日本数字厅AI建站泄露1.3万条隐私：想用AI建站的老板，先看这3个坑

先说结论：AI建站省下的是开发费，赔进去的可能是客户信任。据公开报道，日本数字厅近日通告，其部分使用AI建站平台Studio搭建的网站被黑客攻破，13323条隐私信息外流，包括民众在2021年5月至2023年3月通过网页表单提交的咨询内容：一般意见建议约8833条、疫苗接种证明相关咨询约3661条、工作坊活动信息约462条、招聘咨询约250条，连借用吉祥物人偶服的询问都有约117条。外泄字段包括姓名、电子邮箱和正文，部分渠道还可能牵出所属机构、收件地址和电话号码。截至10月22日，官方称尚未发现信息被滥用。对老板的启示很直接：网站是谁建的、数据存在哪里、出了事谁负责，这三件事不写清楚，AI再快也别上线。

一、风险不在“建站快”，在“表单收得太全”

很多中小企业用AI建站，半天出页面、一天上线，顺手就把“咨询表单”做成姓名、电话、邮箱、公司、需求描述全都要，理由很朴素——销售想多拿线索。但表单字段越多，泄露时的杀伤力越大。这次泄露，正是表单数据从“留言”升级成了“能定位到具体个人的多重身份线索”。老板该做的是字段分级：能电话沟通的，不要在表单里填；非必要不收集身份证、地址、健康或疫苗这类敏感信息；必填项控制在3个以内。少收一个字段，就少一份赔付和通知成本。

二、合规动作：把“数据在哪”写进合同和流程

低门槛工具替代了技术团队，但责任替代不了。三个动作今天就能做：

第一，问清数据存放在哪。表单提交的数据是落在建站平台、还是直接进你的CRM？如果存在第三方，要求可导出、可删除、可审计。

第二，把安全条款写进采购合同。明确泄露事件的告知时限、处置义务和赔偿边界。别只看价格和模板数量。

第三，准备一页“泄露预案”。谁来判断、多久通知客户、对外怎么说明。日本数字厅这次特别提醒公众警惕冒充官方的钓鱼邮件和电话，并强调不会通过邮件或电话索要密码等信息——你的客户也需要这句提醒。

顺带说一句，我们服务客户时，九方财齐CRM这类自有系统承接线索，就是为了让数据边界握在自己手里；AI客服可以放在前台应答，但不要把敏感字段堆在对话框里。

三、机会：AI真正的价值是“少存”，不是“多收”

这次事件不该让人放弃AI建站，而是重新划边界：官网用AI快速搭、内容用AI批量产，没问题；但客户数据这一层，要单独设计。比如用AquireX全自动获客系统承接公域线索，把“采集—清洗—跟进”放在可控系统里，网页端只做展示和最低限度留资；CRM里给敏感字段做脱敏，销售看到手机号中间四位打码，需要外呼时再申请权限。省下的不只是风险，还有重复录入的人力。

一句话：AI建站可以把上线时间从一个月压到一周，但数据责任不会因此变轻。先想清楚“我到底需要收哪些信息”，再谈用哪个工具。

FAQ

Q：用AI建站平台做的网站，出了数据泄露，责任在平台还是在我？
A：通常看两点——谁是数据的控制者（一般是你，因为客户是冲你来的），以及合同怎么约定。数据由你收集、你使用，主要责任在你；平台若有安全过失，可按合同追责。所以签约时务必写清数据存放、泄露告知时限和赔偿条款，别只签一份模板服务协议。

Q：中小公司没安全团队，最低成本能做的防护有哪些？
A：四件事：一是表单字段最小化，敏感信息不收或改由人工录入；二是开双因素认证，账号别共用；三是定期导出并清理历史表单数据，超期不留；四是留一页应急流程，出事48小时内能通知到客户。这四项不需要额外预算，只需要有人负责。