让AI删掉我的信息，为什么这么难——模型记忆、训练语料与第三方接口的三个删除判断

　　先看一个正在发生的场景。一家做企业协作软件的公司，去年给产品加了"长期记忆"功能：AI助手会记住每位使用者的称呼、常用项目、汇报口径，甚至记住某位客户"不接受周末开会"。功能上线后口碑不错，直到一位法务总监用户提出删除请求——他要离职了，要求公司把他所有的个人信息删干净。

　　公司的技术团队动作很快：注销账号、清空会话、删掉数据库里带他ID的记录，一份操作回执发过去，本以为事情结束。两周后，这位用户用新账号登录试用，随口问了一句"上次那个项目的排期"，AI答得八九不离十。他随即发来第二封邮件，措辞已经不客气了：你们说删了，为什么它还认识我？

　　这个追问戳中的，正是AI产品在个人信息保护上最容易被低估的一段。传统系统的删除是"把那一行数据去掉"，而AI系统里的"记得"，可能分布在三个完全不同的位置：对话与记忆库、训练语料与模型参数、以及第三方模型服务商的服务器。三者对应三套义务、三种技术手段和三种举证难度。下面三个判断，建议在接到第一封删除邮件之前就想清楚。

#一、删了会话记录，为什么AI还记得——"记忆"到底存在哪

　　很多团队对"删除"的理解，还停留在后台列表里那一行用户数据。但带记忆能力的AI助手，通常会把用户信息拆成几份分别存放：原始对话日志、结构化提取出的"用户画像"或"记忆条目"、用于检索增强的向量库，以及缓存和备份。只删掉最显眼的那一份，剩下的几份照样能让模型在下一次对话里叫出你的名字。

　　规则这一侧其实并不含糊。《中华人民共和国个人信息保护法》第十七条要求，处理个人信息前应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、处理方式、处理的个人信息种类和保存期限；《网络数据安全管理条例》第二十一条进一步要求，个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，其中必须写明"个人信息保存期限和到期后的处理方式，保存期限难以确定的，应当明确保存期限的确定方法"，以及个人查阅、复制、转移、更正、补充、删除、限制处理个人信息和注销账号、撤回同意的方法和途径。该条例自2025年1月1日起施行，这些不再是倡导性表述。

　　删除请求的受理义务也同样明确。上述条例第二十三条规定，个人请求查阅、复制、更正、补充、删除、限制处理其个人信息，或者注销账号、撤回同意的，网络数据处理者应当及时受理，并提供便捷的支持个人行使权利的方法和途径。《个人信息保护法》第四十七条则把应当主动删除的情形列了出来：处理目的已实现、无法实现或者为实现处理目的不再必要；停止提供产品或服务、保存期限届满；个人撤回同意；处理者违反法律、行政法规或约定处理个人信息等。个人在这些情形下也有权请求删除。

　　专门针对生成式AI还有一层。《生成式人工智能服务管理暂行办法》第十一条规定，提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得收集非必要个人信息，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供。这句话常被读成"一律不许留存"，其实"非法"二字才是重点：为提供服务所必需、或者有法定保存义务的留存，并不当然违法；真正危险的是没有目的、没有期限、没有告知的长期堆积。

　　实务里最常见的三个坑，几乎都出在"目的"和"期限"上。第一个坑是把排障、风控、模型优化当成一个筐，用户问"你们为什么留着我三年前的对话"，答"为了改善服务"。目的越笼统，越难证明必要性。第二个坑是记忆功能默认开启，用户根本不知道自己被"记住"了，也找不到关闭和查看入口，这直接冲击知情与决定的基础。第三个坑是删除动作只做了一半——主库删了，向量库、备份、日志平台没动，等于没删。

　　三种处理路径的代价差别很明显。全量不留、对话即焚，合规上最干净，但排障、纠纷举证和产品迭代都会受影响，客服类产品尤其难受。默认长期留存、接到请求再删，看起来省事，实际上把风险集中在"删除是否彻底"这一个动作上，一旦漏了某个副本，前面所有告知都白做。相对稳妥的是分层留存：会话原文短周期保存并明示期限，排障日志去标识化后单独存放，记忆条目由用户显式开启、可查看、可单条删除，向量索引与原文建立联动删除机制，备份设定固定滚动周期并在对外说明中讲清楚"备份中的副本将在多久内随周期清除"。

　　这一层的律师工作，不是替技术团队写删除脚本，而是把"哪些数据、为什么留、留多久、怎么删、删完怎么证明"变成一份能对外说明、对内执行的文本，并让产品界面上的开关、入口和提示与这份文本对得上。对不上，就是最典型的"说一套做一套"，在投诉和检查中几乎没有解释空间。

#二、语料删了，模型还算不算"记得"——训练数据与机器遗忘的边界

　　第二个问题更难，也是很多企业真正睡不着的地方：模型训练时用过的那批数据里，含有某个自然人的信息。现在他要求删除。把原始语料从对象存储里删掉，事情算完了吗？

　　从技术上讲，答案是否定的。大模型的参数是训练过程中对海量样本的统计压缩，单个样本的信息并非以"一条记录"的形式存放，删掉源文件不会让参数自动回退。这就是业界所说的"机器遗忘"问题。但技术上的困难，不等于法律上的免责。

　　《个人信息保护法》第四十七条第二款给了一条很关键的退路：法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。这句话有两层意思。第一层是承认现实——确实存在删不掉的情形；第二层是划出边界——删不掉可以，但此后只能"存着并保护着"，不能再拿它去做推荐、生成、分析、画像，也不能再拿去训练下一个版本。换句话说，法律给的是一条"停止处理"的通道，不是一张"什么都不用做"的免票。

　　与之配套的是《个人信息保护法》第七十三条对"匿名化"的定义：个人信息经过处理无法识别特定自然人且不能复原。注意"不能复原"这四个字。实务中大量所谓的"脱敏语料"，只是把姓名替换成"A先生"、把手机号中间四位打码，结合上下文仍能锁定具体个人，这种处理达不到匿名化的门槛，处理者也就不能主张"已经不是个人信息了"。第七十三条同时定义了"去标识化"——不借助额外信息无法识别特定自然人——去标识化数据仍然属于个人信息，只是风险等级下降，义务并未消失。

　　于是就有了路径选择。彻底重训，把相关样本从语料集中剔除后重新训练，效果最干净，但成本高、周期长，对已经上线的产品往往不现实，而且需要证明"剔除确实生效"。机器遗忘，通过定向微调或参数干预削弱特定样本的影响，成本居中，但目前没有统一的技术标准和验收方法，企业很难向监管或用户证明"已经忘干净"。停止使用加输出侧管控，把该样本从后续训练集中排除、在检索环节屏蔽、在生成环节加过滤，同时书面告知用户处置结果和剩余风险，这是现行法下最稳的底线方案，代价是模型可能仍然"隐约知道"，需要靠工程手段兜住。

　　这里最容易出现的两种误判，方向正好相反。一种是把"删了源文件"当成"已经删除"，对模型侧不闻不问；另一种是认定"模型训练完就删不了"，于是连第四十七条第二款的停止处理义务也不履行，继续把含有个信息的语料用于新版本训练。前一种在举证时拿不出任何模型侧处置记录，后一种则是明知而继续处理，性质更重。正确的做法是把删除请求当成一个流程来跑：先定位该自然人的信息出现在哪些语料、哪些版本、哪些下游索引；再做影响评估，判断能否剔除、剔除的成本与残余风险；然后按分级方案处置；最后留存处置记录，并把"哪些处理已停止、哪些仍以存储和安全保护为限"写进对用户的回复。

　　需要提醒的是，这一层目前没有专门的"机器遗忘"监管细则，任何声称某家企业已经"通过遗忘合规验收"的说法都要打问号。写方案时把话说准：法律要求的是删除，技术上难以删除时停止除存储和必要安全保护外的处理；至于用重训还是遗忘算法去实现，属于手段选择，手段可以讨论，义务不能打折。

#三、模型是别人家的，删除义务落在谁头上——委托处理与责任传导

　　第三个问题在中小企业里最普遍：公司自己没有模型，调用的是第三方API，或者采购了私有化部署的整套服务。用户来提删除，公司该做什么，供应商又该做什么？

　　先看定性。《个人信息保护法》第二十一条规定，个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督；受托人应当按照约定处理，不得超出约定的目的、方式处理；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还或者删除，不得保留；未经处理者同意，受托人不得转委托。这一条把"谁能决定处理目的"作为分水岭：决定目的的是处理者，按指示办事的是受托人。用户向A公司的产品提问，A决定收集什么、用来做什么，A是处理者；B只提供模型推理能力、不决定用途，B是受托人。

　　但现实中的合同经常把这个结构搞乱。最典型的一种，是供应商在服务条款里保留"为改进模型可使用客户输入数据"的权利。一旦B把A传过去的对话用于训练自己的通用模型，B就超出了受托范围，实际上是在为自己的目的处理个人信息，身份从受托人变成了独立的处理者，需要有相应的合法性基础，而不是靠一纸"技术服务协议"带过。A公司如果没在合同里堵住这个口子，用户追责时首当其冲的还是A。

　　义务的传导也有明文支撑。同法第五十五条要求，委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录；第五十六条要求评估报告和处理情况记录至少保存三年。这意味着采购一个AI服务，不是签完合同、做个安全测评就完事，影响评估必须落到"这批数据出境没有、供应商拿不拿去训练、子处理者有哪些、删除请求怎么传导"这些具体问题上。

　　责任分配上还有一层压力来自举证。《个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这类纠纷里，企业往往不是输在"有没有错"，而是输在"拿不出证据证明自己没错"。删除请求的受理时间、处置范围、供应商回执、复测结果，任何一环缺失，都会让抗辩变得苍白。

　　三条路径的利弊也很清楚。完全自建或私有化部署，数据不出企业边界，删除动作自己说了算，控制力最强，代价是算力和运维投入，以及模型能力可能落后于头部产品。使用境内公有API，接入快、成本低，但删除必须依赖供应商配合，责任切割靠合同和审计权，实际控制力最弱。介于两者之间的混合方案——敏感场景私有化、非敏感场景用API——是很多企业的现实选择，但它要求先把数据分类做扎实，否则"哪条数据走了哪条路"自己都说不清，出了事无法自证。

　　落到合同上，至少要写进五件事：一是禁止供应商将客户输入用于模型训练，确需使用的须另行取得书面同意并说明范围；二是子处理者名单及变更通知，未经同意不得转委托；三是删除传导机制，明确接到处理者指令后多少个工作日内完成删除并出具可核验的回执；四是审计与配合义务，包括监管问询、用户权利请求时的协助；五是合同终止时的数据返还与删除，以及残留备份的处理周期。这些条款不新鲜，但在AI采购里经常被"服务可用性"和"价格"挤到附件最后，等到出事才翻出来。

#律师实务建议：把删除做成一条能自证的链路

　　把上面三层合起来，其实就是一件事：让"删除"从一个技术动作，变成一条有入口、有分级、有记录、有出口的链路。

　　第一步是画清数据地图。不用一上来就做全量盘点，先把AI相关的那几条链路单独拎出来：用户输入去了哪里、记忆条目存在哪、向量库怎么建、训练语料从哪来、调用了哪些外部接口、备份保留多久。这张图不必漂亮，但必须能让工程师指着说"这条删了，那条还没"。

　　第二步是改对外文本。隐私政策里关于AI的部分，通常写得太概括。保存期限、记忆功能的开关位置、训练数据来源、第三方服务商类型、删除请求的受理渠道和反馈时限，这些都要具体到可执行。用户看不懂的告知，等于没有告知。

　　第三步是把删除请求分级处置。能删的直接删并出回执；涉及模型参数的，评估能否剔除、是否停止用于后续训练、是否需要在检索和生成侧屏蔽；涉及供应商的，按合同发起传导并在时限内要回执。每一级都留痕，留痕不是为了应付检查，而是纠纷发生时唯一能拿出来的东西。

　　第四步是定期复盘。删除请求的数量、类型、卡在哪一环、平均处理时长，这些数据比任何一次合规宣讲都更能说明问题。如果某类请求反复卡在"供应商不配合"，那要改的不是流程，是合同。

　　回到开头那家公司。它真正的失误不是技术不行，而是把"删除"理解成了"清空列表"。用户问的那句"为什么它还认识我"，问的其实是一个更基本的问题：你们说删了，凭什么让我相信。这个问题，靠一句"系统已删除"回答不了，只能靠一条从界面到参数、从自己机房到供应商机房都能追溯的链路来回答。

---

需要专业帮助？预约测绘，帮你梳理AI产品的个人信息删除流程、训练数据处置方案与第三方服务合同条款。