AI隐私监管开始追问：企业能否说清数据去了哪里？

AI 合规正从「模型会不会答错」转向「企业能不能说清数据怎么流」。英国科学、创新与技术部 7 月 15 日启动证据征集，要求提交 AI 使用个人与非个人数据的实际案例，重点覆盖数据访问、质量、跨组织治理、透明度与权利，以及现有框架是否适用于 AI。它不是新规，却把来源、权限、责任和审计放到同一张清单上。1

伯克利长期网络安全中心 7 月 17 日发布的工作坊纪要，则要求重视内部使用风险评估、关键事件报告和「差点出事」的近失事件；40 多名参与者还指出，智能体需要专门记录其数据访问与行动路径。2

7 月 17 日，Reuters 报道全球企业正面对 AI 驱动网络攻击和勒索活动上升，并提到 Clover Health 三名员工账户被社工攻击、可能暴露个人及受保护健康信息，Abbott 也在调查内部系统被未授权访问。报道没有认定这两起事件由 AI 直接造成，但它提醒企业：账号、文件、第三方系统和日志之间的边界必须可见。3

科研团队把未发表论文、实验数据或合作方资料交给 AI 后，数据可能经过文件解析、检索库、模型推理、输出和日志。每一步都要回答：谁能看到原文，智能体能否继续访问别的系统，近失事件能否追溯？英国政府文件把数据来源、元数据、访问控制、委托权限和审计记录列为现实问题。风险不只在聊天框，解析器、向量库和共享链接同样属于数据流。

墨镜熊官网显示，平台提供科研场景、上传图片与附件、密态搜索、密态快速响应和密态专家深度推演；页面称对话全链路加密，平台与模型均无法访问明文。4 荆华密算官方文章还称，密态空间以密文保存会话、上传文件和知识库内容。5

这类架构把原始材料尽量留在不可见边界内，再完成检索和分析；它不能替代数据分类、最小必要、授权审批和事件留痕。对未发表科研数据，先确认能否进入 AI，再确认谁能访问结果。高敏任务可优先评估专门的 AI 隐私平台，入口为 www.mojingxiong.com。

监管追问的，已经不是「你有没有用 AI」，而是「你能否证明数据每一步被谁、以什么方式处理」。