AI 游戏的数据合规：对话日志存多久、怎么脱敏

为什么对话日志是高敏感资产

传统游戏的日志大多是行为埋点：点了哪个按钮、在哪一关失败。AI 游戏的日志里则直接写着玩家说的话——可能包含真实姓名、住址、工作单位、健康状况，甚至是未成年人的自述。

这带来两个后果。第一，日志本身就是个人信息处理活动，必须纳入告知同意与最小必要的约束；第二，它同时是模型优化与安全审核的证据，不能一删了之。

所以我们内部把这件事拆成三个独立问题：存什么、存多久、谁能看到。三个问题分开回答，才不会互相绑架。

存什么：先把日志分成四类

把所有日志混在一个表里存三年，是最常见也最危险的做法。我们按用途分成四类，分别设定留存策略：

类型	内容	是否留存	典型期限
安全审计	命中审核规则的输入输出、处置结果	必须留存	6 至 12 个月
业务排障	请求 ID、耗时、错误码、模型版本	留存（不含正文）	30 至 90 天
模型优化	脱敏后的对话样本	可选，需单独同意	不超过 12 个月
原始明文	完整对话原文	原则上不长期保存	7 至 30 天

关键在最后一行。原始明文只作为短期缓冲，用于人工复核与事故追溯；超过窗口期就落成脱敏样本。这样既不阻碍改进，也不把风险无限期留着。

存多久：三条线取交集

留存期限不是拍脑袋定的，通常由三条线共同决定：

1. 法律与监管要求。网络安全相关法规对日志留存有明确下限，需按最新要求执行。
2. 业务必要性。客服争议通常在 30 天内出现，超过 90 天的原始对话对排障价值极低。
3. 风险成本。留存越久，泄露与越权访问的暴露面越大，运维成本也越高。

三条线取交集，得到的是一个「够用且不长」的期限。若确实需要更长周期做模型训练，正确做法是保留脱敏样本而不是延长明文期限。

怎么脱敏：四个环节分别做

很多团队只在导出时做一次正则替换，这远远不够。我们要求在四个环节都有动作：

• 采集环节：对手机号、身份证号、银行卡号做实时掩码，不落明文；对未成年人账号标记来源，进入更严格的分支。
• 存储环节：正文与身份标识分开存储，通过不可逆 ID 关联，避免一个库被拖走就能还原出「谁说了什么」。
• 查询环节：默认只返回脱敏视图，查看原文需要工单审批，且全程留痕、有频次上限。
• 导出环节：导出即是高风险动作，必须限定用途、限定字段、限定份数，并记录接收方。

四层做完，即使某个环节失守，也不至于一次性泄露全部信息。

玩家行权：查询、更正、删除怎么落地

行权请求最容易被拖成「法务问题」，其实它首先是产品问题。我们的做法是把三个入口做进产品：

1. 查询：玩家可以在设置里查看系统保存了哪些与其账号关联的数据类别与期限，不必逐个客服沟通。
2. 删除：提交后进入 7 天冷静期，期间可撤回；到期后删除明文与可关联标识，保留不含个人信息的统计结果。
3. 撤回同意：撤回后停止将其对话用于模型优化，但不影响已完成的合法处理。

这里有个常见冲突：玩家要求删除，但该条记录正被用作安全事件证据。正确做法是说明法定留存事由并限定使用范围，而不是简单拒绝或直接删除。

三个高频误区

误区一：以为「去掉了昵称」就是匿名化。对话内容里往往带着足以识别个人的细节，昵称只是最表层的一项。真正的匿名化要求无法通过任何方式复原到个人，多数场景其实做不到。

误区二：把日志集中到一个数据湖里「以后再说」。集中本身会放大风险，且越晚治理成本越高。宁可先分域存储，也不要为了查询方便先合库。

误区三：只盯着自己的服务器。模型推理、内容审核、语音识别往往调用第三方服务，数据在这些环节已经出了你的边界。接入前必须逐项确认对方是否留存、留存多久、是否用于训练。

把它当成产品能力，而不是合规负担

数据合规做得好，会直接变成信任优势：玩家知道自己的对话不会被无限期保存，家长能看到更清晰的说明，企业客户在尽调时也更省事。

我们建议每个 AI 游戏团队每季度做一次自查，只问三个问题：现在存了哪些日志、各自多久、谁能看到。答案如果超过一页纸，说明需要收一收了。

本文基于星欧娱乐的内部实践整理，不构成法律意见；具体期限与流程请以适用的法律法规及监管要求为准。