2. 金融AI基础
在进入隐私与敏感信息审计之前，必须先建立一张“金融AI数据地图”：数据从哪来、经过哪些环节、在模型训练与推理时如何流动、哪些节点最容易产生敏感信息暴露。只有把这张地图画清楚，后续的审计规则、脱敏策略与合规检查才有落点。
一、金融AI的典型应用场景
金融AI并非单一技术，而是嵌入在信贷、风控、投顾、运营、合规等多条业务线中的能力集合。不同场景对数据的敏感程度、实时性要求和可解释性要求差异很大，审计重点也随之不同。
- 智能风控与反欺诈：实时分析交易流水、设备指纹、行为序列，识别盗刷、套现、团伙欺诈。数据敏感度高，要求低延迟推理。
- 信贷审批与额度定价：融合征信、收入、消费、社交等多源数据，输出违约概率与授信建议。涉及大量个人敏感信息与第三方数据。
- 智能投顾与量化投研：处理行情、财报、舆情、持仓数据，生成配置建议或交易信号。关注内幕信息与投资策略泄露。
- 智能客服与营销：语音识别、意图理解、话术推荐，涉及通话录音、聊天记录等非结构化敏感数据。
- 合规与反洗钱：实体识别、关系网络分析、可疑交易报告生成，数据跨机构、跨境流动频繁。
二、金融数据生命周期：从采集到销毁
金融数据生命周期可划分为六个阶段，每个阶段都有独立的隐私风险与审计控制点。理解生命周期，是判断“数据在哪个环节可能失控”的基础。
| 阶段 | 典型活动 | 主要隐私风险 | 审计关注点 |
|---|---|---|---|
| 采集 | 开户、授权、埋点、第三方接入 | 超范围采集、授权不完整 | 授权链、最小必要原则 |
| 传输 | 内网调用、跨机构接口、API | 明文传输、中间人截获 | 加密协议、证书校验 |
| 存储 | 数据库、数据湖、备份、日志 | 未脱敏落盘、权限过宽 | 加密存储、访问控制 |
| 处理 | 清洗、特征工程、标注 | 二次使用越权、关联重识别 | 用途绑定、去标识化 |
| 共享 | 联合建模、外包、监管报送 | 数据出域、接收方失控 | 协议约束、审计留痕 |
| 销毁 | 到期删除、介质销毁 | 残留副本、备份未清理 | 销毁证明、副本核查 |
生命周期不是线性的，而是网状循环：处理阶段产生的特征可能回流到存储，共享阶段的数据可能被再次采集。审计必须追踪“数据血缘”，而非只看单点。
三、AI模型训练与推理中的数据流转
这是金融AI审计中最容易被忽视、也最容易出问题的部分。数据在训练与推理两个阶段的流转路径不同，风险形态也不同。
训练阶段的数据流转
- 原始数据接入：从业务库、数据仓库、外部数据源抽取样本，此时数据仍含直接标识符。
- 清洗与脱敏：去除或替换姓名、身份证号、手机号等，生成训练可用数据集。
- 特征工程：构造统计特征、嵌入向量，可能通过组合字段间接还原个体。
- 模型训练：数据进入梯度计算，模型参数可能“记住”训练样本。
- 模型评估与调优：验证集、测试集反复使用，存在过拟合泄露风险。
- 模型发布：参数、权重、特征清单进入生产环境。
推理阶段的数据流转
推理阶段的数据流转更短，但实时性更强、暴露面更广：
客户端请求 → API网关 → 特征服务 → 模型服务 → 结果返回
↓ ↓ ↓
身份鉴权 特征缓存 推理日志
↓ ↓ ↓
访问审计 缓存脱敏 日志脱敏推理阶段的核心风险在于：请求中可能携带原始敏感字段；特征缓存可能长期驻留；推理日志可能完整记录输入输出。审计需覆盖“请求—特征—模型—日志”全链路。
四、案例与常见误区复盘
案例：某消费金融公司的智能催收模型。训练数据包含借款人通话记录与联系人信息。模型上线后，推理日志完整记录了每次请求的原始文本，运维人员可直接检索到借款人姓名与欠款金额。审计发现：日志未脱敏、访问权限未隔离、缓存未设置过期策略。整改后，日志仅保留脱敏后的特征ID，缓存TTL设为5分钟，并增加字段级访问审计。
常见误区一：认为“脱敏一次就永久安全”。脱敏后的数据在多源关联下仍可能被重识别，尤其是金融数据维度高、稳定性强。
常见误区二：只审计训练数据，忽略推理数据。推理请求往往包含最新、最真实的客户信息，且日志留存时间长，风险不低于训练集。
常见误区三：把模型文件当作普通代码管理。模型权重可能编码了训练数据分布，模型仓库需要与数据仓库同等级别的访问控制与审计。