威脅模型：解碼器能與不能推斷什麼
先從清醒的能力評估開始，因為危害的計算完全取決於它。今日的解碼器可靠地讀取與任務鎖定、經過訓練的目標：你注意了幾個選項中的哪一個（P300、SSVEP）、一個意圖的動作或游標速度、工作負荷或睏睡程度、一個錯誤訊號。搭配侵入式高密度記錄，嘗試性語音能被解碼成文字或聲音。而不存在的，是一個泛用的「讀取你的思想」神諭：今日沒有任何系統能從一個合作但不受約束的大腦中，萃取任意的命題信念、情節記憶，或無指向內在獨白的內容。
但「今天做不到」是薄弱的保證，威脅模型必須納入發展軌跡。有兩種能力會快速推移這條界線：能泛化的解碼器（在許多人身上預訓練的模型，只需你少量資料即可運作）與能探測的寫入系統（刺激可誘發反應，使隱藏狀態變得可觀測）。正確的姿態既非恐慌亦非自滿：在援引某項危害之前，先就某個特定系統可能推斷的特定屬性及其基準率進行推理。
附帶與被動讀取：真正的風險
現實中的隱私威脅，很少是針對性的心智探測，而是附帶推斷。為正當目的蒐集的訊號，攜帶了使用者從未打算分享的旁側資訊。為運行拼字器而記錄的 EEG，也含有疲勞、情感與神經學標記；為校正解碼器而記錄的 ErrP，也揭露了你覺得意外或錯誤之事。由於特徵是共用的，保護主要功能並不會自動保護其副產物。
被動式 BCI把這一點推到極致。一個整體目的就是持續監測你的系統——工作負荷、注意力、情緒狀態——會產生一道關於心智生活、密集且永遠在線的資料流，而且往往沒有針對每次推斷的離散同意時刻。把它累積數月，即使是粗略、單獨看來無害的讀數，也會拼成一幅詳盡的行為肖像。此處的隱私危害是時間性且累積性的，而這恰恰是傳統「註冊時一次知情同意」最難處理的類型。
把神經資料視為特殊類別
神經資料只是另一種健康資料，還是自成一格的類別？主張其特殊地位的論據建立在三項性質上：它取自自我的所在；它富含主體無法事先窮舉的附帶推斷；而且，如同指紋，它可能具有生物辨識性——個人的神經反應夠穩定，使得「去識別化」的記錄常能重新連回某個人。最後這項性質，悄悄擊敗了去識別化這個標準隱私手段。
這點很重要，因為它改變了預設。若神經資料能重新識別身份，那麼「我們只儲存去識別化的彙總」對它而言就不是像對許多資料集那樣的安全港，神經資料治理便必須倚賴存取控制、目的限制以及密碼學或裝置端方法，而非移除姓名。已有若干司法管轄區開始把神經資料視為預設敏感（第 5 篇）；其技術理由，正是這種可重新識別性。
形式隱私工具箱
目前可得最強的技術保證是差分隱私（DP）。若一個隨機化機制 \mathcal{M} 的輸出分布，在任何一個人的資料被加入或移除時幾乎不變，則稱其滿足 (\varepsilon,\delta)-差分隱私。其形式條件對每個可能的輸出集合 S、以及每一對僅相差一筆記錄的資料集 D, D' 給出界限：
\Pr[\mathcal{M}(D)\in S]\;\le\; e^{\varepsilon}\,\Pr[\mathcal{M}(D')\in S] \;+\; \delta差分隱私。ε 越小，代表輸出的觀察者幾乎無從得知你的記錄是否被納入——此保證對任何對手與任何旁側資訊皆成立。
一個數學承諾：無論「你的」記錄有沒有被納入資料，演算法的輸出幾乎都不變。由於這兩個機率至多相差一個 e^{\varepsilon} 的倍數，輸出的觀察者幾乎無法得知關於你個人的任何事。關鍵在於，這個保證對「任何」擁有「任何」額外知識的攻擊者都成立——是神經資料治理的基石。
- \mathcal{M}(D)
- 在資料集 D 上運行的（隨機化）演算法。
- D,\,D'
- 僅差一人記錄的兩個資料集。
- \varepsilon
- 隱私預算——越小隱私越強。
- \delta
- 讓保證偶爾失效的極小容許量。
當 \varepsilon 接近零時，「納入你的資料」與「排除」兩種情況下的輸出分布幾乎相同，任何分析都無法把你單獨挑出來。
DP 通常透過加入經校準的噪聲來達成。拉普拉斯機制釋出的 f(D)，其上疊加的噪聲尺度為查詢的敏感度 \Delta f（單一個人能把答案移動多少）除以隱私預算 \varepsilon：
\mathcal{M}(D) = f(D) + \mathrm{Lap}\!\left(\frac{\Delta f}{\varepsilon}\right)拉普拉斯機制。ε 越大＝噪聲越少＝準確度越高但隱私越弱。這個 ε 是隱私–效用權衡上一個實實在在、可調的旋鈕——政策能指定它，稽核能檢查它。
讓查詢具備隱私的最簡單方法：算出真實答案，再加上一撮隨機噪聲。要加多少？足以掩蓋任一個人可能造成的影響（敏感度 \Delta f），再依你的隱私預算 \varepsilon 縮小。\varepsilon 越大，噪聲越少、答案越銳利，但隱私越弱——這是一個你能實實在在設定與稽核的旋鈕。
- \mathcal{M}(D)
- 加了噪聲、保護隱私的答案。
- f(D)
- 查詢的真實答案。
- \Delta f
- 敏感度——任一個人最多能改變 f 多少。
- \mathrm{Lap}(\Delta f/\varepsilon)
- 拉普拉斯分布的噪聲，其尺度為 \Delta f/\varepsilon。
把 \varepsilon 減半，加入的噪聲就加倍，以更模糊的答案換取更強的隱私。
為什麼一個隱私量有助於倫理？因為它把「資料受到保護」轉化為一個可檢查的數字。但 DP 並非萬能：它保護的是成員身份與彙總釋出，而非「你的即時解碼器此刻正在推斷你的狀態」這件事。對後者而言，主力是架構性的——裝置端／邊緣運算（特徵與模型絕不離開植入物或頭戴裝置）、資料最小化（算出類別分數、丟棄原始分段）、以及聯邦學習（透過交換梯度而非記錄來訓練共享模型）。它們作為保證較弱，卻與即時介面遠為相關。
能洩漏多少：為推斷設界
為洩漏找一種計價單位會很有幫助。令 Z 為某敏感屬性（例如某種情緒或臨床標記），F 為你所傳輸的特徵。互資訊 I(Z;F) 衡量觀察 F 能將關於 Z 的不確定性降低多少：
I(Z;F)=\sum_{z,f} p(z,f)\,\log\frac{p(z,f)}{p(z)\,p(f)}把互資訊當作洩漏預算。若 I(Z;F)=0，則 F 對 Z 毫無揭露；根據 Fano 型界限，小的 I(Z;F) 能為任何對手（無論此刻或將來、用任何模型）從 F 推斷 Z 的能力設下上限。
一個量：釋出的特徵 F 洩漏了多少關於敏感屬性 Z 的資訊。若為零，F 對 Z 字面上毫無透露——兩者獨立。把這個「洩漏預算」壓小，可證明地為「任何人」用「任何模型」（無論此刻或將來）從 F 猜出 Z 的能力設下上限——這正是神經安全的目標。
- I(Z;F)
- Z 與 F 間的互資訊——洩漏的位元數。
- Z
- 你想隱藏的敏感事物。
- F
- 實際釋出的特徵或輸出。
- \frac{p(z,f)}{p(z)\,p(f)}
- 聯合分布相對於「若兩者獨立」；兩者的落差即資訊量。
若 I(Z;F)=0，則知道 F 後對 Z 的勝算絲毫不變——一個防漏的特徵；即使略為正值，也能為最佳可能的猜測設下上限。
這把隱私工程重構為一個最佳化問題：讓與目標（拼字器類別、游標速度）的互資訊維持高，同時把與非預期敏感屬性的互資訊驅向零。對抗式訓練與資訊瓶頸訓練正是做這件事——學出對任務有預測力、卻對譬如身份或情感無資訊量的表徵。其成果是一條你真能寫進規格書的規範：「屬性 Z 從傳輸的 F 中被還原的能力不優於隨機。」
隱私不只是技術問題
即使是一個完美最小化、受 DP 保護、裝置端運算的系統，仍留下沒有任何方程式能封閉的殘餘。誰可以索取這些資料（雇主、保險公司、法院）？當裝置在醫療上為必需時，同意能真正自由嗎？一個人是否根本沒有詞彙去同意他無法預見的推斷？這些是關於權力與脈絡的問題，也正是為何心理隱私終將成為權利與法律的事務（第 5 篇），而不只是更好的編碼器。