蚂蚁集团首席隐私官聂正军：正建立AI隐私合规评测体系 原创

产联社编辑｜凌乐仪

【产联社】AI能够从用户的日常对话中发现多少个人信息？即使用户没有直接透露健康状况、经济状况等敏感信息，AI也可能通过分析碎片化数据作出推断。

11月4日，蚂蚁集团首席隐私官聂正军在2026年世界互联网大会乌镇峰会“数据治理”分论坛上表示，随着人工智能越来越深入地参与个人生活，传统的数据治理方式正面临新的挑战。蚂蚁集团正在探索利用AI分析代码、识别隐私风险，并建立面向大模型的隐私合规评测体系。

AI越了解用户，隐私保护越复杂

过去，企业内部的数据主要通过API、数据库接口传输，数据流向相对固定，可以提前定义和控制。

但AI改变了这一过程。

聂正军介绍，如今大模型可以通过MCP等方式，动态连接外部工具和数据源。数据流动开始由运行时决定，企业难以事先完整掌握数据流向，传统的事前管理方式面临挑战。

变化的不只是数据流向，还有数据本身。

过去，企业主要处理以固定字段存储的结构化数据。如今，数据类型从结构化字段扩展至多模态数据，用户与AI的对话上下文、图片、语音、视频等非结构化信息大量增加，需要建立新的数据分类分级标准和保护方案。

更值得关注的是AI的记忆和推断能力。

聂正军指出，单独看一条数据，可能并不涉及敏感隐私。但AI能够把碎片化信息联系起来，推断出用户的健康状况、性取向、经济状况等敏感属性，形成“推断性隐私”。

随着长期记忆不断积累，AI还可能逐渐形成完整的用户画像，相当于建立起一份持续更新的“数字人格档案”。

与此同时，AI智能体（Agent）开始替用户完成越来越多的任务，新的授权问题也随之出现。

例如，当Agent替用户打车、预订机票时，它如何证明自己的身份？如何证明自己代表的是哪位用户？又如何证明自己获得了相应授权？哪些事情可以代办，哪些事情超出了授权范围？

聂正军认为，Agent身份管理、授权范围和责任边界，都是AI时代数据治理需要解决的新问题。

此外，随着可穿戴设备逐步AI化，用户不再只是通过手机屏幕与应用交互。过去通过点击、勾选完成授权的方式，也需要适应新的交互场景，探索对话式同意等新的授权方式。

蚂蚁尝试让AI检查隐私风险

面对这些问题，蚂蚁集团正在探索用AI提升个人信息保护效率。

聂正军介绍，过去企业的合规审核人员主要通过阅读产品需求文档（PRD），判断产品设计是否存在隐私合规问题。现在，AI可以进一步分析底层代码，帮助发现潜在风险。

在风险巡检方面，蚂蚁集团探索将动态GUI巡检与静态代码扫描结合起来，提高潜在违规风险的发现深度。

AI也被用于改进企业内部的合规工作流程。

例如，企业可以利用AI智能分析监管机构官网等信息，结合最新监管要求，判断是否需要调整隐私合规标准。

过去，一项产品整改可能需要经历需求说明、技术排期等多个环节，周期较长。聂正军表示，借助AI调整知识库和风险运营决策，可以快速调整巡检方案，使部分整改工作不再依赖技术排期，加快迭代速度。

除了内部审核，蚂蚁集团还在探索如何评估大模型本身的隐私合规问题。

聂正军透露，蚂蚁正在建立面向模型的隐私合规评测方法，希望形成可复用的评测方法、可构建的评测标准和可落地的评测体系，并与行业共同建设AI时代的隐私评测集。

在面向用户的产品中，蚂蚁也尝试改善个人信息管理体验。

以AI健康管家“蚂蚁阿福”为例，蚂蚁集团正在围绕信息授权、展示和控制等环节优化隐私交互，希望增强用户对产品的信心，以及对自身数据的掌控感。

AI替人办事，授权方式也要改变

聂正军认为，AI时代个人信息保护的核心价值理念不会改变，但实现方式必须跟上技术发展。

未来，企业不仅需要建立多模态数据分类分级和保护方案，还需要开发对话式授权、代理式授权记录与核验能力，完善Agent身份识别和归属管理体系。

这些变化最终指向同一个问题：当AI能够记住更多信息、调用更多工具，甚至替用户完成任务时，如何确保用户仍然能够掌握自己的数据？

聂正军强调，用户信任是AI创造价值的基础。企业需要提高数据使用的透明度，让用户对自己的个人信息拥有更强的掌控感，同时利用AI重构风险监测工作流程，降低技术门槛，提高风险发现和合规审核效率。

（扫码加入AI 产业群）

商务合作，请联系侯经理 18801065284（微信同号）

报料及内容合作，请联系chanlianshe2026（微信号）