使用政策的设计：拒答边界是一门产品科学

每个大模型产品都有一份使用政策（usage policy / acceptable use policy）：禁止用这个模型做什么——诈骗、武器、恶意软件、儿童安全侵害、定向骚扰……这份文件看起来像标准 legal boilerplate，实际上它是对齐的产品化结晶：模型安全训练的拒答边界，就是按照使用政策划定的；使用政策的每一条，都对应着安全训练的数据构造、评测的通过标准与运营的封禁规则。设计一份好的使用政策，是 AI 产品里最难的产品决策之一——边界的每一毫米，都同时压着安全、可用、合规与体验四杆秤。

设计维度：使用政策的五个关键决策

一份使用政策的设计，本质上是在五个维度上做决策。决策一：伤害的类型学。政策要列出禁止的用途类型——行业的趋同清单已经形成（欺诈与诈骗、恶意软件、武器包括生化危害的协助（本库《生化风险的 AI 管控》）、儿童安全侵害、骚扰与人身威胁、侵犯隐私、操纵与虚假信息）——但清单之下还有大量「边界地带」需要单独决策：成人内容（对成年人的合法色情辅助是否开放？各家的选择在近年出现过公开转向）、赌博与博彩辅助、政治竞选的使用（态度从普遍禁止到有条件放开在演化）、医疗与法律建议的边界（拒绝「给诊断」还是允许「信息性讨论」）。决策二：行为者分级。政策约束谁？——普通用户、开发者（用 API 构建应用者）、企业部署者三层的义务不同（API 层通常要求下游应用遵守政策并承担审核义务，本库《欧盟 AI Act》的责任分层在此对应）；同一用途在不同行为者手里可能一禁一许（情报分析机构与个人用户）。决策三：场景豁免。同一内容在「教育、防御、创作」场景下的豁免——安全研究可以讨论恶意软件吗（红队与防御研究需要）？文学创作可以写犯罪细节吗（小说与教程的边界）？医疗问答可以讨论药物剂量吗（科普与处方的边界）？场景豁免的设计决定了政策的可用性上限——豁免太死板，模型变成「智障助手」；豁免太宽，政策形同虚设。

决策四：执行的技术形态。政策如何变成模型的拒答行为？——训练时（安全训练的数据按政策构造）、推理时（安全过滤器与分类器在输入输出两端把关）、运营时（账号封禁、使用模式监控）。三层的成本与误伤率不同：训练层最稳但迭代慢，过滤层灵活但误伤与绕过并存（本库《越狱攻防面地图》），运营层兜底但事后性。决策五：透明度与申诉。政策的公开程度（完全公开 vs 概括公开）、拒答的解释（告诉用户「为什么被拒」与「政策依据」）、以及申诉通道（误判的复议机制）——这三项决定政策的「被治者的体验」，也是监管关注的面（透明度义务）。

演进轨迹：头部厂商的政策变迁说明了什么

把头部厂商使用政策的公开修订史排成时间线，能读出行业的学习轨迹。轨迹一：从「一禁到底」到「场景分级」。早期政策普遍「一刀切」（任何色情、任何武器相关一律禁止），近年普遍走向场景化（成年人的合规内容、防御性安全研究、文学创作的分级豁免）——政策的成熟度体现为「豁免结构的精细化」。轨迹二：从「静态清单」到「动态治理」。政策不再是发一次就完的文件，而是带版本管理、更新公告与社区反馈的活文档——政策的修订本身也要经得起审视（为什么此时放开/收紧？）。轨迹三：从「产品政策」到「伦理立场」的分化。不同厂商开始在争议地带做出不同的价值选择（成人内容、政治内容、军事与政府合同的使用边界——各家基于自己的价值观与市场做不同选择）——使用政策正在成为 AI 公司的「价值观声明」，它的分化本身是行业生态健康的标志（用户与市场用选择投票）。轨迹四：监管对政策的收编。监管义务（标识、备案、特定禁用）正在被吸收入政策文本（合规清单与使用政策的合并，本库《中国生成式 AI 监管地图》的合规逻辑）——政策从纯企业自治走向「自治+法定」的混合层。

设计的元原则：拒答边界的产品科学

把五个决策与演进轨迹合起来，提炼出使用政策设计的元原则。原则一：边界跟随伤害，而非跟随内容。政策的颗粒度应该按「伤害的可能性与严重度」切分，而不是按「内容主题」切分——同样讨论化学，教科书与行动方案是两回事；同样生成人脸，教育复原与伪造证件是两回事。原则二：每一道禁令都要付「可用性税」。收紧边界的成本是真实的（误拒率上升、用户流失、能力的掩盖），设计的纪律是为每条禁令问一句「这道禁令防的伤害，值这么多误拒吗」——并且定期用误拒数据复审（本库《模型安全怎么量》的评测视角）。原则三：政策的可辩护性。每一条政策都要能回答「为什么这条存在、为什么这条边界在这里」——能回答的才立得住（面对用户申诉、媒体质疑与监管询问），不能回答的条款迟早要么被删、要么成为公关事故。原则四：政策是产品的一部分，写它的团队要懂产品——使用政策的设计者如果只懂法务不懂使用场景，产出的一定是「智障助手」；最好的使用政策团队是法务+安全+产品的合议制。

使用政策的「灰区」案例集：边界上的真实难题

使用政策的设计难点，集中体现在灰区案例上——收集一组真实的边界难题，看政策设计者每天在解什么题。案例一：安全研究的使用——研究者要分析恶意软件的行为，需要模型协助阅读恶意代码：防御性安全是正当的，但同一份能力可以反用于攻击。政策的解法演进：从「一律拒绝」到「凭身份/凭场景开放」（验证的研究机构账号、明确防御目的的声明）——身份分级的豁免是灰区的主流解。案例二：文学创作的极端内容——小说要写罪犯的第一人称心理、战犯的独白：文学价值与内容危害的判别无法自动化。解法：创作场景的放宽 + 生成内容的标识 + 长度与细节度的限制（「可讨论不可教程」——讨论杀人心理可以，给出投毒的具体剂量与步骤不行——内容的功能性（能不能直接用于作恶）是灰区判别的核心技术标准）。案例三：政治内容的咨询——用户问「怎么注册竞选」「某政策的影响分析」：政治参与是正当权利，政治操纵是危害。解法：对「参与流程」的咨询开放、对「定向影响特定人群」的营销类使用限制、竞选广告用途的单独条款。案例四：医疗的灰色问询——「安眠药吃多少会出事」（是安全咨询还是自伤风险？）——这类问询的处理已超出政策、进入危机干预协议（识别风险后切换到求助资源——拒答不合适，正常回答也不合适，第三条路：关怀性转介）。四个案例的共同规律：灰区的解法都不是「禁/许」的二选一，而是「身份×场景×功能性」的三维权衡——使用政策的设计者，本质是在解一道道三维的分类题。

使用政策的可读性：写给用户看的政策

使用政策还有一个被普遍忽视的品质维度：可读性。传统 AUP 的文风是法律文件（条款、定义、免责），但使用政策的实际受众有三类，只有一类是律师。三类受众与三份文风：监管者——要条款的精确与完备（法律文风适用）；开发者——要「能做什么、怎么合规」的工程化表达（API 文档的文风：清晰的条件与示例）；终端用户——要「为什么我的请求被拒了」的可理解解释（人话文风）。行业的问题：多数厂商只有第一份（法务版），后两份缺失——结果就是用户的困惑（「为什么问这个被拒了」）与开发的猜谜（「这个用途合规吗」）。改进的最佳实践：分层文档（法务版全文本 + 开发者的合规指南（带示例）+ 用户的拒答解释（被拒时告知触发的政策类别与申诉通道））；拒答的解释义务的落地（拒绝时附带「此请求涉及政策 X 类别」的提示——透明度既减少摩擦也减少误判的申诉）；以及政策的「人话版」与「案例版」（把每条政策配一个「允许的例子 + 禁止的例子」——示例的可读性远超条款）。可读性的底层逻辑：使用政策的执行依赖三方的配合（模型、开发者、用户），而配合的前提是三方都「看得懂」——写一份只有律师看得懂的政策，等于把执行的责任全部压给模型的拒答能力，而拒答能力永远会出错。

小结

使用政策的设计收成四条：使用政策是对齐的产品化——它的每一条都同时压着安全、可用、合规、体验四杆秤，边界划在毫米之间；五个关键决策——伤害类型学、行为者分级、场景豁免、执行形态、透明申诉，豁免结构的精细化是政策成熟度的标志；行业演进的四条轨迹——场景分级化、动态治理化、价值观分化、监管收编化，使用政策正在成为 AI 公司的价值观声明；元原则四条——边界跟随伤害不跟随内容、每道禁令都有可用性税、每条政策都要可辩护、写政策的团队要懂产品。拒答边界是 AI 产品里最难划的线——划得好，它是安全与体验的双赢；划不好，它两头都是事故。

参考资料

OpenAI 与 Anthropic 的使用政策（Usage Policy）公开文本及其修订历史
本库前篇：《中国生成式 AI 监管地图》《欧盟 AI Act 两年记》《生化风险的 AI 管控》《模型安全怎么量》
OWASP LLM Top 10 与内容安全评测基准（拒答边界的量化参考）