Microsoft 的 AI 悖论：企业买家可能正在付两次钱

Google News 将 Microsoft 的一个令人不安的论点推到台前：购买 AI 的公司，可能会用那些令自身保持竞争力的知识再次付费。Microsoft CEO Satya Nadella 将这种冲突称为逆信息悖论。他的观点颠覆了人们通常对 AI 价值的理解。更好的结果需要更丰富的上下文，而这些上下文可能包含多年来积累的决策、修正和专有判断。

这一警示至关重要，因为企业 AI 已不再局限于孤立的提示词。如今，智能体会检索文档、调用工具、观察结果，并在整个工作流程中记录反馈。每一次交互都可能揭示一家公司如何定义质量、处理例外情况和作出决策。模型提供商提供智能，而客户提供使其真正有用的运营知识。

这并不意味着每一条企业提示词都会成为训练数据。Microsoft、OpenAI、Google 和 Anthropic 都公布了相关保护措施，限制使用商业客户内容进行训练。更深层的问题在于：谁控制围绕 AI 的学习闭环，包括评估、工作流轨迹、适配后的模型以及持续积累的反馈。

Google News 将 Microsoft 的警示变成了一则企业 AI 故事

关键事件不是新模型发布，而是 Microsoft 公开承认：采用 AI 可能会让战略知识向错误的方向转移。

Nadella 在 7 月 12 日的一篇文章中提出了逆信息悖论。他借鉴了与 Kenneth Arrow 有关的一个经典经济学问题。在 Arrow 的版本中，卖方必须先披露信息，买方才能判断其价值，这可能意味着卖方将产品拱手送出。

Nadella 认为，AI 颠倒了这一方向。一家公司已经为获得模型访问权限付费，但模型必须先获得公司特有的信息，才能交付公司特有的价值。因此，买方是在购买产品之后才披露知识。

这些知识不只是机密文件。它还可能包括通过反复试验形成的提示词、专家提供的修正、内部评估标准，以及显示员工如何完成复杂工作的轨迹。

Nadella 在他的原文中写道：“每一次修正都会被提炼为机构知识。”这句话点出了文章的核心张力。AI 系统正是通过观察企业最应谨慎交出的行为方式，才变得真正有用。

这一问题通过 Google News 推送的报道触达了更广泛的受众，其中包括最初的安全分析。这种传播很重要，因为人们很容易将这一论点误解为另一则关于员工把秘密粘贴进聊天机器人的警告。

Nadella 的担忧更为广泛。即使是在商业协议下运行的获批系统，也可能围绕衍生知识产生所有权问题。原始文档或许仍受到保护，但评估集、智能体轨迹或优化后的工作流可能已捕捉到其运营含义。

以使用 AI 智能体审查异常理赔的保险公司为例。源文件包含敏感信息，但最有价值的资产可能是经验丰富的调查人员执行检查的顺序。他们的修正会教会系统哪些不一致之处重要，哪些例外情况合理。

制造商在工程师使用助手诊断设备故障时也面临同样的问题。手册固然重要，但稀缺知识在于资深工程师如何综合传感器读数、维护历史和细微症状。持续反馈可以把这种判断转化为可复用的机制。

这种区别将数据保护与知识控制区分开来。安全团队传统上会问：谁能访问文件、文件保留多久、是否加密。企业 AI 数据治理还必须追问：当员工使用该文件时产生的学习成果，最终由谁受益。

这一概念不久后获得了更正式的阐释。一篇于 7 月 14 日发布的六页研究论文，对作者所谓 Arrow 问题的用户侧对应版本进行了建模。其经济模型认为，保留程度可能高于或低于社会最优水平，取决于平台如何获取收益并内化损害。

这一限定很重要。保留并不必然有害。共享学习能够提升安全性、可靠性和模型性能。冲突出现在提供商获取这些收益，而客户承担控制权不明确的损失时。

压力落在买方身上，而不只是 AI 供应商

企业买家现在必须将 AI 视为一种知识关系来评估，而不只是一次软件采购。

眼下的压力落在部署智能体的首席信息官、安全负责人、采购团队和业务负责人身上。他们必须决定系统可以处理哪些信息，以及公司必须保留哪些学习产物。

传统软件合同侧重于服务可用性、访问控制、支持、保密和删除。这些问题仍然必要，但不足以涵盖会观察用户修正、并通过检索、记忆、微调或编排改变行为的 AI 系统。

编排层是指负责选择模型、组装上下文、调用工具并管理工作流状态的软件。如果供应商控制这一层，它就可能成为公司累积的 AI 运营知识唯一能够可靠发挥作用的地方。

即使底层模型从未基于客户提示词进行训练，这也会造成压力。一家公司仍可能依赖供应商特有的记忆格式、评估服务、智能体框架或连接器系统。届时切换模型，就意味着必须围绕新模型重新构建已学习的工作流。

评估，通常简称为 evals，正好说明了这个问题。评估是一种结构化测试，用来判断 AI 系统是否达到既定标准。一家银行的评估可能会编码何为可接受的欺诈调查、合规的解释或升级处理决策。

这些测试可能比模型更有价值。竞争对手可以授权使用类似的基础模型，却难以复制该银行的定义、案例、边界情形和失败阈值。评估代表着被压缩的机构经验。

同样的逻辑也适用于修正。一名律师修改 AI 生成的合同分析时，会揭示哪些条款值得关注，以及组织愿意接受哪些风险。一名客服经理推翻智能体决定时，会揭示技术上正确的回答与能够维系客户关系的回答之间的差别。

这就是为什么企业 AI 数据既包含存储内容，也包含行为信息。提示词描述当前任务；修正则说明组织认为正确的任务原本应当是什么。

业务领导者还面临衡量问题。生产力仪表盘往往统计生成了多少摘要、关闭了多少工单或接受了多少代码，却很少衡量可复用的专业知识是积累在企业内部，还是积累在供应商控制的服务中。

因此，一项部署可能在短期内带来收益，同时削弱长期控制力。员工完成任务的速度更快，但组织并没有获得关于智能体为何改进的可移植记录。专业知识仍散落在聊天记录、专有日志或无法访问的服务遥测数据中。

知识工作者会在更小的尺度上感受到这种压力。他们最有效的提示词和审查模式成为日常工作的一部分，但许多人无法将其导出为结构化资产。一旦更换工具，积累的学习成果往往就会消失。

一种受控的知识融合方法可以通过让源上下文始终连接到用户管理的知识层，减少这种碎片化。其战略原则比任何单一产品都更广泛：重要上下文应当能够跨模型、跨工作流持续使用。

因此，采购团队必须超越简单的“不会使用训练数据”承诺。他们需要就保留、二次使用、人工审查、分包处理商、输出所有权、反馈处理、删除、可移植性和审计访问获得明确答案。

他们还应区分不同产品版本。面向消费者、企业、API 和大型企业的服务，通常适用不同条款。在受管控的公司工作区中可获得的保护，未必适用于员工登录个人账户的情形。

这一区别使影子 AI 尤为危险。影子 AI 指未获得组织批准或未被组织发现的工具。员工可能因为获批系统较慢或能力不足，而将有价值的上下文上传至消费者服务。

届时，公司既缺少技术边界，也缺少合同边界。它可能不知道使用了哪个账户、是否启用了历史记录、内容如何被保留，或输出在何处进入业务流程。

被迫采取的应对方式不应是一刀切的禁令。禁止实用工具往往会把相关活动进一步推向管理体系之外。更持久的做法是为员工提供获批选项，同时让知识边界清晰可见且可执行。

真正的权衡是更好的上下文与控制权之间的取舍

逆信息悖论之所以存在，是因为最安全的 AI 系统往往掌握的信息更少，而信息最充分的系统可能更难治理。

通用模型无需敏感信息即可起草常规文本。但如果没有额外上下文，它无法可靠地解释内部例外情况、评估私有设计，或在公司特有流程中采取行动。

检索增强生成，通常称为 RAG，通过寻找相关记录并将其插入模型请求来提供这种上下文。智能体则更进一步：它们可以使用工具、读取状态，并在多个步骤中采取行动。

每一项能力都会提升潜在价值，也会扩展企业 AI 数据流动的路径。一次请求可能触及应用程序、检索服务、模型端点、日志平台、连接工具和监控系统。

因此，相关的安全边界延伸至模型提供商之外。公司必须清楚每一个接收提示词、检索片段、中间推理产物、工具结果或用户反馈的组件。

这也是为什么“不会用于训练”的承诺并不能解决问题。训练只是一种使用形式。为滥用监控而保留、为对话历史而存储、行政审查以及连接服务的处理，仍然是独立的问题。

Microsoft 表示，通过 Microsoft Graph 访问的提示词、响应和数据，不会用于训练 Microsoft 365 Copilot 背后的基础模型。其企业保护措施还将组织使用纳入现有的商业数据保护机制。

OpenAI 同样表示，默认不会使用其商业产品或 API 平台的数据进行训练。其业务隐私文档称，符合条件的组织可以配置数据保留策略，包括为符合条件的 API 使用设置零数据保留。

Google 表示，在 Workspace 中使用 Gemini 的内容，未经许可不会被用于训练或改进 Workspace 之外的底层生成式模型。其 Workspace 控制也区分了受管理的企业使用、个人服务以及可选的数据共享功能。

Anthropic 表示，未经明确许可，通过其商业 API 保留的数据不会被用于模型训练。该公司还说明了符合条件产品的零数据保留安排，不过具体可用性取决于服务和合同。

这些承诺直接挑战了 Nadella 警告中最强硬的版本。如果企业服务提供商不使用客户内容训练模型，那么暗示每条提示都会自动改进共享基础模型并不准确。

但这一悖论在更狭义、也更站得住脚的形式下依然存在。即使客户的原始内容未被纳入通用训练，他们仍可能失去对围绕模型构建的学习系统的实际控制权。

设想一家软件公司部署了一名编程代理。服务商不会用该公司的代码库训练基础模型。然而，代理的价值依赖于专有指令、测试套件、审查意见、工具集成，以及不断积累的已接受变更记录。

如果这些资产只存在于服务商的环境中，该公司仍会面临锁定风险。它拥有代码，却未必拥有让代理变得高效的完整流程。

模型可移植性有所帮助，但单靠它无法解决问题。两个模型可能会以不同方式理解同一条提示。工具调用、记忆、安全过滤器、上下文限制和输出格式也各不相同。迁移代理需要保留其行为，而不只是更换一个 API 端点。

因此，公司需要可移植的评估体系。它们应能在多个模型上运行相同的业务测试，并按照自身标准比较结果。这会使模型选择成为一项运营决策，而非不可逆的依赖关系。

它们还需要受控反馈。踩按钮可能有助于服务商改进产品，但内部纠正本身也可能具有战略价值。组织应决定哪些反馈可以离开自身边界，哪些应成为私有学习记录的一部分。

本地知识系统提供了另一层控制。将源材料、注释和检索索引置于组织治理之下，可以减少不必要的信息披露。由于知识层不会随着界面消失，这也让替换模型更具可行性。

可搜索的技术知识库可以在检索上下文的同时保留来源信息。当工程师必须核实某个答案为何出现、由哪份文档支持时，这一点尤为重要。

这些措施都无法消除权衡。过度保留上下文的公司只能得到泛泛的回答和薄弱的自动化；分享全部内容的公司则能获得更高性能，但也会增加暴露面、依赖性和治理工作。

正确的边界会因工作流而异。起草公开营销文案的风险，与审阅并购文件不同。总结已获批准的政策，也不同于让代理修改生产基础设施。

战略任务在于，根据行动的价值和可逆性匹配信息披露程度。高价值的专有工作流需要比低风险行政任务更严格的隔离、更清晰的日志、更强的可移植性以及更审慎的审批。

Microsoft 的论点同样适用于 Microsoft

Nadella 的警告之所以可信，恰恰是因为 Microsoft 无法置身于其所描述的冲突之外。

Microsoft 销售模型、Copilot、云基础设施、代理开发工具、数据平台和安全服务。当客户将更多工作和上下文带入其系统时，Microsoft 会从中受益。

这一立场并不会否定反向信息悖论，却使 Microsoft 成为竞争格局的一部分。矛盾并非 Microsoft 与另一家 AI 公司之间的对抗，而是供应商所承诺的有用智能，与买方维护独立知识的需求之间的张力。

Microsoft 的企业保护措施回应了这一担忧的重要部分。它们限制使用组织提示训练基础模型，并将 Copilot 接入现有的身份、合规和数据控制体系。

不过，即使遵循这些保护措施，公司仍可能依赖 Microsoft 的环境。其代理可能依赖 Microsoft Graph 权限、Copilot Studio 流程、Purview 策略、专有连接器或供应商特定的评估工具。

OpenAI、Google 和 Anthropic 也面临同等审视。它们都希望企业客户连接更深层的数据源、部署更强大的代理，并扩大工作流覆盖范围。这些目标要求客户信任不断扩展的技术接触面。

竞争带来了有益的压力。服务商如今会宣传训练排除条款、管理控制、加密、数据保留选项和合规功能。买方可以比较这些承诺，并谈判更严格的条款。

然而，产品文档不能替代系统层面的验证。服务商可能保护自己的端点，但第三方连接器仍会存储提示。内部日志工具可能捕获完整响应。配置不当的检索层可能让记录跨部门暴露。

代理式 AI 提高了风险，因为行动会产生新数据。审阅文档的代理会生成摘要；完成工作流的代理会产生一连串决策、工具调用、失败、重试和审批记录。

这段序列所暴露的信息可能多于原始文档。它展示了组织如何将信息转化为行动。对竞争对手而言，这种流程知识可能比底层数据更难获得。

安全风险也不止于供应商使用数据。提示注入是指恶意指令通过用户输入或检索内容进入 AI 系统。这些指令可能试图重定向代理、泄露机密上下文，或滥用已连接工具。

NIST AI profile将提示注入、隐私、安全和数据治理列为组织应管理的风险。这强化了一个关键观点：合同中的训练限制，并不能阻止攻击者利用连接过度的系统。

因此，对 Nadella 文章的怀疑性解读包含两部分。第一，企业服务已经提供了保护措施，使单向学习的说法变得更复杂。第二，Microsoft 在将私有企业基础设施塑造成解决方案方面拥有商业利益。

他提出的方向与 Microsoft 的产品组合一致。希望获得受控数据边界、私有评估、可适配模型和受治理代理的公司，可以购买更多云服务和安全服务。诊断与 Microsoft 的商业利益可以同时成立。

还有另一层不确定性。并非每一条轨迹或纠正都会产生有意义的竞争情报。许多提示重复、质量较低，或仅针对单一任务。将所有交互数据都视为企业宝藏，可能导致成本高昂却不成比例的控制措施。

组织需要分类，而不是神话。合规官对受监管决策作出的纠正可能极具价值；要求重新格式化会议记录则可能并非如此。

团队应识别专有判断真正进入系统的位置。随后，它们可以保护附着于这些工作流的评估、示例、轨迹和决策，而不必将每一次 AI 交互都置于同一道屏障之后。

它们还应在大规模投入前测试供应商可移植性。如果公司无法在其他环境中复现行为，所谓模型中立的声明就意义不大。买方需要证据证明提示、工具、记忆、评估和日志能够一同迁移。

最有力的答案并不是让每项工作负载都完全自托管。在内部运行模型会带来基础设施、安全、人员配置和模型管理负担，也可能使团队只能使用较弱的能力或获得较慢的更新。

混合架构更为可信。通用任务可以使用具备合同保护的托管服务；敏感工作流则可以使用隔离环境、更窄的检索范围、私有评估和更严格的数据保留策略。

这种平衡应保持可修订性。随着模型改进，更少的上下文或许就能达到同样的效果。随着代理获得更多访问权限，一次被攻破交互的后果也可能增加。

Google News 读者接下来应关注什么

下一阶段将由可移植评估、可执行的数据保留控制，以及企业学习成果留在买方手中的证据所决定。

第一个信号是，主要 AI 供应商是否将评估可移植性作为标准企业功能。客户应能够以有文档说明的格式导出测试用例、评分规则、失败记录和人工纠正。

如果实现这一点，Nadella 的诊断将获得支持，同时锁定风险会减弱。供应商将承认学习层属于客户，并围绕模型性能而非封闭的评估基础设施展开竞争。

如果评估仍难以导出，这一悖论就会更加具体。客户可能拥有自己的文档，却缺乏迁移定义可接受 AI 行为标准的实际途径。

第二个信号是可验证数据保留控制的扩展。合同措辞很重要，但买方还需要管理设置、日志、删除证据、区域处理选项，以及针对滥用监测的明确边界。

零数据保留值得密切关注，尽管这一标签需要谨慎解读。它可能适用于符合条件的 API 流量，但不包括产品界面、安全相关记录或连接服务。

如果服务商将这些控制扩展到代理和工作场所应用中，关于信息向上游传输的最强担忧将减弱。如果随着代理能力提升，例外情况不断增加，安全负责人将需要采用更隔离的部署模式。

第三个信号是，企业是否通过可复用知识资产报告 AI 价值。仅凭生产率统计无法显示谁掌控学习。公司应衡量可移植评估覆盖率、已记录的纠正、模型切换时间，以及在获批边界内运行的高风险工作流占比。

这些指标的改善将支持 Nadella 所描述的买方控制学习模式。若企业持续依赖供应商仪表板和不透明的历史记录，则说明智能正在客户有效控制范围之外积累。

Google News 很可能会继续呈现这场争议，因为它关联了多项活跃议题：AI 安全、隐私、知识产权、供应商集中度和代理治理。读者不应将其简化为“每个商业模型都会用每条提示进行训练”的说法。

更有用的问题更为狭窄：当一个 AI 系统完成一年针对公司特定工作的任务后，公司获得了哪些此前并不拥有、且可复用的智能资产？

企业买方应能够给出不止于保存聊天记录的答案。它们应拥有可移植的评估、受治理的上下文、有文档记录的工作流、可追溯的纠正，以及在不丢弃累积专业知识的前提下更换模型的选择权。

开发者应当询问：提示词、工具结果和代理执行轨迹存储在何处。安全团队应梳理工作流中的每一个处理方。知识工作者应了解，他们提供的信息由哪个账户和政策覆盖。

反向信息悖论并不证明托管式 AI 不值得信任。它警示我们，隐私承诺只覆盖了这场交换的一部分。受保护的提示词仍可能参与一个系统，而其中有价值的学习成果依然难以归属或迁移。

随着未来 Google News 持续跟踪供应商政策和企业部署情况，应关注真正可移植性的证据：客户能否导出其代理学到的内容、在其他环境中重新运行测试，以及保留重要决策背后的上下文？

如果答案最终是肯定的，企业 AI 就能提供外部智能，而不吞噬客户的身份。如果答案仍不明确，第二笔成本不会出现在发票上，而会在公司试图离开时显现。