数据治理与同意（data governance and consent）
/ DAY-tuh GUV-ern-uns and kun-SENT /
数据治理，是一套规则与「可问责的角色分工」，用来决定一个组织收集哪些数据、数据存放在哪里、谁可以接触、保留多久、何时删除——也就是一个组织对其信息的「内务管理」与责任链条。同意，是它的支柱之一：这条原则是说，人们对自己数据的使用方式，应当是「知情且自愿」地同意，而不是因为在一堵从没读过的小字条款墙上点了「接受」，数据就被拿走了。
做得好的治理，能回答一些平常却至关重要的问题：这份数据集从哪来，我们当初被允许这样用它吗？万一泄露，谁来负责？个人能否要求查看、更正或删除自己的记录？为某一目的（比如防欺诈）收集的数据，是否被悄悄挪去做了另一件事（训练广告模型）？做得好的同意，意味着它是知情的（你明白自己在同意什么）、具体的（针对一个明示的目的）、且可撤回的（你能改变主意）——而不是一个把上百种用途捆在一起、要么全要么无的勾选框。
它为何重要：AI对数据的胃口，与「同意」正面相撞，因为许多训练数据是多年前为了完全不同的目的收集的，或是从公开网络上抓来的——而那些人从未同意去喂养一个模型。诚实的难处在于：在大规模下，「有意义的同意」很难——没人会读条款，而当一项服务不可或缺时，「要么接受、要么走人」其实算不上自由的选择。好的治理，与其说在于一份完美的同意书，不如说在于：从一开始就限制你收集什么、对「目的」保持诚实、并在出岔子时承担起责任。
一款健康应用让用户点「同意」，以便它「改善服务」。数年后，它把去标识化的数据卖给了保险公司——勉强算落在那条含糊条款的范围内，却显然不是用户当初设想的。具体的、与目的绑定的同意（「我们可以把数据分享给保险公司吗？是/否」）本可以让那个真正的选择，明明白白地摆在眼前。
宽泛的、一次性的同意，算不上真正的同意——「目的限定」才是让这个词有分量的东西。
「点击接受」被广泛当作同意，可它很少是「知情」或「自愿」的。许多数据保护法（如欧盟的GDPR）如今要求「目的限定」「数据最小化」以及一项真正的「删除权」——这是承认：一个被埋起来的勾选框，无法为你数据日后无限的用途赋予正当性。