数据采集与隐私合规要求
数据是信用评分模型的“燃料”。但燃料不对，发动机再先进也白搭。
我个人认为，这一章可能是整门课里最容易被忽视、却又最容易翻车的部分。
说白了，你模型精度再高，一旦数据采集踩了合规红线，整条业务线都可能被叫停。
信用评分模型的数据源
先看我们通常从哪里拿数据。我做过的项目里，数据源大概分三类：
| 数据源类型 | 典型内容 | 采集难度 | 隐私风险 |
|---|---|---|---|
| 内部业务数据 | 客户申请信息、还款记录、交易流水 | 低 | 中 |
| 外部征信数据 | 人行征信、百行征信、芝麻分 | 中 | 高（需授权） |
| 三方替代数据 | 运营商数据、社保、公积金、电商消费 | 高 | 极高 |
你想想看，运营商数据能查到你的通话时长、常驻位置、甚至夜间活动规律。
这些特征对判断还款意愿确实有用，但合规部门看到直接头皮发麻。
我曾经接手过一个项目，模型用了一个三方数据商的“手机号风险分”。结果半年后该数据商被监管点名，说未经用户单独同意就输出标签，导致我们整个评分卡都得撤回重做。嗯，从那以后我多了一个习惯——每次上线新数据源，先让法务过一遍授权链路。
隐私合规的硬性约束
不同地区对个人金融数据的要求差异很大。我整理了最常碰到的几条：
| 法规 | 核心要求 | 对评分模型的影响 |
|---|---|---|
| GDPR（欧洲） | 明示同意 + 最小必要 + 可删除权 | 不允许使用“推断敏感类别”的特征（如种族、政治倾向） |
| CCPA（加州） | 知情权 + 退出权 + 数据可携带 | 用户可要求删除历史数据，模型需要支持增量重训练 |
| 个人信息保护法（中国） | 单独同意 + 影响评估 + 境内存储 | 跨境传输的模型特征需脱敏；评分卡输出不能包含可解释的原始字段 |
这里有个容易忽略的点：很多团队只关注“采集时有没有勾选同意”，
但忘了模型上线后还会持续生成新的派生特征。这些派生特征仍然属于个人信息。
我建议在特征工程阶段就标注每个变量的“隐私敏感等级”，后面审计时能省很多口水。
数据采集流程自动化与脱敏
手工采集早就过时了。现在的主流做法是搭一个自动化管道，把授权、采集、脱敏、入库串起来。
下面这张图是我在上一家公司设计的标准流程：
流程里有个关键环节：脱敏处理。
我常用的脱敏手段有三种：
- 替换：客户姓名 → "客户XXX"，身份证号只保留后四位
- 加噪：连续数值型字段（如月收入）添加随机扰动，保留统计分布
- 泛化：精确年龄 → 年龄区间（25-30岁），精确地址 → 城市级别
一个容易忽略的细节：
即使你做了字段级脱敏，但多字段组合后仍可能重新识别用户（比如“30岁 + 医生 + 北京海淀区 + 年收入36万”）。
我建议在特征仓库入库前运行一次
即使你做了字段级脱敏，但多字段组合后仍可能重新识别用户（比如“30岁 + 医生 + 北京海淀区 + 年收入36万”）。
我建议在特征仓库入库前运行一次
k-匿名 检测，确保每个组合至少有 k 个样本。
避坑指南：数据授权生命周期
很多公司只采集数据时让用户点一次同意，之后就再也不管了。
但实际情况是：用户可能撤回同意，或者数据原始来源变更了授权范围。
我记得有一次，某家运营商调整了用户协议，把“对外提供数据分析服务”改成了需要单独弹窗确认。
结果我们模型里依赖的运营商标签全部失效，在线评分直接断了三天。
从那以后，我养成了一个习惯：
- 每次数据入库时记录授权时间戳和版本号
- 建立定期刷新授权状态的定时任务（建议每天凌晨跑一次）
- 开发一个“特征健康度监控”，如果某个特征的缺失率突然飙升，自动触发合规校验工单
# 伪代码：授权状态检查逻辑
def check_authorization(feature_name, user_id):
auth_record = db.query("""
SELECT auth_status, auth_version
FROM user_auth
WHERE user_id = ? AND feature_source = ?
""", user_id, feature_name)
if auth_record is None:
return "未授权"
if auth_record.auth_status != "ACTIVE":
return "已撤回"
if auth_record.auth_version < CURRENT_MIN_VERSION:
return "版本过期，需重新授权"
return "合规"
小技巧： 在评分卡服务里加一个“合规开关”。如果当前用户某个特征的授权状态异常，直接走 fallback 策略（比如用其他替代特征或者返回系统默认分），而不是报错。这样至少能维持服务连续性。
最后说两句
数据合规不是一次性工作。
法规在变，数据源在变，用户对隐私的敏感度也在变。
我个人会把合规检查写进模型持续监控的告警规则里——和模型AUC下降同一等级。
嗯，这一章就到这里。实践中如果遇到具体的合规争议，优先咨询法务，别自己拍脑袋决定。