把一段未发表的实验数据粘贴进公共 AI 对话框，往往只花几秒钟。但真正决定这段数据去向的，是你与平台之间那份通常没人读完的服务条款，由它和平台所在司法辖区的法律共同决定，而不是你电脑上那个文件的属性。数据一旦离开本地，就会进入平台运营方的服务器、日志与缓存，可能被用于模型训练，可能被人工审核抽检，也可能在多个司法辖区之间流转。对研究生而言，风险还不止于“泄露”：如果数据来自人类受试者，上传行为可能超出知情同意的授权范围；如果数据支撑着待申请的专利，提前公开可能影响新颖性判断；如果数据受课题组与第三方的保密协议约束，个人上传可能构成违约。因此，能否上传的判断依据，不是“方不方便”，而是数据分级、平台条款与机构规则三者的交集。
规则从哪里来：三类约束先分清
在讨论具体数据之前，需要先明确约束来源。研究生阶段最常见的问题，是把“学校没有明说”理解为“可以做”。实际上，至少有三层规则同时生效。
第一层是机构规则。 多数高校和科研院所已建立数据分类分级制度，并要求 AI 工具的使用纳入其中。例如，Fred Hutch 的计算环境管理规范明确禁止将“受限”或“受保护”类别的数据输入任何未经该数据等级授权的 AI 系统，涉及此类数据时须先经过 AI 使用审查流程；德国哥廷根大学关于学位论文使用 AI 的提示文件也强调，作者必须清楚“数据被发送到哪里、如何被使用”，对含未发表或敏感数据的工作尤其要谨慎。这类文件共同点在于：判断单位不是“这个工具好不好用”，而是“这类数据是否被授权进入这类系统”。
第二层是平台条款与适用法律。 公共 AI 服务的免费版、订阅版、企业版与 API 接口，在数据留存、训练使用、人工审核和跨境传输上的约定往往不同。部分云服务在条款中保留将用户输入用于模型改进或训练的权利；即便承诺不用于训练，日志留存与滥用审查仍可能让内容被短期保存或抽检。这些差异必须逐条核对，而不能依赖“大家都这么用”的经验。
第三层是科研诚信与出版规范。 国内外学术出版机构与科研资助方近年来陆续发布生成式 AI 使用规范，普遍要求：不得将敏感、未公开的研究数据输入公开可访问的 AI 服务；确需使用的应做最小化与去标识化处理；使用过程应留有记录并在投稿时按期刊要求披露。国内面向学术出版的 AIGC 使用边界指南亦提出隐私与数据安全方面的原则性要求，具体版本与条文应以发布机构的最新文件为准（本文资料检索日期：2026 年 6 月）。同时，《数据安全法》《个人信息保护法》以及人类遗传资源管理的相关规定，构成了数据对外提供时的法定边界。
把数据分级：四档判断框架
与其逐次纠结“这段能不能传”，不如先建立一套可复用的分级。下表是一个面向研究生日常场景的四档框架，可根据本单位的数据分类制度调整名称与细则。
| 等级 | 典型内容 | 与公共 AI 平台的关系 |
|---|---|---|
| 一级：已公开 | 已发表论文中的数据、公开数据集、公开标准与法规文本 | 一般可上传，仍需注意版权与数据库许可条款 |
| 二级：可公开但尚未公开 | 拟发表论文的方法描述、不含量化结果的思路草稿、通用代码 | 谨慎有限上传，去除具体参数、样本信息与可识别细节 |
| 三级：内部受限 | 未发表的实验数据、工艺参数、材料配方、样本编号与实验记录、失败的实验结果 | 不得上传公共平台，仅在机构批准的可信环境中处理 |
| 四级：严格受限 | 人类受试者可识别信息、知情同意未覆盖共享的数据、临床与遗传数据、涉密或受保密协议约束的数据、待申请专利的技术方案 | 禁止上传任何未经专门授权的 AI 系统，包括部分机构内部服务 |
这张表的关键不在名称，而在判断顺序：先问“是否涉及人”，再问“是否受第三方约束”，再问“是否已公开”，最后才问“平台是否方便”。三、四级的共同特征是，数据一旦外流，损失不可逆——你无法证明对方没有留存，也无法把已经进入训练语料的内容撤回。
平台侧必须核对的四件事
即便数据被判定为二级，也需要在选定具体工具时核对以下四项，它们决定了风险的实际大小。
是否用于模型训练。 这是最核心的一项。哥廷根大学的提示文件特别提醒，基于云的 AI 系统可能在处理之后将输入用于训练目的，因此对含未发表数据的工作应优先选择在本机离线运行、不依赖云计算的系统，或使用由可信机构本地托管模型的服务。
留存期限与删除机制。 “可以删除对话记录”不等于“数据立即从所有备份中消失”。需要确认留存期、备份策略，以及删除是否覆盖日志与关联副本。
人工审核与滥用监控。 部分平台为安全审查会允许人工查看被标记的对话。这意味着即使在“不用于训练”的设置下，内容仍可能被第三方阅读。
数据出境与账户归属。 个人账号与机构账号的处理规则常不相同。使用个人账号处理课题组数据，可能在合规上同时违反数据管理制度与保密约定。
几种“以为可以”的边界情形
实际咨询中，争议往往集中在几个自我说服式的判断上，它们都需要被明确否定或限定。
“这是失败的实验，没用了。” 失败数据同样可能包含实验条件、材料批次与工艺路线，属于三级内容。它的价值不在于结论，而在于信息本身。
“我只上传一小部分。” 分片上传不降低风险。若多个片段可拼接出完整方案，其敏感性与整体等同。
“我只上传图表，不上传原始数据。” 未发表图表往往已包含关键趋势与量级，部分图表还能反推实验条件。此外，图像中的坐标轴标签、样本编号、仪器导出水印都是容易被忽略的泄露点。
“我只描述研究思路，不涉及数据。” 未发表的研究设计、假设与创新点属于学术竞争优势的一部分。在提交专利申请前公开技术细节，可能影响后续的新颖性判断；在论文发表前公开核心思路，也可能引发优先权争议。
“代码里没有数据。” 需要检查脚本中的硬编码路径、示例数据、注释与配置文件中是否嵌入了真实样本信息，以及是否通过远程连接方式让 IDE 插件自动上传了工作目录内容。
不上传时的合规替代路径
判断为三级或四级，并不意味着放弃 AI 辅助。可行路径按可靠性从高到低排列如下。
机构自建或本地托管服务。 一些高校与科研机构提供本地部署的 AI 服务，输入内容在机构控制的算力内处理，不向外部厂商传输。国际上有高校计算中心以本地托管模型作为商用服务的替代，也有机构明确将内部 AI 服务纳入软件与安全审查流程，并为不同数据等级设定可用的使用范围。
本机离线模型。 在自己设备上运行开源模型，关闭出站网络访问，可满足“数据不出本机”的要求。需要注意的是，模型权重与推理框架同样应来自可信来源，避免引入其他风险。
可信研究环境。 面向敏感数据的研究，可在机构提供的受控计算环境中完成分析与建模，环境中限制数据导出、记录操作日志。欧洲相关工作组已对可信研究环境与敏感数据管理做过系统梳理，国内多数高校的大型仪器平台与数据中心也在建设类似设施。微软等厂商的架构文档同样描述了如何在受控研究环境中处理管控数据，可供与本单位信息化部门沟通时参考。
数据变换后再使用。 包括去标识化（移除直接与间接标识符）、结构化抽象（只保留变量关系与统计特征，不保留原始记录）、合成数据（用生成模型产出统计性质相近但不对应真实个体的数据）。需要强调的是，简单的“改个名字”不构成去标识化，间接标识符的组合仍可能重识别个体；变换方案应经过导师或数据管理人员确认。
把 AI 用在不需要数据的地方。 文献脉络梳理、统计方法选择讨论、代码调试与绘图脚本编写、语言润色、投稿格式检查，这些任务不需要输入原始数据，却能覆盖研究生使用 AI 的大部分需求。
走正式审查流程。 若研究确实需要借助外部算力或商用模型，应向本单位的数据管理或科研管理部门提出申请，说明数据等级、处理目的、平台条款与安全措施。Fred Hutch 的 AI 使用审查机制即为一例。审查通过后的使用，才具备可追溯的合规基础。
上传前自查清单
以下清单建议在每次上传前逐条过一遍，并保留记录。
- 这段内容是否包含人类受试者的可识别信息或可间接识别的组合信息？
- 知情同意书是否覆盖“数据共享给第三方商业平台”这一用途？
- 数据是否受课题组与第三方的保密协议、合作协议或委托方要求约束？
- 是否涉及待申请专利的技术方案、材料配方或工艺参数？
- 数据是否属于本单位数据分类制度中的受限或敏感等级？
- 所用平台的服务条款是否允许将输入用于模型训练？留存期多长？是否有人工审核？
- 使用的是个人账号还是机构账号？机构是否已就该工具完成安全评估？
- 上传内容是否可被拆分为“方法描述”与“具体数据”两部分，只保留前者？
- 是否已做去标识化或结构化抽象？残留的间接标识符是否经过复核？
- 若发生泄露，是否能在不影响论文发表、专利申请与合作协议的前提下处理？
任何一条的答案指向“是”或“不确定”，都应暂停上传，转而采用替代路径或先行咨询。
留痕：把判断过程变成可证明的记录
合规不仅是做对的事，还包括能证明自己做过判断。建议在实验记录或项目文档中保留一份简短的 AI 使用记录，内容包括：使用的工具与版本、账号类型、输入内容的类别描述（不必抄录内容本身）、处理目的、采取的去标识化措施、是否经过机构审查以及审查结论。投稿时若期刊要求披露生成式 AI 的使用情况，这份记录可以直接支撑说明；若后续出现数据归属或优先权争议，它也是还原过程的第一手材料。
数据安全边界的判断，本质上是一次成本与收益的重新计算：上传节省的几十分钟，对应的是不可撤回的披露风险；而本地模型、机构服务与数据变换所增加的麻烦，是可以被流程化、被复用的。把分级做在前面，把记录留在过程里，AI 工具才真正成为研究助力，而不是合规负担。
