祝融说。

第十五章分析焦虑怎样进入价值判断。当系统声称可以识别风险、提供个性化帮助时，它通常需要更多材料：学习时长、点击、位置、关系、身体状态和消费选择。数据可能让服务更准确，也可能把主体的犹豫、恢复与未来意向变成机构可持续占有的资源。谁贡献材料、谁获得收益、谁能定义用途，是不同问题。计划推出“成长导航”，免费记录学习和求职行为，向宁推荐课程。宁得到提醒与作品整理，企业得到候选风险分，培训方用总体数据改进产品，市政部门据此配置补贴。一次记录同时产生个人、商业和公共收益，也带来误分、泄露、门槛提高和对未参与者的不利推断。本章不以思想实验断言现实平台怎样处理数据，也不提供画像、定向或影响选择的实施方法。它正面讨论更严厉的可能：系统可以从观察脆弱处获利、让拒绝观察者失去机会、再以行为结果证明画像准确。批判要落在权限、证据、利益和修复，而不是把技术使用或商业收益本身定为伤害。

数据关系、收益与授权

宁在导航中完成练习，行为可被系统观察，不表示记录可用于招聘、保险或公开排名。可见性是技术事实，用途是制度决定。一次同意应说明对象、目的、期限与拒绝后果，不能用“数据已经产生”替授权作答。某些运行数据为提供服务所必需，可以按合同和公共规则处理；额外画像需要更强理由。把所有数据都叫作用户所有或平台所有，都会遮住多方关系。

宁的推荐信、聊天与协作记录涉及同伴、教师和客户。她不能单方把整个关系卖给平台，平台也不能只向账户持有人取得许可便完成伦理责任。多人材料需要最小化、脱敏和与任务相关的权限。共同产生不表示每个人拥有无限否决。公共记录和合法责任可能要求保存，制度应说明例外与申诉，而非追求不可能的全员逐次同意。

风险分、能力类型和未来预测不是宁直接提供，却由其行为和模型生成。机构可能称它们为内部知识，宁却承担机会后果。高后果派生数据应允许知晓主要依据、纠正输入和挑战用途，不必公开会危及安全或权利的全部模型细节。推断不等于事实。系统应标明概率、时间和适用对象，不能把预测写成人格属性，再用受影响后的表现验证自己。

宁关闭追踪后，系统可能把缺失当作低参与或高风险。拒绝观察于是本身成为不利数据，使同意失去意义。制度应设置“不知道”状态，提供其他证明，不从隐私选择直接推断能力。某些任务确需记录，例如安全认证的练习证据。必要范围应由任务说明，拒绝可能影响该项资格，却不能扩成总体不可信。

收益需要按来源和时间拆开

宁获得一次课程推荐，价值可能有限；平台把多年行为用于改进模型、销售服务或进入新市场，收益持续更久。最初交换是否相称不能只看当时免费功能，也要说明未来用途、风险和退出。长期收益难以精确归到单个人，不能因此宣布贡献为零。制度可以采用用途限制、集体分配、服务改善或公共收益，而不必给每条点击定价。

训练数据、工程、维护、资本与用户反馈共同产生模型能力。把全部价值归给数据提供者会抹去其他劳动，把全部归给平台又会把生活材料视为免费自然资源。分配应参考贡献、控制、风险和公共规则，不由单一所有权隐喻决定。贡献难测时，程序权利比伪精确分账更重要：限制用途、允许退出、公开收益类别、让受影响群体参与决定。

市政部门用总体数据发现某地区培训不足，可以增加资源；个体位置和求职记录若可被识别，又可能造成污名。匿名和汇总有帮助，但小群体、外部结合和长期追踪仍可能重新识别。公共目标不自动取消个体边界。拒绝一切公共使用也可能让资源继续按最可见群体分配。较稳妥的是最小材料、独立治理、效果审查和退出机制，并让公共收益真实返回被观察者。

平台现在得到数据，宁可能数年后才因旧画像失去机会；数据泄露和用途变化也会延迟发生。一次短期补贴无法自动结清未来风险。保存期限、删除和用途更新决定关系寿命。长期研究有真实价值，可在明确公共目的和保护条件下保留。永久保存不能仅以“以后可能有用”证明。

观察权是一项需要授权的制度能力

导航可以记录每次停留、撤回与鼠标路径，能力存在不构成必要。机构应先从决定反推最小字段：为推荐模块需要什么，为验证资格需要什么，哪些只是方便未来开发。技术默认不应替公共判断作答。少收集可能降低个性化，服务应诚实说明差异。主体选择通用版本，不应被排除在基本机会之外。

娱乐推荐错误可能只浪费时间，招聘风险分会改变收入与职业。后者需要更强证据、人工复核、解释和申诉。模型准确率是经验材料，不能替使用场域和错误成本作价值选择。同一数据从低后果服务跨到高后果决定，应重新授权和验证。历史表现不能自动携带到所有领域。

平台要求宁公开学习过程，却不说明模型版本、商业关系和错误分布，可见性是不对称的。公共问责应指向规则、访问、收益和决定记录，让观察者的权力可核。员工与管理者仍保有无关私人生活。透明不等于公开源代码或全部安全细节。可以通过独立审计、影响报告、案例理由和申诉结果建立可检查性。

宁向培训方提供数据，不表示集团内所有部门都能使用。内部共享同样是用途变化，需要角色、日志和期限。以“提高协同”为由复制到更多位置，会增加泄露和解释扩张。确有联合服务需要共享时，应让主体知道主要参与者和责任。错误不能在部门之间循环而无人修复。

个性化、画像与形式同意

导航帮助宁从大量课程中找到相关模块，节省时间并可能发现未知路径。这是真实收益，不因平台获利便虚假。评价应比较推荐相关性、替代入口和主体能否改变目标。推荐若只有一个最优答案，会把模型价值嵌入选择。显示多个理由、不同排序和未个性化入口，让帮助不必成为命令。

系统连续推荐同类技能，宁的作品与关系逐渐围绕它形成，后来转向成本增加。路径可能反映真实兴趣，也可能来自早期偶然。定期重新询问目标、允许清空历史和探索不同领域，可以恢复可变性。频繁重置又会丢失有用连续。主体应选择保留、暂停或分开档案，而不是由平台用便利替其决定。

宁看到能力分后，专门练习可计分项目，分数提高，模型似乎准确；未计量的合作与照料可能减少。反馈不是外部镜子，它进入行为。评价应看真实任务和意外损耗，不能只看指标自我改善。主体主动适应标准并不自动是被控制。他可能合理学习。问题在于标准是否相关、透明、可申诉，适应成本由谁承担。

系统告诉宁“保持节奏，你正在进步”，可以降低压力；企业仍未说明续约规则。情绪支持与制度责任不是同一服务。平台不能用个体鼓励填补掌权者的信息义务。支持本身也不必取消，只需明确它不能保证机会。主体应能从建议返回实际规则和人工咨询。

画像可以形成自我验证的机会循环

系统把宁标为高流失风险，企业减少培训，随后表现下降，结果被用于证明分类。这不表示最初预测毫无信息，而是结果已受决定影响。评估要记录分类后的干预，比较不同支持路径。保护性资源也可能产生循环，例如高风险者得到更多帮助后结果改善。不能用改善反推原风险虚假，也不能用恶化证明人格。预测、决定与结果应分开。

宁要纠正风险分，被要求提交健康、家庭和所有学习记录。申诉变成以更深暴露换取基本公平。机构应先开放现有输入与决定理由，只收集解决争点所需材料，并提供人工替代。主体也不能仅说“不喜欢结果”便要求删除真实职责记录。更正事实、挑战推断和反对用途是不同权利。

没有使用导航的人，可能因住址、学校或职业被赋予群体分。统计推断有时帮助资源规划，在个体高后果决定中却需更强相关性和校正入口。主体不能被要求为群体平均证明例外。禁止所有群体分析也会遮住系统性差异。公共分析与个体处分应分开，公布分布不等于给每个人贴标签。

宁早期退出课程的记录多年后仍影响推荐，系统比她自己更坚持旧身份。保留历史有助发现连续性，也可能让一次困难永久化。时效、衰减和重新证明能力的路径应与任务相关。删除旧记录不能改写已发生事实，但可以限制它继续控制无关未来。何种责任需要长期保存，应由法律与公共规则具体决定。

数据交易不能只用形式同意证明公平

若基本报名必须接受广告画像，主体没有实际选择。平台可以为附加个性化索取相称数据，基本资格则使用最小路径。捆绑是否正当取决于服务关系，不由一张总同意书决定。拆分选择也不能堆成几十个难懂开关。关键用途、敏感材料与高后果共享应突出，默认保护较强，后续可调整。

宁获得小额优惠，仍不表示平台可永久出售全部行为。价格只是交换的一部分，隐私、歧视和第三人权利不能完全私人结算。某些使用即使付费也需公共限制。反过来，禁止个体从自愿数据贡献获益也可能过度保护。可以允许有限授权、清楚期限和集体谈判，使收益与风险更相称。

导航不收费，宁可能以数据、注意和被推断风险支付。说明这种交换不是宣称免费必然欺骗，而是让商业关系完整。服务可提供清楚收益、非画像版本和删除路径。公共资助的免费服务也有成本，来自财政和治理。它仍应说明数据边界，不能因不盈利就取得更宽观察权。

若拒绝追踪便失去面试入口，同意承受生存压力。机构应证明观察与任务相关，并提供等价证明。真实选择不要求后果为零，但不能让无关隐私成为基本机会门槛。某些拒绝确会降低服务质量，平台可说明差异。诚实后果与惩罚性降级需要按功能区分。

集体治理与重新开始

宁很难知道数据与数百万记录结合后产生什么收益，也无法逐项协商。行业规则、公共监管、工人或用户代表可以设定最低边界。集体治理不替个体处理所有偏好，仍需个人查看、纠正和退出。代表机构也可能被供应者俘获或与成员脱节。授权、利益公开、轮换和申诉让其保持有限。

集体机构可以管理授权和收益，降低个人负担；若它永久拥有成员数据、拒绝退出，旧集中只换名称。治理应围绕用途与职责，不把主体材料变成不可离开的共同资产。公共利益可能要求保留少量记录，例外应有法定对象、保护和复核。共同体也不能无限占有个人未来。

个人补偿、降低服务费、公共培训、模型开放和改善弱势入口都可能返回价值。没有一种形式自动公平。应看贡献者是谁、风险落给谁、收益是否真正可达，并允许不同群体参与选择。把一切折成微额支付可能低估长期权力；只谈公共好处又可能忽略个体成本。组合方案需要公开账本。

外部研究者验证模型偏差，有助于公共核查，却可能增加泄露。可采用脱敏、受控环境、用途承诺和结果公开。限制访问者不能由平台单方决定，独立治理应参与。完全封闭会让公司自证，完全公开会把主体重新暴露。边界设计的对象是可核权力，而非追求最大数据流动。

删除、携带与重新开始

宁删除账户，平台可能仍有备份、法定记录和已生成模型。制度应说明哪些立即删除、何时清理、哪些因责任保留，以及模型影响能否合理移除。承诺“一键消失”若技术上做不到，会制造新误解。已作决定也不会因删除自动撤销。错误后果需要另行更正与补偿，不能把信息清理当作完整修复。

宁应能导出作品、证书和自己可合法持有的学习记录，转往其他服务。标准格式和来源验证让成果可用。携带不能包含他人隐私或平台安全材料，边界需清楚。可携带提高竞争，也可能让数据跨机构扩散。主体应选择范围，接收方重新说明用途，而非一次导出授权永久链条。

宁可以清空个性化目标，保留已取得资格；也可要求旧行为不再影响新推荐。重新开始保护改变能力，仍保留与真实责任相关的记录。哪些层需要连续，应由任务和后果决定。完全匿名新身份可能被用于逃避债务或伤害责任，需要有限核验。防滥用不能变成所有人永久可追踪。

平台已向企业发送错误风险分，仅在内部删除无法恢复机会。更正应通知主要接收者、停止继续使用并允许宁知道修复范围。无法追回所有副本时，应诚实说明残余风险。主体不应承担逐一追踪下游的全部劳动。最初控制共享的一方负有主要通知责任。

有限任务中的观察权

导航若帮助宁掌握技能、发现路径和纠正错误，它增加可能性；若只提高点击与课程购买，服务收益主要留在机构。评价应看任务结果、退出和非购买者，而不只看参与率。能力增加也可能伴随数据风险，不能用一项收益结清另一项。账本需要分栏。

不使用导航的人能否报名、提交作品、申诉和获得公共信息，是观察自愿性的关键。若只有被完整画像者可见，数据同意成为资格。等价路径可能成本不同，应检查实际可达。完全相同体验并非必要，基本权利与关键机会不能因无关追踪消失。

模型提高匹配效率，岗位总量和工资可能未变；效率真实，却不解决全部匮乏。机构应说明哪项问题被改善，新增收益如何分配，避免用技术进步覆盖资源选择。若效率节省只转成更高目标和更多观察，参与者未来仍被继续占用。第十八章会进一步追踪效率收益去向。

对数据不足、环境变化或主体新目标，系统应输出未知，而不是维持完整画像。未知状态允许人工判断、补充材料和不作高后果决定。机构需要为不确定配置流程，不能让模型总有答案成为商业承诺。主体也有权不同意推断，却不自动证明系统错误。异议触发复核，最终结论仍需相关材料。

让观察权回到有限任务

观察关系还应允许主体知道自己没有被怎样观察。权限清单若只列已收集字段，却不说明明确禁止的高后果用途，宁仍需猜测每次停留、点击和沉默会否进入资格判断。禁止把学习导航数据用于无关招聘处分，并为例外设置新的授权，比笼统承诺“负责任使用”更可核。

机构可以承诺不会出售敏感数据，仍需说明何谓出售、关联企业和模型访问是否包含其中。边界应围绕实际能力与后果，接受独立审计和违规修复。它不会消除所有推断，却让主体知道哪些担忧有制度回答。过度宽泛的禁止也可能阻碍安全、研究与主体请求的携带。例外应由对象、必要性、权限和期限构成，不能靠内部便利临时扩大。观察权分配还必须处理三种常被收益叙事遮住的情况：没有数据的人、被他人数据推断的人，以及已经改变却被旧记录继续决定的人。宁是否获得一次补偿，只回答既有交易的一部分；若平台仍能用相似人群推断她、用缺失记录降低机会，主体对观察关系的实际控制并未恢复。

宁拒绝同步夜间活动，系统可能把“未知”折成较高风险，因为完整记录者更容易预测。这种做法方便管理，却把拒绝观察本身变成惩罚。缺失可能来自隐私选择、设备故障、贫困或无关生活，只有与任务存在经验证关联时才可进入判断，并应保留其他证明路径。机构也不能假装缺失毫无影响。某些资格确需材料，无法确认时可以暂缓特定决定。关键是说明不知道什么、为什么需要、还能怎样证明，而不是由模型以隐性分数代替公开门槛。

宁没有提交家庭收入，平台仍可能依据地址、联系人或相似群体推断。逐项同意无法独自解决群体推断，因为一个人的分享会改变他人的可见性。高后果用途需要在个体同意之外设置公共限制、群体影响评估与禁止性边界，不能把责任全部留给点击按钮的人。这也不意味着任何群体统计都不应使用。公共卫生、交通和教育规划可能需要汇总规律。用途越接近资源配置与个体处分，数据质量、偏差、申诉和独立复核要求越高；用于总体规划的相关性不能未经证明直接落成个人命运。

平台称结果由模型产生，雇主称只购买服务，数据供应商称只提供样本，容易形成每一方都无最终责任的链条。谁选择用途、阈值、资源后果和继续使用，谁就承担相应说明与修复。技术供应者仍需对已知限制、数据来源和安全负责，但不能替实际决定者吸收全部责任。若多个主体共同决定，应让宁看见最低责任地图：向谁申请更正，谁能暂停不利后果，谁通知下游。复杂供应链不能成为主体必须逐层猜测的理由。

数据项目通常统计新增匹配、成交和完成率，却不记录因为画像而未被展示的岗位、宁没有尝试的方向，以及被推荐节奏占用的时间。反事实无法完全观察，仍可通过随机审计、通用入口比较、长期转向与主体访谈形成有限证据。不能因为未发生就把机会损失定为零。这类审计也不能随意宣称系统偷走了某种人生。它只能说明选择集合、成本和分布发生怎样的可观察变化，并把价值判断留给公开讨论。严厉批判若没有失败条件，也会复制画像系统的过度确定。临川计划可以为课程推荐收集最小学习记录，为公共规划使用脱敏汇总，禁止风险分未经重新验证进入招聘。宁能查看主要输入、纠正事实、选择通用服务、导出成果并要求下游更正。平台保留合理商业收益，也要公开主要用途与利益关系。这套安排不会把数据价值精确分给每个人，也无法消除泄露、推断和模型误差。它限制的是一种无限扩张：从一次便利到永久画像，从群体规划到个体处分，从行为可见到人格可计算，从免费服务到对未来机会的所有权。

数据收益与观察权分配最终是两个相接但不能合并的问题。收益回答价值流向哪里，观察权回答谁可以为了什么看见谁。即使收益被平均分配，过宽观察仍可能损害主体；即使观察有正当目的，收益长期单向集中也需要解释。把两张账同时公开，技术才可能扩大选择，而不是只扩大对选择的预测。下一章将讨论竞争规则中的共同损失：当每个人都依据数据作出局部合理的优化，为什么总体投入可能继续上升，而基本能力和生活并未同比增加。