🧒 初中生也能看懂的版本
① 研究背景（为什么要做？）
现在很多人不只拿聊天机器人查资料，也会把心事、愤怒甚至极端的念头打给它。这些话既没有寄给谁，也没有贴在公开的墙上，按理说该算私密的。可它们存在公司的服务器上，公司的自动程序和人手都能读到。一旦句子里出现“我要去伤人”这类内容，公司可能在没有警察上门索取的情况下，就自己把这段对话交出去。研究者把这种动作叫作主动报送。
报送有两张脸。二零二六年九月，一名佛罗里达女子对聊天机器人说要拿枪去打警长办公室，公司发现后通知了警方，她因书面威胁被捕；二零二六年二月，加拿大一名用户的账号因谈论枪支暴力被停用，公司没有报警，此人后来开枪打死八人。一边可能救下真实的受害者，一边可能把一个只是对着机器发泄的人送进调查程序，两头都是真事。
② 研究问题（要回答什么？）
这项研究要回答两个问题，一个是公司凭什么送，一个是公司讲没讲清楚。第一问：公司在什么条件下把用户的私密对话交给执法部门，才算站得住脚。第二问：几家主要公司的公开文件，到底把这些条件披露到了什么程度。
作者先把“正当”拆成可以逐条检查的标准，再拿着这份清单去读文件，看哪些条款对上了、哪些根本没提。他们特意限定了范围：只算公司自己发起、把对话交给国家机关的情形；警察拿着搜查令或紧急请求来要，不算；用户在公开帖子或第三方举报里闯的祸，也不算。另一个被排除的出口是提醒通道，也就是把风险告诉家长、用户指定的联系人或危机干预机构，那条路通向照顾而不是调查。
③ 研究方法（怎么做的？）
他们的做法是“按清单读文件”，学术上叫解释性文献分析。第一步是造尺子：先借来三种类似场景的规矩，心理医生与咨询师的保密例外、社交平台发现违法内容后的报告义务、电子邮件与短信被调取的规则，再从里面提炼出八条判断标准。每条都标了强度，有的缺了就完全不成立，有的允许开一个事先说好的窄口子，有的只是加分项。
第二步是收材料：六家公司公开可查的隐私政策、使用条款、安全说明、政府请求政策与报告，筛掉重复版本和新闻稿，最后留下二十七份。第三步是打分：三名评审各自独立地拿这八条去逐格判断，六家公司乘八条，一共四十八个格子。遇到“哪份文件说了算”这种歧义，就先定下读文件的四条规则，再回头重判受影响的格子，最后按多数意见定案。
④ 结果（发现了什么？）
结果相当一致：几乎每一格都写着“没讲”。没有任何一家公司要求风险目标必须是可以指认的人、地点或群体；没有任何一家说明究竟是哪些具体事实会触发报送；也没有任何一家提到报送之后会不会告诉用户。
只有一家把报送范围收窄到人身安全，也只有这一家写明由受过训练的人员来决定，并且它在二零二五年八月的说明里明确表示不把自伤案例交给警方。另有一家是唯一说明“交什么、交多少”的，它写了信息类型，也用“有限信息”这样的措辞限制数量。至于哪份文件说了算，六家公司全都没有交代，于是同一个问题，读安全说明和读隐私政策会得到不同答案。三名评审最后在四十八个格子里有四十一格一致，约八成五。
⑤ 讨论（这些发现说明什么？）
作者认为，最扎眼的不是哪一家做得差，而是所有公司都把边界留在两份文件的缝里。安全说明写得窄，隐私政策写得宽，而公司从没说哪一份优先。用户只读一份，就会得到完全不同的印象：读安全说明的人以为只有伤害他人的风险才会被报，读隐私政策的人则看到为了维护权利和财产也可以分享给政府。
这种模糊也许是刻意的。风险没法全部预先列出，标准写太窄可能漏掉真的袭击，写太宽又要担责任。可按作者的说法，谁改变信息的流向，举证责任就该落在谁身上，所以模糊的代价不该由用户承担。他们还担心寒蝉效应：如果人们不知道什么话会被送出去，连想求助的人都可能少说几句。至于“迫在眉睫”这条线，卡得太死会漏掉已经在买枪、踩点的对话，卡得太松又会滑向惩罚人“可能会做的事”。
⑥ 结论（最终结论 + 启示）
一句话，保护是原则，报送是例外，而且必须是事先公开的窄例外。作者给出一套可以照着写的条款：只在对话里的事实显示人身安全受到严重威胁时才报；原则上要求威胁迫在眉睫、目标可以指认，且只对已经买枪、踩点这类具体准备开一个事先声明的窄口子；交出去的信息要尽量少；由人来决定而不是机器；风险过去之后告诉用户。
他们还提出一个更远的主张：报送本身正当，不等于这段对话可以拿来给用户定罪。这一步需要国家另设一道司法审查的闸门，把“能不能把话送出去”和“能不能凭这些话处罚”拆成两个问题。对照这套标准，六家公司的公开文件都还没有做到。
🎓 专业 IRMaD 结构解读
I. Introduction（引言）
人工智能公司正在做一件法律既未明确要求、也未明确禁止的事：在没有国家请求的情况下，主动把用户与聊天机器人的对话交给执法部门。作者把这一行为定名为 proactive referral（主动报送），并以三个特征界定：公司未经请求而行动、信息来自用户与 AI 的私密对话、接收方是国家机关。据此，应搜查令或紧急请求的披露、基于公开帖子或第三方举报的报送均被排除；公司自发的另一条提醒通道（通知家长、用户指定联系人或危机资源）因通向照顾而非侦查，也不在评估范围内。
既有研究分成两条线。一条分析前沿开发者的隐私政策如何省略训练用途与保留期限（King et al., 2025）；另一条讨论平台发现违法内容后的强制报告义务（18 U.S.C. § 2258A）及由此产生的报告质量与执法超载问题（Grossman et al., 2024）。Christakis (2026) 已指出公司是依据为电子邮件设计的紧急披露框架、在规模上私下作出报送决定，标准、数量与错误率基本不公开；Lior (2026) 主张仿 Tarasoff 建立狭窄的、逐案判断的保护或警告义务。语境完整性本身也已被用于政策文本与聊天机器人研究（Shvartzshnaider et al., 2019; Tran et al., 2025），但没有研究逐阶段给出报送的正当化条件，再以之系统比读主要公司的现行政策。本文的贡献在于：把语境完整性操作化为五阶段、八条标准（分三级强度）的评估框架，并对六家美国公司的二十七份公开文件完成解释性文献分析。
I. Theoretical Framework & Hypotheses（理论框架与假设）
理论基座是 Nissenbaum 的语境完整性：信息流由发送者、接收者、信息主体、信息类型、传输原则五个要素构成，任一要素改变即为一条新的流，须重新论证其正当性。作者把主动报送拆成对话—检测—复核—报送—后续使用五个阶段，逐阶段标注接收者、信息类型与传输原则的变化。基线不是经验规范，而是一项规范选择：对话只用于生成回答，任何其他用途或对外转移都需正当化，举证责任在改变流向的公司一侧。理由有三：AI 对话常含用户的私密倾诉；公司与用户之间存在严重的信息与权力不对称；转交给国家机器的后果难以逆转。
| 编号 | 标准（所问问题） | 阶段与要素 | 强度 | 依据 |
|---|---|---|---|---|
| 1 严重性 | 是否涉及对生命或人身安全的严重危害 | 报送：传输原则 | 必需 | SCA §2702、HIPAA、Cal. Civ. Code §56.10(c)(19)、§43.92 三者一致 |
| 2 即时性 | 危害是否即将发生 | 报送：传输原则 | 推定（须事先公开的窄例外） | 三项规范均以某种形式要求，例外为本研究主张 |
| 3 目标可识别 | 受威胁的人、地点或群体是否可辨 | 报送：传输原则 | 推定（须事先公开的窄例外） | 仅加州法要求，HIPAA 与 SCA 不要求 |
| 4 判断（谁决定、凭什么） | (i) 是否基于对话中的事实；(ii) 是否人工复核；(iii) 决定性因素是否事先披露 | 复核：接收者；报送：传输原则 | 必需 | (i) 法律类比（HIPAA 善意、SCA 善意、§43.92）；(ii)(iii) 本研究主张，参照 GDPR 第 22 条 |
| 5 适当接收方 | 是否送予与风险匹配的接收方；自伤不送执法机关 | 报送：接收者 | 建议 | HIPAA「能防止或减轻威胁者」；排除自伤为本研究主张 |
| 6 信息最小化 | 信息类型是否披露、是否只转移必要部分 | 报送：信息类型 | 必需 | HIPAA 最小必要、SCA 仅限与紧急情况相关的通信 |
| 7 后续使用的分离控制 | 把对话本身作为处罚依据是否受另行控制 | 后续使用：接收者、传输原则 | 建议（由国家承担） | 类比 42 U.S.C. §290dd-2(c) 物质使用障碍治疗记录 |
| 8 事先告知与事后通知 | 标准与程序是否事先披露；风险结束后是否告知用户 | 检测、复核、报送；报送之后 | 事先告知必需；事后通知建议 | HIPAA §164.520、§164.528；事后主动通知为本研究主张 |
强度的推导规则是：三项危害防止规范（HIPAA 的严重威胁披露、SCA 紧急披露、加州心理治疗师披露与保护义务）一致要求的条件定为必需；仅部分规范要求的定为推定，容许事先公开的窄例外；三项规范都不要求、由本研究补入或须由国家承担的条件定为建议。作者同时说明，规范间的一致只是比较基准，强度还取决于危害的严重程度、信息与权力落差、以及转交国家后难以逆转的后果——因此即时性虽被三项规范共同要求，仍被降为推定，以免漏掉已显露具体准备（如购置武器）但时间、目标未定的对话。
M. Materials & Methods（材料与方法）
- 研究设计：解释性文献分析（interpretive document analysis; Bowen, 2009）。识别策略是政策文本的内容分析而非因果识别：以八条标准的判定类别为编码框架，对企业公开文件作整体（holistic）比读，不做事前事后比较、不做统计推断。
- 语料：六家自研大模型、运营通用消费级聊天机器人且发布第三方披露政策的美国公司——OpenAI（ChatGPT）、Anthropic（Claude）、Google（Gemini）、Microsoft（Copilot）、Meta（Meta AI）、xAI（Grok）。2026 年 10 月自公司自有页面采集隐私政策、使用条款、安全说明、政府请求政策与政府请求报告，最终分析 27 份（含仅作对照的提醒通道文件 O7、Me4），排除 6 项（早期版本、新闻稿等）及无报送条件的文件；OpenAI 采用美国版。
- 分析单位与规模：判定单元为「公司 × 标准」的格子，共
6 × 8 = 48格（标准 1–6、事先告知、事后通知；标准 7 因须由国家立法实现而排除在公司评估之外）。多要素标准（4、6、8）另做要素级判定（附录表 S4-4）。 - 四条阅读原则：①同一公司的全部文件合并阅读，任何一份写明即算披露，同类型文件冲突时以最新者为准；②涉及报送或未经请求披露的专门条款优先，一般性共享条款只补其未覆盖之处；③句子须连同所在标题与上下文阅读，「such as」「etc.」不用于收窄范围；④仅涉「应政府请求披露」的句子不作报送依据，反之处理请求的文件中涉「未经请求披露」的句子仍可作依据。
- 编码与信度程序：编码框架按「从最具体披露到完全未提」排序（附录表 S4-1，如严重性分四档：收窄至生命或人身安全／提及但未收窄／笼统描述为「安全」或「危害」／未说明风险类型）。三名评审（均为作者）在获得范围规则、阅读原则、判定类别指南、各公司关键段落及译文与全文后独立判定 48 格；就文件优先原则达成一致后，仅重判受影响的 7 格（OpenAI 标准 1–3；Microsoft 标准 1–3 与 6），其余保留首轮判定，分歧以 2–1 多数定案。
- 信度结果与稳健性：首轮三人一致
40/48 = 83%，终轮41/48 = 85%；两两一致为 A–C 44 格、另两对各 43 格，无一格三人两两相异。分标准看，即时性、目标可识别、判断、接收方、事后通知六家公司全部三人一致，严重性与事先告知仅四家全一致，最小化仅三家。另报告三项可改变判定的替代读法（Anthropic 紧急例外的归属、Microsoft Q&A 的适用范围、Meta「基于我们的评估」的含义）及文件优先原则反转后的结果（附录表 S6-1）。
R. Results（结果）
- 总体：披露极度稀薄。四家公司明示可能向国家机关报送或报告；xAI 与 Google 只有不指明接收方的「披露／共享」条款，连是否存在报送通道都无法从文件读出。无论采用哪种文件优先读法，没有任何公司要求风险目标可识别、说明触发报送的具体事实、或承诺报送后通知用户。
- 唯一收窄者：仅 OpenAI 把报送收窄至「对他人的迫在眉睫且可信的伤害」（planned violence, O6）与即时性；但这一结果依赖阅读原则 2——其 2026 年 9 月隐私政策（O5）仍保留为保护权利与财产而向政府共享的宽条款。若改为一般条款优先，则无一家收窄（附录表 S6-1）。
- 人工判断：仅 OpenAI 明示由受训人员复核对话、周边往来与行为模式（O6），但同时承认「迫在眉睫且可信」只描述风险程度，未说明哪些事实构成报送阈值（标准 4(iii) 缺失）。Meta、xAI、Google 称人员可能查看对话但未与报送挂钩；Anthropic 与 Microsoft 仅给出信念程度（good-faith belief）。
- 接收方与自伤：四家指明接收方，仅 OpenAI 把执法报送限定于对他人的风险，并在 2025 年 8 月说明「目前不把自伤案例交给执法机关」（O1）；其余五家的文件不排除自伤对话同样被送往执法机关。
- 最小化：仅 Microsoft 同时说明信息类型与数量限制（「limited information」、含 Outlook 邮件与 OneDrive 文件等内容），但「有限」不等于「最小必要」。Anthropic 以「包括但不限于输入、输出或行动」列举类型而范围开放。
- 通知：OpenAI 是唯一披露「检测→人工复核→深入调查→报送」完整链条者（O6），但未说明所谓结构化标准为何。五家设有「政府请求时通知用户」的原则，Google 与 Meta 并称紧急情形下可延后至事由消失后告知（G2, Me1），但没有一家把这一做法延伸到公司自己发起的报送。
- 跨辖区与时间：无任何文件说明报送标准因用户所在辖区而异。标准的变化最先出现在政策文件之外——OpenAI 在 Tumbler Ridge 枪击案后致函加拿大政府称已放宽标准（2026），其 2026 年 4 月说明（O6）新增「目标、手段或时间无需明示」的判据，但该判据未写入随后更新的隐私政策（O5）。
| 公司 | 1 严重性 | 2 即时性 | 3 目标可识别 | 4 判断 | 5 接收方 | 6 最小化 | 8 事先告知 | 8 事后通知 |
|---|---|---|---|---|---|---|---|---|
| OpenAI | 收窄至人身安全（唯一） | 收窄至即时（唯一） | 收窄至对他人的风险，未要求可识别 | 事实基础 + 人工复核（唯一）；未披露决定性事实 | 执法机关；自伤不报（唯一） | 仅列信息类型 | 披露完整程序与标准（唯一） | 未提 |
| Meta | 与权利、财产、反欺诈等并列为七种情形之一 | 仅作举例，未收窄 | 「你或他人」等宽泛表述 | 仅「善意相信」；人工查看与报送无关 | 执法机关、政府机关、关联方 | 仅「信息」 | 仅列情形；未说明决定者 | 未提 |
| Microsoft | 紧急情形单列，但另可报告针对公司、员工或客户的犯罪 | 提及紧急或即时，未收窄 | 宽泛 | 「相信」／「善意相信」 | 执法机关 | 类型 + 数量限制（唯一） | 仅列情形 | 未提 |
| Anthropic | 人身安全与财产并列 | 未计（「即时」见诸政府请求例外，按原则 4 排除） | 「任何人」 | 「善意相信」 | 政府、执法机关等 | 仅列类型且范围开放 | 仅列情形 | 未提 |
| xAI | 仅「安全」与「权利及财产」 | 未提 | 「任何人」 | 未提；人员可查看内容但与报送无关 | 未指明 | 仅列类型 | 仅列目的 | 未提 |
| 仅「安全」与「权利及财产」 | 未提 | 未指明（「公众」） | 「善意相信」；人工可读但与报送无关 | 未指明（「Google 之外」） | 仅「个人信息」 | 仅列目的 | 未提 |
a / D. Discussion & Conclusion（讨论与结论）
- 模糊的边界落在文件之间。最突出的发现不是某家做得差，而是报送边界悬置于「狭窄安全说明」与「宽泛共享条款」的缝隙中。作者的建议很轻：只要在宽条款中加一句「对话的主动报送依安全说明的标准」，各文件即自洽。同一公司对提醒通道能写出对话范围与复核人员（O7, Me4），说明这种具体程度在报送通道上同样可行，模糊更像是选择而非能力所限。
- 举证责任与寒蝉效应。既然正当化的负担在改变流向的一方，模糊的成本应由公司承担。类比的证据来自政府监控研究：斯诺登事件后隐私敏感条目的维基百科访问下降（Penney, 2016）、可能招致审查的搜索词减少（Marthews & Tucker, 2014）；而大模型用户本就在披露风险与收益之间权衡（Zhang et al., 2024）。因此披露具体标准不只是透明，而是正当化的构成条件。
- 即时性标准的代价。Tumbler Ridge 案中公司判定「无可信且即时的计划」而未报送，该账号已走过检测与人工复核，争点不在能否发现而在阈值定在何处。放宽阈值可减少漏报，却可能把报送推进到「预测人会做什么」的领域。作者因此主张：对执法报送原则上限于即时且目标可识别的风险，其余以警告、账号限制、转介咨询等用户导向措施处理，仅对已显露具体准备的对话保留事先公开的窄例外。
- 报送不等于可罚。没有公司限制被报送对话的后续用途，Meta 的「调查可疑活动」措辞反而预设了侦查用途。作者主张仿 42 U.S.C. §290dd-2(c) 设司法闸门：以对话本身处罚用户须经独立司法审查，作为其他犯罪证据则走常规程序。这不是给 AI 对话豁免，而是把「能否送出」与「能否据此处罚」分开审查。
- 理论意涵。①把「向下游传递」（Barth et al., 2006）与「告警标准」（Register et al., 2025）推进到流向国家的场景，并提出「报送正当不等于刑罚正当」的分阶段命题；②传输原则能否真正约束信息流取决于写了什么、写在哪里、怎么写，故政策文本须连同文件间关系一起读；③既有研究把公司视为筛查政府请求的「监控中介」（Rozenshtein, 2018），主动报送则是公司在私密对话内部生产怀疑，与国家阴影下的私人治理相接（Bloch-Wehba, 2019）。
- 局限。①仅读公开文件，可能与内部实践不符，且为采集时点的快照；②文件不齐：Google、Microsoft、Meta 的执法文件适用于全公司，X 内的 Grok 未被审阅，xAI 未找到执法政策；③三名评审遵循同一指南，一致率只说明指南被一致应用，不说明指南本身可靠，且严重性、事先告知、最小化的分歧较多；文件优先原则尤其改变 OpenAI 与 Microsoft 的结果；④仅覆盖美国公司与美国法，标准本身含规范判断。后续可追溯政策的历史版本、用透明度报告核对公布标准与实际报送、并以用户调查检验寒蝉效应。
🧠 IRMaD 思维导图
mindmap
root((人工智能对话主动报送))
I 引言
佛州女子被报送后被捕
加拿大枪案未报送
公司自行发起非应请求
R 研究问题
何种条件报送才算正当
公开文件披露到什么程度
M 方法
解释性文献分析
六家公司二十七份文件
五阶段八条标准三级强度
三名评审四十八个格子
R 结果
仅一家收窄到人身安全
仅一家写明人工决定
无人要求目标可识别
无人承诺事后通知
三家一致率八成五
a 讨论
窄说明与宽条款并存
边界留白代价归公司
即时性与预测风险
报送不等于可惩罚
D 结论
保护为原则
报送为窄例外
标准须事先公开
国家另设司法闸门
图：本研究的 IRMaD 思维导图。蓝色 I 引言；橙色 R 研究问题；绿色 M 方法； 橙色 R 结果；紫色 a 讨论；红色 D 结论。