第25章　反馈回到谁那里？双向隐私与受约束的回写

一、一句“谢谢，这次有用”，为什么还不是无限许可

程岚完成流程咨询后，客户回复：“这次我们发现问题确实在传达，而不是审批。”这句反馈有助于她判断服务是否回应了任务，也可能使她进一步改进方法。可是，反馈有用不等于客户同意把整个项目变成公开案例；认可服务也不等于同意长期保留所有材料。若系统将一次感谢自动解释为扩大用途的授权，服务就从帮助客户转向使用客户，而转换没有得到清楚辨认。

反过来，客户也可能从程岚的分析中形成自己的方法，并将其用于其他工作。程岚不能因为方法在服务中出现，就宣称客户以后所有相关理解都归自己。这两种对称的限制说明，我经济不是单方面争取“我的”最大范围，而是使多个“我”能够在共同服务中继续发生。共同交往值得成立，正因为它不要求任何一方把个体性全部交出。

本章研究回写。这里的回写不是将所有反馈自动保存，而是某次服务中的差异如何改变后续方法、规则和使用条件。改变可以发生在提供者，也可以发生在使用者，还可以形成共同约定。必须追问的是：哪一种差异进入哪一次发生，哪些内容被保留，谁能够拒绝，改变以后由谁承担新的承诺。

二、反馈至少有四种不同的对象

第一种反馈针对交付是否完成。客户指出缺少约定的节点分析，或者说明某个文件打不开。此类反馈主要帮助服务履行承诺，不需要成为关于客户人格或偏好的长期记录。系统可以保存必要的处理状态，却不应顺势推断客户“难以满足”或“缺乏技术能力”，再让这种判断影响后续服务。

第二种反馈针对方法是否适用。客户说某项规则在自己的项目中不起作用，可能提供一个反例。它能够帮助提供者辨认有效域，但反例中的私人细节不必全部进入方法库。应当尽量明确哪些条件真正与失效相关，哪些只是随案例出现的背景内容。E是特征纠缠，不意味着一切可得到的信息都应无差别保留。

第三种反馈针对共同交往的边界。客户说“不要将这份材料用于其他项目”，或者“我愿意说明效果，但不愿公开具体经历”。这样的反馈首先应改变用途与参与安排，而不是被当作降低样本价值的障碍。若服务改进必须依赖某些材料，应说明具体需要，并接受对方拒绝以后相应收缩研究范围的结果。

第四种反馈可能形成共同的新方法。客户指出提供者没有注意到的区分，双方由此发展出一个更好的分析入口。这种贡献不应被提供者自动吞并为自己的原创，也不应被客户据此扩展为对提供者全部研究的控制。需要辨认具体贡献和共同形成的对象，再决定怎样记录、使用和对外表达。

四种反馈可以出现在同一封回复里，但不能被同一种“用于优化系统”的许可全部覆盖。把对象分开，既有助于实际改进，也有助于减少无关保留。回写的质量不在于保存多少信息，而在于差异能否进入合适的位置，并让原有约束继续有效。

三、把一个客户反例变成方法修订

我们把上一章咨询后的反馈具体化。客户指出，执行者其实已经收到变更通知，但消息混在大量例行提醒中，没有被辨认为需要重新确认的指令。原方法“确认是否抵达执行者”仍不够精确，因为收到与有效辨认不是一回事。新的失效位置因此不是传达完全缺失，而是传达的性质没有被显露。

程岚可以把方法修订为：检查通知是否到达，是否标明其改变了什么，以及是否需要接收者作出相应回应。这个修订不要求保留客户完整聊天记录，也不需要将某位执行者的私人解释写进长期档案。它需要保留的是原方法遗漏了哪一类差异，以及下一次分析怎样避免相同遗漏。

为了检验修订，程岚构造两个不含客户细节的新样例。第一个样例中，变更被清楚标记并得到回应，问题来自资源不足；第二个样例中，变更只作为一般通知出现，执行者仍按旧要求工作。若新方法能够区分两者，并且不把所有返工都归为通知问题，修订才取得有限支持。这里只展示一种检验设计，不声称已经在真实组织中测得效果。

这一过程体现了一种受约束的抽象：从客户案例中辨认与方法失效相关的条件，再用独立构造情境表达和检验。抽象并非自动去除一切隐私风险。如果某个所谓一般规则仍然可以直接还原具体私人经历，或者保留了不必要的识别线索，就需要进一步限制表达。是否已经充分分离，不能只由提供者一句“我已匿名化”决定。

同时，也不能要求程岚从此不得记住自己已经理解的区别。知识发生不是把文件删除以后就能够完全倒退的动作。可以约束具体材料的保存、对外使用和再开放，可以要求不再调用受限内容，也可以规定共同贡献的表达；但不能许诺让人的全部理解或系统的全部影响都恢复为从未发生，而不提供相应依据。承诺必须落在实际能够解释和执行的对象上。

四、谁有权决定进入长期系统

在示意服务中，反馈默认只为当前任务处理。若程岚认为某项内容值得进入长期方法库，需要先辨认它属于哪一种材料：自己的分析修订、可以公共表达的一般规则、客户明确允许保留的案例，还是仍应受限的私人内容。不同材料需要不同的进入条件，不能因为都叫反馈就统一处理。

这可以形成两步工作。第一步提取候选修订，仅在当前任务范围内检查其必要性与来源。第二步决定是否进入长期系统，并记录适用范围、来源条件和禁止用途。两步之间应当允许拒绝和修改。若系统自动将所有候选内容永久化，使用者就难以区分一次试探与长期规则，也难以在以后发现某项限制为什么消失。

长期进入还应有重新检验。今天看起来有效的修订，可能在新的任务中暴露过度概括。程岚不能将一次客户认可当作无限适用的证据。客户也不应被要求为提供者将来所有应用承担责任。每次扩大方法范围，都需要新的判断和必要检验，而不是继续借用最早那次成功的信用。

技术协作者可以帮助维护这套过程，但不能因此取得所有反馈内容的无限访问。管理规则、检查状态和阅读具体材料，需要按任务分别配置。一个人负责系统运行，不等于他成为所有私人发生的共同持有者。组织中的位置需要明确，否则保护往往会在“为了维护”这一宽泛理由下失去边界。

五、双向隐私不能只是两份同意书

为提供者和客户各写一份条款，并不自动形成双向保护。双方的实际能力可能差异很大：提供者掌握系统，客户只能点击；或者大型客户要求小型服务者交出全部内部方法，服务者拒绝就无法获得工作。形式上都有选择，实际拒绝的代价却可能极不对称。

本书因此将双向保护理解为一种实际位置要求。双方应能理解核心用途，能够对非必要扩展提出拒绝，能够取得与承诺相称的证据，并有可行的争议和退出路径。它不保证议价能力完全相同，也不规定所有服务必须接受任何限制；但它要求把能力差异造成的实际压力纳入设计，而不是用一页已签文字宣告问题解决。

例如，小型服务者可以将标准方法的使用与内部研究开放分开报价或分开承诺，明确哪些服务在不交出全部方法的条件下仍能提供。客户可以获得足够核验结果的说明，而不必取得原始研究资料。反过来，客户可以只提交服务所需的样例，而不是为了得到普通帮助交出整个工作历史。两种缩小都在减少不必要的共同化。

若某项任务确实需要较深度的共同研究，就应承认它已不再是一次普通问答，而是一种新的合作。合作范围、共同贡献、后续使用和退出需要重新安排。把深度合作藏在普通服务的默认选项中，会使双方误解自己已经承诺的内容，也更容易让某一方在事后认为自己的个体性被挪用。

六、奖励贡献，不应迫使人暴露更多

提供者可能希望鼓励客户反馈，于是提出：提交更多案例者可以获得更低价格或更多服务。这样的安排可能帮助改进，也可能使缺乏资源的人被迫以更多私人暴露换取基本帮助。本书不一概否定贡献奖励，但要求区分正常参与激励与把基本保护变成付费特权。

一种较为稳妥的设计，是允许不同形式的贡献。客户可以指出方法中的逻辑问题，提供不含私人信息的构造反例，参与限定测试，或者反馈某项交付是否清楚，而不必提交完整个人经历。贡献的价值不应只按资料的私密程度或数量计算。否则，系统会形成一个危险方向：越敏感的材料越被鼓励提供，保护反而成为影响优惠的负担。

共同创造的方法也可能需要承认贡献来源。这种承认可以在得到允许后具名，也可以采用共同署名或不公开身份的方式。不能为了给贡献者记功，强迫其公开自己不愿公开的参与；也不能因为其不愿具名，就将贡献当作无主资源。归属记录与公开显露是不同对象，需要能够分别处理。

经济安排还应当说明贡献与使用权的关系。一次方法改进的贡献是否换来服务优惠，不等于自动转让全部未来使用资格；接受奖励也不应被默认解释成同意所有不相关用途。具体范围越明确，贡献越有可能支持持续合作，而不是成为后来争执的来源。

七、不愿回写，也应当有成立的位置

有些客户愿意获得一次帮助，却不愿成为方法研究的一部分。若服务的基本交付不依赖长期保存，客户的这种拒绝应当能够改变实际处理。提供者可以说明因此无法提供哪些持续功能，但不应把不愿回写一概视为不配合或不值得服务。

也有提供者希望保留自己的某段探索，不将它转成长期产品。市场上存在需求，不意味着个人必须把所有有价值的私人发生商业化。我的知识可以服务自己，可以服务少数共同参与者，也可以进入公共交流；经济价值不是它唯一的完成方式。保护“我的诞生”，不能在下一步又要求每个新生的我都不断出售自己。

这种双向拒绝对我经济具有深层意义。经济交往应当支持发生，而不是吞并发生的全部目的。若所有学习、反思和共同帮助最终都必须回写为可出售资产，个体性就可能以另一种方式被规定：只有不断转成收入的部分才被承认为值得保留。新经济典范不能只更换占有者，却保留同样的强制逻辑。

因此，回写应当是有对象、有条件、有责任的选择性发生。它可以形成新的方法与服务，也可以在完成当前任务后结束。结束不意味着知识毫无意义，有时恰恰说明共同交往尊重了参与者的边界。

八、让一次服务同时留下两个能够继续发生的人

第五编从私密共同体出发，经过私人探索与对外服务的区分、有限程序测试和退出检验，现在回到反馈。整套设计的方向不是提供者的知识库越大越好，也不是客户得到越多内部资料越好，而是双方能否在共同服务之后继续保有自己的发生能力。

程岚从客户反例中学会更精确地辨认传达，客户从服务中学会更清楚地检查流程。双方并没有因此取得对方全部私人内容，也没有将一次合作解释为永久依赖。共同体在这里不是吞并各个“我”的容器，而是支持各个“我”形成新差异的一种安排。

这仍然只是经过论证的设计，不是已经证实可大规模运行的新经济。实际成本、需求、服务质量和收益分配还没有被解决。一个边界设计得很好的系统，也可能没有足够的使用者；一项有用服务，也可能无法支持提供者持续投入。要使隐私保护成为我经济的构成条件，还需要认真讨论经济本身，而不只讨论正确原则。

下一编将把生产对象、类我共同体、交换内容、成本收益和公共知识重新摆到同一张桌子上。隐私保护不能保证市场成功，但没有对个体性发生的实际保护，所谓我经济又可能只剩下他人使用我的贡献。我们必须在这两种过度简化之间，建立能够计算、能够失败、也能够修订的经济说明。