端云协同中的数据最小化原则

端云协同的隐私设计，关键不在于“是否使用云端”，而在于每一次处理是否只动用完成任务所必需的数据。数据最小化不是简单地把原文删短，而是把“收集什么、在哪处理、传什么、保存多久、谁能访问”拆开约束：能在设备内完成的步骤，不应默认把完整内容送往远端；确需调用云端能力时，也不应把与任务无关的上下文一并上传。

以健康记录整理为例，端侧可以先完成文本识别、敏感字段定位、摘要草稿生成，再决定云端是否只接收已删减的内容。若任务只是归纳检查项目，姓名、证件信息、完整病历附件通常不属于必要输入。财务场景同样如此：消费类别分析未必需要完整账户信息，更不应把验证码等高敏感内容交给模型处理。最小化的价值，在于把风险控制前移到数据离开设备之前。

从“少传”到“可控地传”

真正有效的最小化策略，需要覆盖数据路径的不同环节。端侧优先只是第一步；还应确认模型执行时是否存在默认网络访问、遥测或自动同步，混合云调用是否需要用户明确授权。对于必须上传的请求，应优先传递完成任务所需的特征、摘要或经过脱敏的片段，而非原始文件和完整对话记录。

数据最小化也包含保留边界。一次处理完成后，输入、输出和中间数据是否继续留存，留存是否服务于明确目的，都应被单独审视。把“默认保留以备后用”当作常态，会使原本短暂的推理风险转化为持续的数据暴露面。用户能够看见数据去向、理解上传原因并撤回授权，才意味着协同过程具备可控性。

不要把最小化误解为能力削弱

端云协同并不要求所有任务都离线完成。复杂检索、多源实时信息和更重的推理仍可能依赖云端，但这恰恰要求更严格地划分职责：端侧负责感知、初步理解和敏感字段处理，云端只在授权范围内承担无法替代的计算。对医疗、金融等敏感内容，先在本地完成分类、摘要与删减，再决定是否发送，是比“完整上传后再谈保护”更稳妥的路径。

数据最小化最终是一种产品默认值，而不是用户额外承担的技术负担。最好的端云协同体验，不是让用户在隐私和能力之间反复猜测，而是让每一份离开设备的数据都能回答三个问题：为什么必须离开、离开的究竟是什么、处理结束后是否还能被收回或删除。