通用方法 · 熟练
哪些活不该送出去，现在有答案了
先分位点，再定去留
「隐私敏感就别用 AI」是个偷懒的答案 —— 真正的选择不在「用不用」，在「哪一层放在本机」。2026 年本地化这一路已经补齐到每一层都有可替代件：对话与生成、文件转换与识别、个人模型与微调、网关与故障转移，四层各有能离线跑的件。这一页给一张四层位点表加一条分派规则 —— 先把你手上的材料按「不该离机 / 可以离机 / 必须离机」分堆，再让每一堆落到它该待的那一层。关键动作只有一个：为每一层各选一个「离线可用、有人在维护、将来换得掉」的件，把名字写下来。写不下来的那一层，就是你把不该送的东西送出去的地方。
方法 · 一图看懂
1
先按数据类型分三堆 — 不该离机（身份信息 / 客户名单 / 未公开合同 / 本机文件原样）· 可以离机（公开资料 / 通用问题 / 已有公开结论）· 必须离机（只有前沿模型才做得到的那部分判断）
2
四个位点逐个盘 — 对话与生成 · 文件转换与识别 · 个人模型与微调 · 网关与故障转移；每层各自回答一个问题（该不该出机 · 出机时走谁）
3
每位点选一个能本机跑的件 — 判据三条：离线可用（断网还能跑）· 有维护（近半年有提交）· 换得掉（数据格式是开放的，不被单一产品锁住）
4
只把必须离机的送出去 — 送之前脱敏（换成占位符）、送之后留记录（送了什么 · 送到谁 · 为什么非它不可）
原理 · 为什么有效
本地优先不是「全都别联网」，而是把「在哪一层处理」这件事从默认值变成一次显式选择。默认值的问题是它由产品决定：一个联网的对话窗，就是默认把什么都送出去。而四层拆开之后，每一层的取舍标准其实不同 —— 文件转换与识别这类活，判据是「有没有必要联网」（OCR、格式转换、批量重命名本就不需要模型推理）；对话与生成这类活，判据是「材料能不能脱敏后等价表达」；微调与个人模型这类活，判据是「这件事的数据量够不够撑起一个自己的模型」；网关与故障转移这类活，判据是「出了事能不能自己接管」。四层里最容易低估的是第三层：2026 年个人设备上跑中小模型的体验已经不是玩具，真正卡住的往往不是算力，是你没有把「哪些活值得自建」列出来过。反过来做（先买工具、回头再想哪些能用）会得到确定的结果：买回来的都是第一层的东西，而真正该留在本机的第二、三层一件没动。
适用场景
适用于：手上材料里有客户名单 / 身份信息 / 未公开合同 / 内部数据的人；被「数据不能出公司」卡住而干脆不用 AI 的团队；已经在用 AI 但说不清「什么材料送出去过」的人。不适用于：只处理公开资料、且不介意送出去的个人；以及把这一页当成「本地一定更安全」的结论 —— 本地件的漏洞同样会被利用，判据是可控性而不是位置。前提：愿意花一个下午把四层各选一个件，并接受第二、三层的能力上限（它们不如前沿模型，只在「够用」的那类活上用）。
自测 · 5 问
我手上的材料里，哪些是「不该离机」的？列得出来吗（不是类别名，是具体那几份 / 那几列）？
四个位点里，哪几个我现在其实已经有了件、只是没意识到它算这一层？
每一层选的那个件，名字写下来了吗 —— 断网时还能跑吗？
我送出去过的东西里，有没有本该留在第二层（本地转换 / 本地识别）却走了第一层的？
每一条「必须离机」的，我说得出为什么非前沿模型不可吗？
怎么上手 · 验证步骤
不要一次全建。先做第 2 步（盘四层）—— 把手上正在用的件按四个位点归一遍，你会发现至少有一层是空的，那一层就是你泄漏的地方。再补第 1 步（分三堆）：挑最近一周你送出去过的一份材料，逐行标「这一行真的必须出机吗」，标完通常会删掉三成。第 3 步（选件）只选一层先落 —— 建议从「文件转换与识别」起，因为它最容易找到成熟的离线件、也最容易验证（断网跑一遍就知道成不成）。第 4 步（脱敏与记录）最后做，因为前三步没做之前，留记录只会变成补文档。
做完自己核三样：① 四个位点里，每一层都能说出一个具体的件名 ② 随手挑一份上周送出去的材料，能指出它落在哪一堆、为什么 ③ 你的「不该离机」那一堆，有没有一条其实是「懒得分」而不是真的敏感。
从你这周处理过的材料里挑一份最敏感的，写三行字 —— 第一行「它现在在哪一层处理」，第二行「它本该在哪一层」，第三行「差的那一层缺什么件」。三行都能写出来，说明这张位点表开始生效了；只能写出第一行，那就是还没有表。