← 返回概念辨析

Concept Contrast Fable

能识别到人的数据和需要特别保护的数据

个人数据是能直接或间接识别到自然人的信息——姓名、手机号、IP 地址。敏感个人数据是法律划定的特殊类别——健康、生物识别、宗教信仰——触发更高的合规义务。用对待敏感数据的标准处理所有普通数据会浪费合规预算,反过来把敏感数据当普通数据处理会触发罚款。

寓言

药铺的访客登记册和病人的药方

城中药铺有两本册子。一本是访客登记册,写姓名、住址、哪天来过,柜台小二填了就行,放在前柜抽屉里。另一本是病人的药方,写脉象、症状、用过的药和剂量变化,只有坐诊大夫能看,锁在后柜铁盒里。

新来的管事觉得繁琐。他把两本册子的标准拉平,全都锁进铁柜,取用也要写原因。药铺日常慢了下来:客人退换药材要查购买记录,小二得找钥匙、填申请、等批复,半个时辰过去,客人骂一句走了。

换季时又出了乱子。抓药学徒不知道药方册子该放哪儿,把一位老病人的方子摊在前柜对药。旁边客人刚好是同乡,看见了方子上的病症,消息三天内传遍街坊。

大夫把管事叫到桌边。访客登记册也有价值,别人拿到后能知道谁常来药铺;但药方一旦外泄,伤的是人的尊严、名声和生活。两者都要管,可后果不是一个等级。

管事重新定规矩。登记册放在柜台格子抽屉,有锁但钥匙在柜台,取用记录一周汇总一次。药方册子单独存放,只对坐诊大夫开放,每次查阅都留下痕迹。

新规成形后,药铺终于不再为了查一条普通购买记录折腾半天,也不再让病人的隐事露在柜台上。大家发现,安全投入该跟泄露后果对齐,而不是跟纸张数量对齐。

后来商会来检查,翻完两本册子后点了点头:你们没有把简单登记册当绝症药方管,也没有把绝症药方当登记册管。管事这才知道,分级的意义在于先看哪种后果会真正伤人。

后来,又来了一件更棘手的活。表面看只是旧问题放大,实际把藏在流程里的缝隙都逼了出来:谁先接手、谁能改动、出了错怎样回到上一步,过去靠熟人默契混过去的地方,现在都必须说清楚。

个人数据

能直接或间接识别到自然人的信息,包括姓名、手机号、IP 地址、位置数据等。保护标准是基本的访问控制和使用目的限制。

敏感个人数据

法律划定的特殊类别数据,通常包括健康数据、生物识别信息、宗教信仰、性取向等。需满足更严格的收集条件、存储加密和审计要求。

故事对应

  • 访客登记册:普通个人数据,基本访问控制即可
  • 病人药方册子:敏感个人数据,需要更严格的加密、权限和审计
  • 拉平存放标准导致退换慢了半个时辰:用敏感数据标准管普通数据的过度合规成本
  • 方子摊在前柜被邻居看见:方子摊在前柜被邻居看见:敏感数据的风险会从权限设计里露出来
  • 两把钥匙分两种后果:安全投入应与数据泄露的后果严重性对齐
  • 不是所有锁都叫安全:分级管控依据的是泄露后果而非数据量

落到 AI 产品的数据合规设计

先做数据分级,再做安全设计。列出你的 AI 产品存储的所有数据字段,逐条判断属于普通个人数据还是敏感个人数据。敏感数据的处理链要从收集、传输、存储到销毁全链路加密,每次访问留审计日志。普通个人数据做基本的访问控制和目的限制即可,不需要全链路加密。常见浪费:把整个用户表放进加密数据库并审计每次字段读取——相当于给访客登记册配两把钥匙。常见风险:用户上传的对话内容里含有病史、诊断等信息,但系统把它当成普通文本存储——这等于把药方摊在前柜上。分级不只发生在设计文档里,发生在数据流入系统的每个入口。