Nadella 最近抛出一个说法：反向信息悖论。
传统的信息悖论，是买方很难在购买前判断一条信息值不值钱，因为一旦卖方解释清楚，信息本身就已经泄露了。AI 把方向反了过来：企业想把模型用好，就必须把自己的文档、流程、提示词、工具调用、评价和纠错交给系统。模型越懂业务，企业暴露的组织知识越多。
风险不只停留在“数据会不会被拿去训练”。更高密度的组织知识，藏在使用过程留下的痕迹里：销售如何改写报价，法务如何修正条款，客服如何判断升级，工程师如何评价一次错误回答。单独看，每条都很小；连起来，就是一家公司如何工作的路线图。
泄露发生在纠错里
企业采购 AI 时，最容易盯着两个显性问题：合同里有没有训练豁免，数据会不会被用于公共模型。它们当然重要，但还不够。
Agent 的价值来自嵌入工作流。它看见任务上下文，调用内部工具，接收员工反馈，再根据成功或失败调整下一次行为。这里产生的是更高密度的“怎么做事”。
单条提示词通常不值钱，长期积累的真实业务提示词才开始接近流程资产。一次人工纠错也不值钱，长期积累的纠错、评分、eval、trace，就会形成机构记忆。Nadella 把这类副产物称为 AI exhaust。它不是数据库里某张表，却可能比表更接近竞争优势。
学习回路要留在边界内
这件事的关键不只是隐私，而是学习回路归谁所有。
如果企业只把 AI 当外部 API，知识会沿着调用链流向模型提供商、插件平台、日志系统和评测服务。即使合同承诺不训练公共模型，企业仍然要问：交互记录保存在哪里，反馈数据属于谁，适配权重和记忆能否迁出，供应商是否能用聚合信号改进自家产品。
更实际的架构差异，可以简化成三层：外部 API 负责回答，企业租户负责隔离，自有回路负责沉淀。前两者可以买，最后一层必须设计。
更稳妥的做法，是把外部模型当能力组件，而不是业务记忆的最终归宿。提示词、工具调用、人工反馈、eval、长期 memory 和权限日志，应尽量沉淀在企业自己的租户边界内。模型可以被替换，学习回路不能轻易外包。
落到采购和架构评审里，至少要把四件事写清楚：交互日志归谁，人工反馈归谁，长期 memory 能否迁出，供应商是否能用聚合信号改进自己的产品。这些条款看起来不像模型能力，却决定越用越懂业务的那部分价值留在哪里。
这也解释了为什么 Nadella 的话有商业意味。微软当然希望企业把这套边界放在 Azure、Copilot 和自己的数据层里。但即使去掉供应商立场，这个判断仍然成立：企业接入 AI 之后，保护对象已经从“哪些文件不能上传”，扩大到“组织如何学习不能外流”。
以后评估企业 AI，不应只问模型够不够强、价格够不够低。还要问一个更底层的问题：系统越用越懂公司的过程，究竟是在增强企业自己，还是在训练另一个平台。
