Ваш спам-фильтр не читает вашу почту. Он считает улики.

Google ежедневно блокирует почти 15 млрд нежелательных сообщений, и делает это без всего того, что вы могли бы узнать как чтение. Никакая модель не сидит там, проговаривая письма от вашего стоматолога о записи на приём. Именно такой образ — цифровой подглядчик, согнувшись над вашим ящиком и впитывая ваши секреты — вызывает страх, который носит в себе большинство людей, и этот страх направлен в неправильную сторону.

Вот что на самом деле происходит. Когда письмо попадает в фильтр, система не начинает с вашего текста. Она начинает с конверта. Кто это отправил и действительно ли сервер отправителя имеет право использовать этот домен? Это SPF, DKIM и DMARC — три проверки, которые подтверждают, пришло ли письмо «billing@yourbank.com» с инфраструктуры вашего банка или с арендованного сервера в чьём-то подвале. Мошенник может идеально скопировать логотип и при этом не пройти DKIM, и это единственное криптографическое несовпадение скажет фильтру больше, чем любое предложение в теле письма.

Потом идут более дешёвые сигналы. Репутация отправителя: был ли этот IP-адрес рассылающим миллионы одинаковых сообщений? Анализ ссылок: куда на самом деле ведёт кнопка «нажмите здесь» — туда, куда указывает видимый текст? Возраст URL, цепочки редиректов, типы вложений. Большая часть вердикта о спаме выносится до того, как модель начинает внимательно обдумывать язык.

Когда язык всё же вступает в игру, это не понимание — это математика. Старые фильтры использовали байесовские классификаторы, подход, который Paul Graham популяризировал в своём эссе 2002 года «A Plan for Spam», оценивая сообщения по вероятности того, что определённые слова появляются в спаме относительно обычной почты. Слово «Viagra» получало число. Современные системы идут дальше с трансформер-моделями, которые превращают текст в эмбеддинги — длинные списки чисел, которые улавливают значение, не храня само значение как слова. Для классификатора ваше письмо — это не история. Это точка в многомерном пространстве, и вопрос в том, находится ли эта точка рядом с кластером, помеченным как «фишинг».

Это различие важно, потому что «ИИ видит мои слова» и «ИИ превращает мои слова в вектор и сравнивает его с образцом мошенничества» — это не один и тот же инцидент приватности. Один звучит как подслушивание. Другой ближе к металлодетектору: он реагирует на сигнатуру, а не на признание.

Поэтому настоящий вопрос заключается не в том, трогает ли модель ваш текст. Конечно, трогает — это её работа. Вопрос двойной, и это то, на что вам действительно нужно обратить подозрение. Во-первых: хранение. Сохраняется ли содержимое и как долго? Например, в политике API OpenAI указано, что компания не использует данные бизнес-API для обучения своих моделей и сохраняет их в течение ограниченного периода перед удалением. Anthropic публикует аналогичные коммерческие условия. Эти политики стоят того, чтобы прочитать их, а не получать заверения о том, как «приватна» выглядит логотип.

Во-вторых: где происходит вывод. Фильтр, запускающий классификацию внутри собственных стен вашего провайдера, имеет совсем другой профиль риска, чем текст, отправляемый на сторонную модель, которую вы никогда не слышали. «На устройстве или в пределах тенанта» против «отправлено куда-то ещё» — это развилка приватности, которая определяет, кто теоретически когда-либо мог бы что-то увидеть.

Это также объясняет, почему паника «это сканирует всё» себя дискредитирует. Системы, сканирующие всё, — это те, которые вас защищают — классификаторы, блокирующие поддельный счёт и похожую страницу входа. Опасное сканирование — это тихое: пиксель отслеживания в рассылке, который отправляет сигнал на сервер в момент открытия письма, логируя ваш IP и время, когда вы его прочитали. Вот настоящий подглядчик, и это не спам-фильтр.

Беспокойтесь о хранении. Беспокойтесь о назначении. Модель, читающая ваши слова в поисках улик, — это наименьшее из ваших забот.