Как пользоваться ИИ и сохранить приватность

Нулевая сохранность данных

Когда вы начинаете вводить текст в ChatGPT, Claude или Gemini, безопаснее исходить из того, что настоящей конфиденциальности почти нет, если кто-то действительно хочет получить записи разговора и располагает законным способом это сделать. Речь идёт о владельце сервиса, рекламодателях и других компаниях-партнёрах, подрядчиках, которые помогают дорабатывать модели, правоохранительных органах и участниках гражданских исков, способных запросить переписку через суд.

Наиболее понятное исключение — договор между пользователем, а чаще его работодателем, и поставщиком ИИ. Такой договор может юридически запрещать хранение записей. Условие называют нулевой сохранностью данных — zero data retention, или ZDR.

OpenAI, Anthropic и Google предлагают политики ZDR для корпоративных версий своих сервисов. Если их включить, поставщик обычно должен сразу удалять записи взаимодействия пользователя с чат-ботом после обработки.

Но даже такие политики имеют существенные исключения. Они доступны только в платных корпоративных и разработческих аккаунтах, а не обычным пользователям. Например, Anthropic не предлагает ZDR для наиболее сложных моделей «класса Mythos», включая Fable 5.1. Компания объясняет это риском злоупотреблений — мошенничества, взломов и даже «автономного ненадлежащего поведения». Речь идёт о случаях, когда ИИ-агенты самостоятельно взламывают цели, выполняя запросы ничего не подозревающих пользователей. Несколько громких атак с применением ИИ уже происходили.

В прошлом месяце OpenAI также сообщила, что её реализация ZDR будет анализировать действия пользователя до удаления данных. Проверка, по словам компании, проходит в системах заказчика, а не OpenAI. Если система обнаружит злоупотребление, она передаст организации соответствующее предупреждение.

Эта система называется Private Safety Processing. В некоторых случаях она может уведомить сотрудников OpenAI о злоупотреблении, но не раскрывать им содержание разговора.

Google тоже предупреждает, что при включённом ZDR сохраняет некоторые промты Gemini для контроля злоупотреблений. При этом к ним не добавляются идентификатор Google и IP-адрес пользователя. Однако даже такие «санитизированные» данные иногда позволяют установить личность, если в самом запросе есть сведения, указывающие на конкретного человека.

Политики, обещания и прокси

Договорные гарантии ZDR корпоративного уровня недоступны большинству пользователей, которые работают с ИИ не от имени компании. Им многие потребительские сервисы предлагают гораздо более слабое обещание — не записывать разговоры.

Например, компания Proton, известная своими облачными сервисами с упором на конфиденциальность, предлагает ИИ-чат-бот Lumo. Proton описывает его как ИИ, в котором каждый разговор остаётся приватным.

Однако эта защита не основана на технических гарантиях сквозного шифрования, как в Proton Mail и Proton Drive. Сервис просто обещает не записывать разговоры пользователей, а пользователям остаётся доверять тому, что Proton будет соблюдать собственную политику конфиденциальности. В пользу компании говорит её многолетняя репутация поставщика приватных сервисов.

По словам Яна, математическая гарантия надёжнее обещания, но обещание от компании, которой можно доверять, всё равно имеет значение.

Другие сервисы с аналогичным подходом — Venice.ai и Duck.ai, ИИ-чат-бот поисковика DuckDuckGo, который много лет специализируется на приватном поиске. Они тоже обещают не хранить журналы разговоров. При этом оба сервиса передают запросы другим платформам, включая Claude и ChatGPT. Фактически они выступают прокси между пользователем и базовой ИИ-моделью, ограничивая объём сведений, которые та может собрать о человеке.

В Duck.ai пользователь сам выбирает стороннюю модель. Venice.ai, судя по всему, автоматически направляет разговоры в разные сервисы в зависимости от запроса и не всегда сообщает, какую именно модель использует. В некоторых случаях сервис отвечает с помощью модели, размещённой на собственной инфраструктуре.

Venice.ai также заявляет о других функциях конфиденциальности. Среди них — системы «доверенной среды выполнения», которые должны криптографически не допускать запись разговоров. Когда WIRED попытался задать сотрудникам Venice.ai дополнительные вопросы об этих функциях, чат-бот с ИИ в ответе лишь несколько раз направил журналистов на неработающий адрес электронной почты.

Анонимный прокси действительно может дать больше приватности, чем прямое использование ChatGPT или Claude. Но, когда Duck.ai и Venice.ai передают запросы этим сервисам, их собственные обещания о сроках хранения данных становятся значительно менее убедительными, отмечает профессор Университета Джонса Хопкинса Мэтт Грин.

Причина в том, что сообщения всё равно может собрать базовая ИИ-модель. Даже если из них удалить идентифицирующие метаданные, сам текст часто содержит сведения, по которым можно узнать человека.

Например, вопрос о лучших кофейнях в вашем районе сразу раскрывает место, где вы живёте. По словам Грина, все такие сведения, собранные вместе, образуют своего рода отпечаток личности.

Доверенные среды и ИИ на устройстве

Технологические ограничения, которые не позволяют сервису прочитать разговор, надёжнее политик, обещаний и анонимизирующих прокси. В этом случае сервис не просто заявляет, что не следит за чатами и не записывает их, — технически он не может этого сделать.

Здесь используется криптография.

При шифровании сообщений или файлов сервер не видит незашифрованные данные. С ИИ всё сложнее: современные модели пока не могут обрабатывать промты в режиме настоящего сквозного шифрования, как переписку в Signal или WhatsApp. Для работы им нужен незашифрованный текст.

Поэтому некоторые сервисы используют следующий доступный вариант — доверенную среду выполнения, или TEE. Сервер с ИИ-моделью работает на изолированном оборудовании, чаще всего с помощью Confidential Computing от Nvidia. Запрос пользователя обрабатывается внутри отдельной аппаратной области, а сервер может криптографически доказать, что остальная система не имеет доступа к этому изолированному хранилищу секретов.

Confer — приватный ИИ-чат-бот, созданный Мокси Марлинспайком, основателем Signal. Он использует такую TEE-систему на базе Nvidia, а также авторизацию с помощью ключей доступа и открытый исходный код, который может проверить любой желающий. По заявлению создателей, это даёт один из наиболее строгих вариантов защиты приватности среди потребительских ИИ-чат-ботов.

Meta тоже применяет TEE в более приватной версии Meta AI, встроенной в WhatsApp. Марлинспайк сообщал, что помогает Meta разрабатывать эту систему.

Чтобы воспользоваться ей, нужно начать вводить текст в строке «Спросить Meta AI или найти» в приложении WhatsApp. Справа в поле появится кнопка «Спросить» с логотипом Meta AI. После нажатия нужно выбрать значок речевого облака с замком в правом верхнем углу экрана чата Meta AI. Откроется новый чат, защищённый системой TEE. Meta утверждает, что она не позволяет сохранять записи разговора.

Этот режим называется Incognito. Он не обеспечивает настоящего сквозного шифрования, которым защищена обычная переписка в WhatsApp. Это попытка Meta встроить ИИ в мессенджер и приблизить его уровень конфиденциальности к тому, который компания обещает в разговорах между людьми.

Новый ИИ-агент Meta под названием Muse пока не поддерживает защиту на базе TEE. Вместо этого он работает в отдельной виртуальной машине в облаке. Meta заявляет, что её рекламные системы не смогут получить доступ к данным пользователя, а сам пользователь может отказаться от использования своих данных для обучения ИИ Meta.

Компания также сообщила, что собирается выпустить Muse Confidential VM позже в этом году. По словам Meta, система должна криптографически и проверяемо не допускать доступа компании к данным в виртуальной машине пользователя Muse.

Apple предлагает собственную систему защиты ИИ — Private Cloud Compute, или PCC. У неё есть некоторые свойства, схожие с TEE. Система должна обеспечивать обещание Apple не читать разговоры пользователей с ИИ-сервисом Apple Intelligence.

Когда запрос к Apple Intelligence или Siri обрабатывается на серверах Apple, личное устройство пользователя криптографически проверяет, что сервер работает с неизменённой версией кода PCC. Этот код не должен сохранять журналы и должен изолировать данные от удалённого доступа.

Apple Intelligence и Siri также можно попросить отправить запрос в ChatGPT или другой сторонний ИИ-сервис. В таком случае защита PCC уже не действует: запрос передаётся внешней системе, как и в других инструментах-посредниках. Однако Apple обещает спросить разрешение пользователя перед отправкой запроса стороннему сервису.

Для большинства простых запросов Apple использует более ограниченную ИИ-модель прямо на устройстве. Она не передаёт секреты за пределы телефона, компьютера или умных часов, но уступает серверным моделям по возможностям.

Есть и другие ИИ-инструменты, работающие локально на компьютере:

Все они обеспечивают определённый уровень конфиденциальности уже потому, что данные не покидают компьютер. Получить такую защиту с облачными ИИ-сервисами гораздо сложнее.

Но Мэтт Грин предупреждает: локальный ИИ выигрывает в приватности и проигрывает в способностях. Такие инструменты часто не знают, как ответить на запрос, и намного чаще современных облачных моделей выдают выдуманные сведения. По словам Грина, запустить их можно почти на любом ноутбуке, но интеллектуально они заметно слабее.

Цена приватности

Соотношение возможностей и конфиденциальности — только один из компромиссов, с которыми сталкиваются пользователи ИИ. Другой — цена.

Confer работает по условно бесплатной модели. Сервис предоставляет примерно 20–25 запросов в день бесплатно, а после их исчерпания предлагает самый дешёвый платный тариф за $34,99 в месяц. Это дороже, чем минимальные платные тарифы Claude и ChatGPT по $20 в месяц.

Мокси Марлинспайк считает, что разница отражает настоящую стоимость работы ИИ-модели без расчёта на будущую прибыль от сбора данных или рекламы. Такой сервис обходится дороже, тогда как другие платные поставщики частично компенсируют расходы монетизацией пользовательских данных тем или иным способом.

Мэтт Грин отмечает, что передовые ИИ-модели требуют больших затрат на электроэнергию и оборудование. Поэтому распространение более приватных сервисов ставит вопрос о том, как компании, не зарабатывающие на пользовательских данных, смогут поддерживать свою работу.

Без прибыли от сбора данных пока неясно, найдут ли поставщики приватного ИИ устойчивую бизнес-модель. Некоторые из них могут в будущем отказаться от работы или ослабить собственные обещания по защите данных.

ИИ, который не использует ваши данные в своих интересах, возможен. Но он может оказаться значительно дороже, чем кажется. По мнению Грина, за настоящую приватность, вероятно, придётся платить.