图书馆使用 AI 检索如何保护借阅隐私

图书馆使用 AI 检索如何保护借阅隐私

图书馆读者查一本关于疾病或债务的书，不应因此被推荐系统永久标成某种身份。AI 检索通常需要查询词和借阅记录，图书馆应把两者分开：完成检索所需的短期会话可以处理，长期个人画像默认关闭。供应商不能把读者问题拿去训练通用模型或投放广告，合同写清保留期限、访问权限和删除方法。

隐私设计要落实到界面。读者可不登录做基本检索，选择是否保存书单；工作人员帮助找书时只看到必要信息，不需要浏览整段借阅史。对热门敏感主题，统计使用汇总数据即可。查询日志若用于改善搜索，先去身份并限制小样本反推风险。

一位读者为了了解债务问题检索了几本书，随后借书机就不断推送“财务危机”专题。这种服务即便推荐准确，也会让人觉得被窥视。设计时可默认只根据当前查询展示结果；想保存书单的人主动开启，随时查看和清除。馆内公用终端在会话结束后清空记录，屏幕也要防止旁人轻易看到敏感内容。

馆方和供应商的合同需具体到日志字段：查询词是否保存，保存多久，谁有权限看，安全事件发生时谁通知读者。统计模型效果可用聚合数据和自愿参与的测试，不必拿每位读者的终身借阅史训练。读者提出删除请求时，连备份和外包副本的处理办法都要可说明。

图书馆要测试异常情况：电脑忘记退出、家庭共用账号、外包系统故障、用户要求删除历史时怎么办。评价服务不能只数点击率，也看读者是否敢自由探索不熟悉或有争议的主题。若有人担心被记录而不敢借书，检索再精准也偏离公共图书馆的初衷。

隐私影响评估可以请读者自己提出“我不希望馆方知道什么”。不同人对政治、宗教、医疗或性别相关资料的敏感度不同，系统不应靠预设敏感词表替他们决定。自由探索知识的权利，需要足够安静的数字空间。

馆内公共电脑特别容易暴露阅读痕迹。系统应在读者离开或会话超时后清空搜索、下载与语音记录，不让下一位使用者看到前一位的问题。馆员培训也要强调服务所需的最小查看范围：帮助读者重置借阅证，不意味着可以浏览他的全部书单。若供应商提供个性化推荐，读者要能选择退出，并仍获得完整的基本检索服务。

如果馆方必须为服务改进分析搜索日志，可以只保留去身份的短期样本，并设定自动清除时间。让读者在借阅记录页面一眼看到保存了什么、谁可能访问、如何删除。隐私设置若藏在十几层菜单里，名义上的选择权就很有限。

读者的阅读路径应属于读者，不应成为图书馆或供应商的一份隐形档案。