2026年个人AI隐私状况

个人助理可以回答关于明天会议的问题，找到上次会议讨论的文件，并记住项目已更换负责人。每个有用的步骤也扩展了系统对一个人的了解。日历事件揭示了关系。电子邮件附件命名了客户。重复的搜索可以揭示用户从未在公共文档中表达过的担忧。

2026 年的隐私问题不仅仅是模型是否在聊天上进行训练。它是 上下文在哪里组装，谁可以查询它，副本存活多久，以及哪个其他服务接收答案。产品可以承诺不训练您的数据，但仍然在云服务中处理该数据。本地索引可以将原始记录保存在笔记本电脑上，同时将选定的摘录发送到远程模型。选择退出模型改进不一定删除第三方连接器持有的早期评论、日志或副本。

查看报告生成的封面艺术作品.

本报告比较了截至以下日期的已发布产品文档 2026 年 10 月 9 日。它涵盖了消费者助手、企业上下文服务、本地内存工具和笔记系统。它是一张定性地图，而不是安全审计或声称某个供应商拥有最大市场份额。如果政策语言保持沉默，我们记录缺失的答案，而不是推断保证。

重要的边界

考虑一个直接的请求：“我们对供应商的决定是什么？”助手可能会收到一份精心挑选的会议记录、一段完整的近期对话，或者对电子邮件和文档进行广泛搜索。它可能会将答案保存在服务内存中。如果外部模型处理该请求，至少选定的上下文会跨越边界，即使原始数据库仍然是本地的。

五个问题将这些安排区分开来。 收藏： 是明确导入、通过连接器同步或作为环境屏幕活动捕获的信息吗？ 存储： 原始数据、嵌入和持久内存是保存在本地、提供商系统上还是两者兼有？ 推论： 哪个处理器实际读取检索到的上下文？ 重用： 聊天、评分或摘录是否能促进未来的模型改进？ 退出： 用户能否撤销未来的访问并删除现有副本，包括备份？

每个问题都需要自己的答案。“私人 AI”一词没有描述单一的架构或合同保护。

图：跨设备和云边界的个人上下文的三个概念路径。 — 从源到响应的三种常见路径，并标记了设备外披露点。

此政策比较是如何汇编的

我们阅读了供应商拥有的隐私中心、服务文档、帮助中心和公共政策，以及下面链接的官方法律来源。所选产品代表了不同的架构选择，而不是供应商的完整集合。地图中的一行描述了特定的产品或计划，而不是共享品牌的每个服务。例如，Microsoft 365 Copilot 的企业承诺不描述每个消费者 Copilot 体验，而 Recall 是一个本地 Windows 功能，而不是托管助手。

该比较阅读公共政策和产品文档。培训限制归因于发布它们的供应商。仪器化网络检查、账户删除试验和部署模型审计是独立的证据形式。Zortex既是发布者，也是本次审查涵盖的公司。

一些供应商在 2026 年期间更改了其设置和名称。本报告引用了实际检查的条款，并避免将 2024 年的发布声明视为当前的生产合同。管辖权、订阅、组织设置、反馈提交和连接的集成可能会改变结果。进行采购或法律决策的读者应索取适用的协议、子处理器列表、数据流图和保留计划。

市场地图：谁拥有个人上下文？

最有用的第一部分是控制 持久上下文存储，而不是界面是否恰好是聊天窗口。第二个区分是用户故意提供的信息与旨在跨多个应用程序或随时间收集信息的系统。

图：2026 年定性市场地图，按主要存储边界和捕获广度分组，而非市场份额。 — 指示性位置；混合产品可以跨越多个单元格。

图：仅显示选定配置的数量，而非市场或采用估算。 — 在这 12 个特意选择的产品中，六个主要将上下文保存在提供商或租户云中，五个保存在设备或用户操作的存储中，一个使用明确的混合安排。这些是我们的示例计数，而不是市场份额或采用率的估计。

这是 不是数字排名。本地产品如果捕获屏幕上的所有内容，可能会暴露大量信息；托管产品可以施加严格的企业保留和访问控制。该图表说明了供应商所说的上下文存储位置以及其设计旨在收集多少信息。它不衡量在每种威胁模型下哪种产品最安全。

托管助手：训练开关是一个控制

ChatGPT。 OpenAI将消费者模型改进设置与服务对对话的常规处理区分开来。符合条件的消费者用户可以关闭“为所有人改进模型”；OpenAI表示，新的聊天记录不会用于训练其模型。 临时聊天 有单独的保留和训练处理。记忆、对话历史、连接的应用程序以及发送给第三方操作的信息需要单独审查。商业、企业、教育和 API 服务的默认训练承诺与消费者账户不同。为某个层级做出的政策决定不应在未经检查的情况下应用于另一个层级。

Claude。 Anthropic 的 2026 年 3 月 消费者政策解释 表示，在指定安全审查条件下，或通过其他明确选择加入的方式，当用户选择允许时，消费者聊天和编码会话可用于模型改进。它区分了原始连接器内容和复制到对话中的材料。隐身聊天不用于 Claude 改进。反馈是另一个渠道：Anthropic 表示，与反馈相关的对话可能会保留长达五年。教训不是所有连接器记录都是训练数据；而是普通对话、复制片段、安全处理和直接反馈有不同的规则。

Gemini 应用。 Google 当前的 Gemini 应用隐私中心 比二进制训练开关更复杂。启用“保留活动”后，聊天和共享材料可以促进服务改进，包括模型训练，并进行一些人工审查。用户可以关闭“保留活动”或使用临时聊天，但响应生成和安全处理会继续。Google还解释说，某些经过审查的材料可以在用户可见活动中删除后仍然存在。另一个Google服务中的单独设置不会自动由Gemini开关控制。任何连接Google相册、云端硬盘、电子邮件或其他应用的人都需要检查源数据如何进入最终提示。

困惑度。 当搜索查询被收集数月时，它们可能成为个人历史。Perplexity 描述了消费者搜索、使用和反馈收集，并提供了 AI 数据使用控制；企业和 API 产品的安排有所不同。符合条件的内存功能，包括为 最大困惑度，以及 Meta 的

Microsoft 365 Copilot。 工作租户创造了不同的交易。微软的 企业数据保护描述 表示提示、响应和 Microsoft Graph 数据不用于训练基础模型。然而，处理仍在 Microsoft 的企业服务中进行，使用组织访问控制、保留和合规性功能。员工通过 Microsoft 365 查找文档的权限很重要，因为基础可以使该文档在答案中可用。企业应该审查源租户中的过度共享，而不是假设助手本身会创建底层授权问题。

NotebookLM / Gemini Notebook。 研究笔记本是有意限定的集合，而不是终生记忆。谷歌的 笔记本专用术语 区分源文件与反馈和某些其他交互。一般原则很有用：更窄的摄取减少了可用于提示的材料，但笔记本仍可能由服务托管并受账户和反馈策略的约束。一个有意的笔记本可以是一个研究项目的适当选择，而不会成为研究人员无限增长的个人资料。

设备优先和自主管理系统：本地是边界，而非解决方案

Apple Intelligence 是一种集成的混合架构。Apple描述了可在本地运行的任务的设备上处理，以及需要额外计算的请求的私有云计算，并声明其设计不会存储这些请求或使其可供Apple访问。这比保护用户数据的普遍承诺更具体的架构声明。可选的外部模型或扩展是单独的接收方。当有人说所有Apple Intelligence处理都在设备上进行时，这种区别尤为重要；Apple本身并未做出这种笼统的声明。请参阅 Apple 的隐私文档.

Windows Recall 为“本地捕获总是狭窄的”这一假设提供了一个有用的反例。Microsoft表示，支持的Recall快照在本地保存和分析，经过加密，需要选择加入，并进行身份验证才能访问。在受管设备上，Recall默认禁用和删除，除非根据组织策略提供。然而，保留的材料可以描述屏幕上出现的大部分内容。用户仍然需要过滤器、存储边界以及对排除内容的理解。阅读 Microsoft 的 Recall 管理文档.

PiecesOS 描述了一个用于开发者活动和长期记忆的设备上上下文引擎，并可选择涉及远程模型。它的 架构文档 有助于区分本地捕获和索引与后来传递给推理提供商的上下文。相关的验证是所有选定的模型路由、分析和更新服务是否在特定配置中按预期运行。供应商的本地优先声明是意图和已发布设计的证据，不能替代数据传输检查。

AnythingLLM 可以部署在用户操作的硬件上，离线本地模型可以将提示和文档保留在该环境中。自托管的 项目条款 将此设置与第三方集成区分开来。如果用户添加了商业推理 API，则根据不同提供商的策略将选定的上下文发送到该 API。这是自托管的一个反复出现的原则：存储盒的控制和推理端点的控制是不同的决策。

Obsidian 将普通保险库作为用户持有的文件；可选的Obsidian Sync和插件可以更改处理和复制。它主要是一个知识应用程序，而不是一个即用型个人AI代理，并作为用户控制笔记的基线包含在地图中。其 数据存储说明 为用户提供了关于导出问题异常具体的答案：原始文件并非完全依赖于一个助手界面。当插件将笔记索引到云向量存储或将其发送到托管模型时，隐私边界变得不那么清晰。

Zortex，本报告的发布者，正在构建一个连接应用程序到本地世界模型的Windows/macOS桌面上下文引擎。其 申请政策 表示同步的 Google 信息、索引和凭据保存在设备上，但确实 不 声称通用全库加密。它描述了用于OAuth秘密单元的AES-256-GCM和一个处理授权凭据的Cloudflare托管令牌代理。当用户通过MCP向连接的助手发送允许的上下文时，该助手会收到结果；然后云提供商可以根据自己的规则处理它。Zortex声明它不使用Google用户数据进行通用模型训练。断开连接器会停止授权访问，但不会擦除之前的本地副本。Zortex的包含是报告发布者的包含，引用的应用程序策略为其产品声明提供了基础。

图表1：控制方式有何不同

图：按阶段公开记录的隐私控制，而非产品安全评分。.

图表组织了 记录的控制类型，而不是虚构的隐私等级。它的列询问用户可以在哪里进行干预：捕获时、持久存储时、训练重用时以及向另一个模型披露时。一个标记表示引用的文档描述了该类别中有意义的控制；它不是通过/失败的判断，也不表示该控制默认启用。

该表揭示了为什么一个通用的隐私评分会产生误导。选择本地工作流程的临床医生可能会优先考虑不进行设备外数据传输。受监管的雇主可能会优先考虑可审计的租用、保留控制和法律审查。学生可能只是需要一个不会在私人草稿上进行训练的笔记本。同一个产品不会对所有三者都最佳。

实践中立法有何变化

隐私政策并非全部法律故事。提供商可以发布准确的数据流语言，但仍为既定目的收集过多信息。反之，合法处理者可以在用户删除帐户后保留有限的安全记录。法律分析取决于角色、地理位置、源数据、用户期望和实际处理。以下是产品设计指南，而非法律建议。

欧盟：GDPR 触及上下文存储

这 欧盟委员会发布的 GDPR 原则 在法规适用时，要求有适当的合法依据、明确的目的、数据最小化、准确性、有限的保留、安全性和问责制。个人 AI 使这些熟悉的要求复杂化，因为信息是为一项明显的任务收集的，然后又被重新用于回答意想不到的问题。

同步引擎不能假设因为用户可以阅读电子邮件，所以关于发件人的每一个个人详细信息都可以无限期地保留用于不相关的分析。供应商必须确定其自身的法律角色和依据，尤其是在记录涉及从未直接注册助手的同事或客户时。从普通文本推断出的敏感信息可能会引起额外的担忧。查询结果、嵌入和长期记忆本身可能是个人数据；更改存储格式并不能自动使其脱离法律范围。

访问或删除数据的权利需要一份清单。该清单可能包括原始内容、提取的文本、搜索索引、嵌入、摘要记录、偏好记忆、提供商日志和备份，但受适用例外情况的约束。删除请求应指明可以删除的内容以及不能删除内容的单独保留期限。 欧盟关于个人权利的指导 与任何可以检索有关可识别人员的私密上下文的服务相关。

这 欧洲数据保护委员会第 28/2024 号意见 还警告不要假设仅仅因为原始数据库已被删除，AI 模型就自动匿名。匿名性和合法利益推理需要具体案例的审查。对于产品团队来说，最安全的工程习惯是在将数据复制到训练或持久派生存储之前，尽量减少复制的内容，因为这些存储一旦形成就难以检查。

欧盟：《人工智能法案》并非通用聊天机器人许可证

这 AI 法案实施时间表 现在包括了AI综合法案的修改，该法案 于 2026 年 7 月 27 日生效。通用模型条款于2025年8月开始适用；许多规则，包括第50条透明度义务，于2026年8月开始。2026年12月对某些AI生成内容系统有过渡性条款。针对高风险附件III系统和嵌入受监管附件I产品中的高风险AI的修订日期是 2027年12月2日 和 2028年8月2日 分别。

这些日期不应被解读为所有个人助理都是高风险系统。分类取决于预期用途。帮助某人总结自己的研究与决定就业、信贷、教育或基本服务的资格不同。后来为此类决策提供支持的上下文产品通过其集成的应用程序继承了不同的责任。模型提供商、部署者和下游开发人员可能具有不同的职责。

实际的设计响应是可追溯的目的和角色分离。记录系统是检索信息、推荐行动，还是实质性地影响重大决策。在需要时保留人工审查；在有义务时披露相关的 AI 参与和 AI 生成的内容。《AI 法案》并未取代 GDPR 关于个人数据的规定。

美国：州隐私职责和生效日期

没有与GDPR相当的单一全面的联邦消费者隐私法。州法律和特定行业规则需要更狭窄的管辖权分析。 加州隐私保护局通过的规则制定 生效日期 2026 年 1 月 1 日 并解决了更新的 CCPA 要求、风险评估、网络安全审计和自动化决策技术，其中一些义务将分阶段实施。加州消费者的权利和企业的义务不能简化为单一的训练选择退出。

科罗拉多州说明了依赖旧监管日历的代价。该州颁布了 SB26-189 于 2026 年 5 月，废除并重新颁布了早期的 2024 年 AI 特定条款。其对实质性影响重要决策的受涵盖自动化决策技术的要求开始于 2027 年 1 月 1 日。颁布的摘要描述了技术文档、通知、纠正事实不正确数据的权利以及在发生特定不利结果后进行人工审查。这不是一项适用于所有 AI 写作助手的全面规则。

独立的州隐私法规，包括 科罗拉多州隐私法案，增加了另一个推断兴趣和以前有用事实的存储。关闭模型训练使用本身并不能回答何时删除查询历史记录或记住的事实。买家的问题是创建了什么记忆，哪些来源为其提供信息，以及哪些控制措施涵盖现有材料而不仅仅是未来的收集。

中国：PIPL控制目的和出口

中国的 个人信息保护法 适用于中国境内个人信息的特定处理，也适用于涉及中国境内人员的某些境外处理。它包含同意和其他合法处理要求、对敏感个人信息的特殊保护、个人权利、委托处理的职责以及跨境传输的条件。导入中国用户工作场所信息的 AI 工具不能将传输视为单纯的工程选择。

个人信息境外提供管理办法和 相关程序 可能需要特定的传输机制和通知。 国家互联网信息办公室2024年3月规定 调整一些跨境数据传输要求和例外。说所有个人数据必须物理保留在中国过于宽泛；说任何人点击后都可以将其发送到国外也不准确。

这对于将本地文件与托管嵌入、监控和外部推理混合的上下文引擎尤为重要。包含几个检索到的电子邮件段落的云推理请求本身就是一次海外传输。仅凭存储位置并不能回答处理或授权后续使用发生在哪里。

图：与个人人工智能相关的选定监管里程碑和实施日期。 — 与本报告相关的生效日期，并非完整的合规日历。

2026年可见的四项变化

内存正在变成一个独立的数据产品。 过去的对话是历史；关于重复偏好、关系和未完成工作的模型是派生记录。用户需要查看系统相信哪些主张、其来源、其时间以及如何纠正它们。否则，错误的推断可以比错误的聊天消息更有效地传播到后续工具。记忆开关很有价值，但清晰的来源和选择性删除是更强的测试。

连接器可能拥有比功能使用的更广泛的权限。 OAuth 授权、企业图权限和基于浏览器的访问与产品对任务的描述不同。提供商同意屏幕上请求的权限可能很广泛，即使当前功能只执行搜索。团队应区分技术授权访问和实际进行的查询，并记录下游强制执行的最小权限控制。例如，在 Zortex 应用程序策略中，一些声明的 Google 范围比文档化的产品操作更广泛；这是一个严肃评估必须保留的事实。

设备端推理正在增长，而混合执行仍然普遍。 本地操作系统功能和自托管检索改变了与常规访问和集中式泄露相关的风险。它们还将责任转移到设备安全、备份、恶意软件抵抗和捕获设置。远程回退对于质量或速度可能仍然有价值。其激活应在相关个人内容离开设备时可见，而不是隐藏在不区分的“私人”标签后面。

退出正在成为一项产品功能。 用户可以在不切换存档的情况下切换模型，但前提是上下文层是可移植且已获得权限的。导出原始笔记很有用。导出没有引用、源权限或时间戳的专有嵌入文件可能没有用。切换助手还会引发前一个提供商保留什么的问题。我们期望买家要求删除验证和可理解的导出格式，而不仅仅是一个名为“删除账户”的复选框。

这些是 定性观察 源自此处审查的产品和文档。我们不提供关于采用率、违规事件或市场规模的无根据百分比。公共政策无法确定某个功能的使用频率或其技术隔离在攻击下是否成功。

2027年值得关注的事件

有意义的信号将是具体的。记忆产品是否显示用于构建偏好的记录和引用？用户是否可以删除一个来源，并使其派生记忆、搜索表示和允许的副本按文档化计划过期？在发送上下文负载之前是否显示跨模型传输？企业能否区分安全所需的日志和为模型改进而保留的副本？AI的权限是否仅限于项目、时间窗口或来源，而不是整个账户？

法规提供了额外的监控日期：加利福尼亚州2026年规则的实施；科罗拉多州关于后果性决策的要求 2027 年 1 月 1 日；以及欧盟修订的 2027年12月 附件 III 的高风险日期。这些是根据现行法律测试实际用例的原因，而不是给每个消费者助手盖上“合规”或“不合规”印章的原因。

对于采购，请要求供应商在一次性账户上演示六件事：连接数据源；检查授予的范围；显示原始记录及其派生内存；发送提示并识别每个离线接收者；撤销访问权限；然后记录哪些内容被删除、延迟或保留。使用不同的模型重复此操作。无法叙述此路径的公司无法向买方提供其处理的信息的可靠地图。

对于个人使用，决策可以更简单：缩小敏感源集合的范围，在提供时禁用训练使用，检查连接应用程序的权限，并将云模型移交视为披露。本地存储和企业合同可以改善边界，但两者都不能消除检查检索后发生情况的需要。

来源和范围

该地图涵盖了2026年10月9日审查的十二种已识别配置以及法律和政策，而不是所有产品或部署。位置描述了已发布的設計和控制；它们不是对违规、安全态势、隐私合规性或市场份额的衡量。三张图表和市场图是 为本报告编制的分类图表，与独立报告的统计数据和排名不同。它们的来源可以从 图表生成脚本。该站点的文章渲染器支持来自嵌套本地资产文件夹的内联图表。

主要产品政策来源出现在每个市场表行和产品段落中。监管主要来源出现在其支持的日期和职责旁边。Zortex 产品声明归因于其 应用程序隐私政策，而不是独立审计。当服务更新其隐私条款或特定部署与公开文档不同时，结果仍可能发生变化。

2027 年的核心问题是可测试的：当一个人为了一个目的与一个助手分享一个事实时，他们是否仍然能够识别并终止该事实在系统复制或推断它的所有地方的生命？