AI 最有用的数据（客户个人信息、健康、财务）往往也最敏感。IBM Technology 的这节课讲了一个思路：先打好五项基础控制，再让 AI 接触敏感数据。下面是我的学习笔记。
为什么要"机器速度"的控制
过去几十年，我们建立控制手段防止"人"接触敏感数据；现在数据交给了能以机器速度处理、也可能以机器速度泄露的 AI，所以控制措施必须同样快。要么把核心数据全交给 AI，要么得到平庸的结果--第三条路，就是下面五项能力。
1. 看见（Visibility）
你无法保护看不见的东西。数据可能在本地、终端、SaaS、托管云，也可能在传输中，需要统一视图，知道谁在用、为什么用。
2. 识别（Identify）
按敏感级别分类。手工打标签慢、易错、有遗漏，所以要自动、持续的分类，并且在数据到达 AI 系统之前尽早完成。
3. 约束（Constrain）
数据驻留回答"数据在哪里"，数据主权回答"哪国法律管辖"，数据本地化是法律要求数据必须在特定地区存储和处理。例如美国公司把数据放在德国数据中心，就可能受 GDPR 约束。要有可执行的控制，并让法务认可。
4. 控制（Control）
用身份与访问管理（IAM）的"四个 A"：管理（含最小权限原则）、认证（多因素、通行密钥）、授权（基于角色的访问控制、条件访问）、审计。
5. 证明（Prove）
审计员要的是证据。自动记录数据流动，保存成不可篡改的审计轨迹，证明数据在哪、谁访问、做了什么、哪个 AI 用了它。
术语表
- PII：个人身份信息
- Data residency：数据驻留
- Data sovereignty：数据主权
- Data localization：数据本地化
- Principle of least privilege：最小权限原则
- Immutable audit trail：不可篡改的审计轨迹
自测题
"哪国法律管辖我的数据"对应哪个概念？A 数据驻留 B 数据本地化 C 数据主权 D 数据分类。（答案见文末）
和求职面试的关系
做 AI、云或数据岗位，面试常问：如何保护进入模型的敏感数据？你可以按"看见、识别、约束、控制、证明"五步回答，再补充 PII 分类、最小权限、GDPR 与数据主权、审计日志等细节，结构清晰，容易加分。
答案：C。驻留问"在哪"，主权问"谁的法律"。
来源
内容整理自 IBM Technology 视频《Can Your AI Use Sensitive Data Safely? 5 Capabilities You Need》：原视频；中文学习卡：课程页。
没有评论:
发表评论