AI厂商隐私政策对比：企业数据会被训练吗？

企业把数据交给ChatGPT、Claude或Gemini，到底会发生什么？答案藏在各家自己写的政策页里。一位家族办公室技术负责人在2026年10月16日逐一核对了OpenAI、Anthropic、Google和Microsoft的官方文档，结论不是"安全"或"不安全"，而是一张条件矩阵——取决于你用的是哪个套餐、训练开关是否关闭、保留时钟走了多久、子处理商名单有多长，以及谁打开了哪个连接器。

训练与保留：按套餐分化

先看最常被问的问题：厂商会不会拿你的对话去训练模型？

据各家自己的政策页，OpenAI、Anthropic、Google和Microsoft的企业版套餐默认都不训练客户内容。风险集中在另一处：员工用个人账号处理工作事务、删除后的保留期、外部处理商，以及陈旧的共享设置被AI读取。

具体到套餐层面：

• ChatGPT免费版、Plus、Pro：默认训练，除非用户手动关闭。删除的对话30天内移除，但有法律和安全例外。
• ChatGPT Business、Enterprise、API：默认不训练。企业管理员可设置保留策略，删除的对话同样30天内清除。
• Claude免费版、Pro、Max：仅在用户主动允许时训练，但被安全审查标记的对话例外。删除后30天内清除；如果用户允许训练，保留的对话去标识化后最长可存5年。
• Claude for Work和API：默认不训练，除非用户发送反馈或主动选择加入。API输入输出30天内删除。
• Gemini消费端App：Keep Activity开启时默认训练。默认保留18个月；关闭Keep Activity后72小时内处理；被人工审核的对话最长保留3年。
• Google Workspace with Gemini：未经许可不训练，保留策略由管理员控制。
• Microsoft消费端Copilot（2026年8月18日更新）：不训练。活动历史保留至用户主动删除。
• Microsoft 365 Copilot：不训练。活动历史按Microsoft 365条款管理。

三个容易漏掉的边缘情况值得写进企业政策：

反馈是一扇侧门。 OpenAI个人套餐中，用户点击赞或踩，"与该反馈关联的整个对话"都可能进入训练池——即使之前已经关闭了训练开关。

人工审核的生命周期长于删除。 Google Gemini页面明确写道，被审核的对话"在你删除活动记录时不会被删除"，最长保留三年。

诉讼可以覆盖保留策略。 《纽约时报》诉OpenAI案中，法院曾要求OpenAI保留消费端ChatGPT和API内容。该命令已于2025年9月26日结束，但OpenAI表示仍存储2025年4月至9月的有限历史数据。企业和教育版被排除在外。

子处理商（Sub-processor） 是数据合规领域的核心概念：指主服务商为完成数据处理任务而引入的第三方企业。例如，OpenAI 把云托管交给 Microsoft、CoreWeave、Oracle 和 AWS，把内容审核外包给菲律宾的 TaskUs，这些公司都是 OpenAI 的子处理商。根据 GDPR 等法规，数据控制者必须被告知子处理商的完整名单，并有权反对新增子处理商。风险在于责任链条被拉长：一旦某家子处理商发生泄露或遭到执法调取，企业客户的合同保护可能无法直接覆盖。因此审查 AI 厂商时，子处理商列表的更新频率和名单长度本身就是风险指标，需要写进供应商准入清单。

一个prompt背后的依赖图谱

一次对话不会止步于AI厂商。OpenAI的子处理商名单（2026年10月14日更新）显示，ChatGPT Business和Enterprise的云托管方包括Microsoft、CoreWeave、Oracle和AWS，客户支持和API内容审核由菲律宾的TaskUs承担。

Microsoft 365 Copilot现在将Anthropic列为子处理商。Microsoft表示"在商业云中为大多数客户默认启用Anthropic模型"——欧洲和英国除外。如果你管理的是美国租户且从未检查过这个管理员设置，你的Copilot流量可能已经在流向第二家模型提供商。

对家族办公室、RIA或风投机构来说，这意味着合规审查不能只看主合同，还要追踪整条数据链路：员工、AI厂商、云托管方、支持和审核外包商、以及平台路由到的任何模型合作方。

连接器继承你的权限债

Microsoft 365 Copilot"仅展示单个用户至少有查看权限的组织数据"。这是正确的访问控制设计，但也意味着2019年一个共享范围过大的SharePoint站点，现在可以用自然语言搜索到。

ChatGPT Business中，OpenAI表示"许多应用默认启用"，而新的Enterprise工作区从精选集合开始。Enterprise组织可以要求OpenAI Support阻止员工将工作账号连接到个人ChatGPT。

对于会执行动作的Agent（发邮件、归档文件），需要提前决定哪些操作必须经过人工确认。发送资金和发送邮件应当列在这份清单的最前面。

连接器（Connector） 是企业级 AI 助手接入组织数据的桥梁，典型如 Microsoft Graph 连接器、ChatGPT 的企业应用集成。它的设计原则是“权限继承”：AI 只展示当前用户原本就有权查看的内容，而不是绕过权限直接读取全部数据。这在理论上正确，但现实中会放大历史遗留问题——如果 2019 年某个 SharePoint 站点被错误地设为全员可读，当时没人注意，如今 AI 用自然语言就能把这批文件检索出来。权限债不会自动消失，只是从“没人翻得到”变成“一句话就能问出来”。所以文章强调：在连接任何数据源之前，先修复共享权限，而不是连接之后再补救。

检验"私有"的五个问题

一份"不训练"条款只回答了一个问题。在信托文件、交易室资料和委托人收件箱接近任何模型之前，需要拿到以下问题的书面答案：

1. 在哪里运行？ 谁的硬件，什么位置？
2. 谁在运营？ 日常由谁操作，对谁负责？
3. 什么会回传？ 内容、日志、使用数据，还是什么都不传？
4. 谁能看到什么？ 个人记录访问权限如何，哪些操作需要人工介入？
5. 答案从哪来？ 每个回答能否追溯到源文档？

对于任何托管服务，前两个问题的直白答案就是：厂商的数据中心和厂商的员工。托管方案在其余三项上仍可能得分很高。

共享责任模型（Shared Responsibility Model） 是云计算时代的通行框架：厂商负责“云本身的安全”，客户负责“云中的数据和配置安全”。AI 服务同样如此——“不训练你的数据”属于厂商承诺，但“谁有权访问这份数据”“连接器能读到哪些文件”“员工是否用个人账号登录”全部属于客户侧责任。把五个问题作为书面审查清单，本质上是在划定这条责任边界：前两个问题（在哪运行、谁运营）通常只能接受厂商答案，后三个问题（回传什么、谁看什么、答案来源）则必须由企业自己给出可验证的答案。任何一项答不上来，就意味着责任落空。

本季度的操作清单

1. 盘点上个月所有用于工作的AI账号，包括个人账号。
2. 关闭曾接触办公内容的个人账号的训练开关，或将该工作迁移到企业套餐。
3. 对每个厂商，阅读三个页面：训练政策、保留政策、子处理商列表。把关键数字写进你的AI政策。
4. 在连接任何东西之前，先修复共享权限。
5. 明确哪些数据永远不应离开家族控制的环境。

这套框架的价值不在于给出一个"安全"或"不安全"的结论，而在于让技术负责人能把厂商政策翻译成可执行的组织规则。真正的风险往往不在模型本身，而在个人账号与企业账号的边界模糊、连接器继承的历史权限，以及子处理商链条中未被审视的环节。