要问题是用户缺乏对个人数据可能最终落入开发人员和数据经纪人手中的认识。

这里有两种缺乏认识的程度：一些用户意识到他们正在与生成式人工智能产品交互；而另一些用户认为他们正在使用生成式人工智能嵌入或访问的产品。无论哪种情况，用户可能已经（并且可能已经）从技术上同意了与嵌入式系统交互相关的服务条款和条件。

其他将用户暴露于生成式人工智能系统的合作伙伴关系

一些公司以用户不太可能意识到的方式将生成式人工智能接口嵌入到其软件中，导致用户在不知不觉中与第三方共享信息并与之交互。幸运的是，“人工智能”已经成为如此有效的销售点，以至于不太可能有公司将此类实施保密。

另一个现象是，当公司试图与生成式人工智能公司（如OpenAI）共享用户或客户数据时，遭到了日益增长的反弹。例如，数据删除公司Optery最近撤销了一项计划，即默认情况下与OpenAI共享用户数据，这意味着用户会自动加入该计划，除非他们选择退出。

不仅用户迅速表达了他们的失望，而且该公司的数据删除服务也被从隐私指南的推荐数据删除服务列表中删除。Optery撤销了其决定，这是值得称赞的，但这里的重要事情是用户的反弹：人们开始意识到与“人工智能”公司共享数据的风险。

Optery案例是这里的一个很好的例子，因为其用户在某种意义上处于对所谓人工智能实施日益增长的怀疑态度的前沿。选择数据删除服务的用户通常也是那些会关注服务条款和隐私政策变化的人。

对生成式人工智能数据使用的日益增长的反弹证据

并非只有注重隐私的消费者对生成式人工智能系统及其相关的数据隐私风险提出了担忧。在立法层面，欧盟的人工智能法案根据严重程度对风险进行分类，大多数情况下，数据隐私是明确或暗示的标准。该法案还解决了我们之前讨论的知情同意问题。

美国虽然在采纳全面、联邦的数据隐私立法方面行动迟缓，但至少在行政命令14110中得到了保障。同样，数据隐私问题是命令目的的前沿： “人工智能技术的不负责任的使用可能会加剧社会危害，例如欺诈、歧视、偏见和虚假信息”——所有这些都与个人数据的可用性和传播有关。

回到消费者层面，反对侵犯隐私的生成式人工智能实施的不仅是特别注重隐私的消费者。微软的臭名昭著的“人工智能驱动”的回忆功能原本打算用于其Windows 11操作系统，是一个典型的例子。 一旦人们意识到隐私和安全风险的程度，反弹足以让科技巨头后退。遗憾的是，微软似乎并没有放弃这个想法，但最初的公众反应仍然令人振奋。

同样，微软的Copilot计划因数据隐私和数据安全问题而受到广泛批评。由于Copilot是在GitHub数据（主要是源代码）上训练的，围绕微软的编程人员和开发人员软件许可协议的潜在违规行为也引发了争议。在这些情况下，数据隐私和知识产权之间的界限开始变得模糊，赋予前者货币价值——这并不是一件容易做到的事情。

也许人工智能成为消费者眼中红旗的最大迹象是苹果公司最初的人工智能发布，特别是在与OpenAI的数据共享协议方面，获得了冷淡甚至警惕的公众反应。

零碎的解决方案

立法者、开发者和公司可以采取一些措施来缓解生成式人工智能带来的某些风险。这些是针对生成式人工智能问题特定方面的专门解决方案，没有一个解决方案被认为是足够的。所有这些解决方案都需要立法支持才能发挥有意义的作用，这意味着它们注定会落后于这个动态领域的发展。

• 数据最小化：减少收集和存储的数据量是一个合理的目标，但它直接与生成式人工智能开发者对训练数据的需求相反。
• 透明度：鉴于当前的机器学习状态，这在许多情况下可能甚至从技术上来说是不可能的。了解在生成人工智能交互中处理和生成什么数据以及如何处理，可以成为确保隐私的一种方式。
• 匿名化：任何无法从训练数据中排除的个人可识别信息（PII）都应被匿名化。问题在于，许多流行的匿名化和伪匿名化技术都很容易被击败。
• 用户同意：要求用户同意收集和共享其数据是必要的，但由于滥用和消费者倦怠，这种做法容易受到滥用，并且往往无效。这里需要的是知情同意，大多数消费者如果得到充分信息，可能不会同意此类数据共享，因此激励措施不匹配。
• 保护数据在传输和存储中的安全：数据隐私和数据安全的另一个基础是通过加密和其他手段保护数据。然而，生成式人工智能系统往往会通过其接口泄露数据，因此这只是部分解决方案。
• 在所谓人工智能的背景下执行版权和知识产权法：机器学习可以在“黑盒”中运行，使得难以甚至不可能追踪哪些版权材料和知识产权最终出现在哪些生成式人工智能输出中。
• 审计：大型语言模型和支持的生成式人工智能系统的“黑盒”性质限制了审计，只能在开发者的方便时进行审计。大型语言模型产品的封闭性质进一步限制了审计，只能在开发者的方便时进行审计。

所有这些方法都是有效且必要的，但没有一个是足够的。它们都需要立法支持才能发挥有意义的作用，这意味着它们注定会落后于这个动态领域的发展。

明确的解决方案

生成式人工智能带来的隐私风险的解决方案既不革命性也不令人兴奋，但其逻辑结论可能会带来真正的改变。明确的解决方案涉及日常消费者意识到其数据对公司的价值以及数据隐私对他们自己的无价价值。

消费者是为现代监控经济提供动力和来源的私人信息。只要有一批批消费者开始减少流向公共领域的私人数据，并开始要求处理个人数据的公司承担责任，系统就会自我纠正。

令人鼓舞的是，生成式人工智能与当前的广告和营销模式不同，并不需要在任何阶段都涉及个人信息。预训练和细化数据不需要包含个人可识别信息（PII）或其他个人数据，用户也不需要在与生成式人工智能系统交互时暴露这些信息。

为了从训练数据中删除个人信息，人们可以直接从各种数据经纪人（包括人搜索网站）那里开始，这些数据经纪人会聚合公共记录，并将其带入公开市场。 个人数据删除服务可以自动化此过程，使其快速简便。当然，从这些公司的数据库中删除个人数据还有许多其他好处，没有任何缺点。

人们还会在与软件（包括生成式人工智能）交互时生成个人数据。为了减少这些数据的流动，用户将不得不更加注意，他们的交互正在被记录、审查、分析和共享。他们避免此类情况的选择是限制他们向在线系统透露的信息，并在可能的情况下使用本地、开源的大型语言模型。人们通常已经很好地控制了他们在公共场合讨论的内容——我们只需要将这些直觉扩展到生成式人工智能的领域。