要在上传 AI 前脱敏护照扫描件，应先复制原件，列出任务真正需要的少数字段，永久删除其余身份信息，再把导出文件当成攻击目标测试，确认隐藏内容无法恢复。如果任务必须读取完整身份页，不要把扫描件交给通用 AI 服务；应改用经认可的身份核验渠道，或在不上传证件的情况下完成工作。

这仍然属于受控 AI 工作流程：减少输入、限制输出，并独立核验结果。护照还需要更严格的处理，因为一页内同时包含姓名、肖像、证件号码、出生资料、签名和机读区，泄露后可能被反复利用。

关键要点

打开文件前先判断 AI 是否真的需要任何护照资料。

原件保持不变，只在受控副本上处理。

使用不可逆删除，不用黑色图形或可移除批注冒充脱敏。

同时检查文字、图像、元数据、图层、附件和机读区。

用另一款查看器重新打开最终导出文件并尝试恢复内容。

剩余信息仍会不必要地识别持有人时立即停止。

步骤 1：先定义不依赖护照的 AI 任务

先用一句话写清目标。“总结这份文件”范围太宽；“提取到期月份，用来设置续期提醒”只要求一个字段，通常不需要整张身份页。“核对姓名是否与预订一致”则可能由本人在本地直接完成，根本无需 AI。

数据最小化要求个人数据与目的相称、相关，并限于必要范围。［1］把这个原则变成字段 allowlist：逐项写出模型可以看到的值、允许生成的输出，以及由谁核验。

问题	安全答案	停止条件
需要什么输出？	一个有边界的字段或格式任务	开放式身份分析
能否由人本地完成？	可以且无需上传	AI 没有必要价值
能否改用合成数据？	可用于提示词和格式测试	只是图方便而索取真资料
哪些字段允许保留？	明确逐项列出	“只删明显秘密”
文件可发到哪里？	经批准的服务和账户	保留、共享或访问规则不明

如果无法自信写出 allowlist，就应停止。脱敏工具无法弥补不正当的数据用途。

步骤 2：保留母版并制作工作副本

把原始扫描件留在获批准的存储位置；条件允许时设为只读。另建工作副本，并使用不含姓名或证件号码的中性文件名，例如 document-working-copy.pdf。

英国国家档案馆建议在副本而非母版上执行脱敏，并要求被删信息不再留在文件的位流中。［2］这样既保护原始证据，也能在一次脱敏失败时直接弃用副本，而不破坏原件。

只记录操作所需的最小 provenance：母版记录 ID、工作副本日期、批准用途、字段 allowlist、软件与导出方式、复核人和删除期限。不要为了把文件送到编辑器而邮件给自己，也不要经过未经批准的云盘；传输路径本身就是暴露面。

步骤 3：盘点所有信息通道

护照扫描件不只是眼睛看到的文字。应盘点肖像、签名、护照号码、姓名、国籍、出生日期和地点、性别标记、签发和到期日期、签发机关、机读区、条码、印章、批注、缩略图、OCR 文字、元数据、图层、附件和文件名。

PDF 要测试能否选中和复制文字，并查看文件属性、页数、附件、评论、图层、表单字段和无障碍文本。图片则检查元数据，以及其他应用是否创建了 OCR 或可搜索的 sidecar。

盘点范围应故意大于 allowlist。这可以避免只盖住明显号码，却把同一号码留在 OCR 或机读区。若一页包含多份凭证或他人资料，应分离真正需要的页；无法安全分离时停止，不要临场设计复杂的部分披露。

步骤 4：上传 AI 前脱敏护照扫描件，不可逆地删除禁止字段

使用能删除底层内容的专用 redaction 功能，再按工具支持方式生成扁平化或清理后的新文件。不要只画黑框、加高亮、模糊、裁剪预览或覆盖文字框；这些做法可能只改变外观，原像素或字符仍能恢复。

严格按 allowlist 处理。若只需到期月份，就应删除肖像、签名、姓名、证件号、出生资料、国籍、签发资料、机读区和其他字段。更稳妥的做法往往是把允许值转录到一行文字，例如 expiry_month: 08，而不是保留半张护照。

NIST 对最小化的定义覆盖个人资料的创建、收集、使用、处理、保存和披露，并要求限制在相关且必要的活动。［3］所以脱敏必须同时缩减可见页面和文件内部结构。

NIST Privacy Framework 提供了识别和管理隐私风险的自愿框架。［4］可用它记录每个保留字段和传输为何必要、由谁批准，以及最终删除检查如何留痕。

步骤 5：清理导出文件

导出到新的候选文件，绝不覆盖母版，也不要把编辑器项目文件直接分享。选择获批准且可独立检查的格式。

逐项处理：

文档属性与作者字段；
评论、批注、隐藏图层、表单值和附件；
图片背后的 OCR 文字；
增量保存或旧修订；
内嵌缩略图和预览；
含身份资料的文件名与路径；
看似空白但含隐藏内容的页面；
临时导出和自动保存副本。

扁平化可以减少可编辑结构，但不是安全证明。扁平图片仍可能显示浅色文字、保留机读区或带有元数据。结构清理与视觉复核要作为两道独立控制。

步骤 6：主动尝试恢复隐藏信息

关闭编辑器，在干净工作区用另一款查看器打开最终候选。放大查看；在适当情况下调节对比度；全选并复制到纯文本编辑器；搜索已知片段；再对导出文件运行本地 OCR。不要为了测试而上传到另一个在线服务。

逐项对照 allowlist 和完整盘点表。最终结果必须同时满足：允许字段足够清晰，能完成有边界的任务；禁止字段无法被看见、选择、复制、搜索、提取，也不能从剩余布局轻易推断。

政策允许时，由第二个人复核高风险文件。把 allowlist 和最终候选交给复核人，不要只提示“我已经遮住护照号”，否则会让注意力过早收窄。

步骤 7：只通过经批准的渠道上传

上传前核对服务、账户、工作区、共享设置、保留控制、模型训练设置、插件或连接工具，以及组织政策。NIST 生成式 AI 风险框架把隐私、虚构、信息完整性和人工监督视为需要治理的风险，不能靠模型自信程度解决。［5］

只上传已验证的最终候选。不要在同一对话附上母版，也不要在提示词中补回身份背景，更不要同时附上预订、签证或银行记录，使模型重新拼出已删除信息。要求结构化输出，并规定缺失字段返回 NOT_VISIBLE 或 NOT_PROVIDED，不得猜测。

临时聊天或历史记录开关只能减少部分留存，并不能取代最小化。把 UI 标签当成删除保证前，应先了解临时 AI 聊天的隐私与保留限制。

步骤 8：核验结果并清理副本

只用允许字段或本地权威记录核对 AI 输出。看似正确的日期并不证明读取准确；应采用核查 AI 答案的方法。拒绝任务范围外的额外身份资料、猜测或转换。

条件允许时，只保存获批准的输出，不保留护照图像。按政策删除临时副本、本地 OCR 文本、预览、上传草稿、缩略图和工作文件。审计记录只写服务、用途、时间、批准输入版本、复核人、结果和删除动作，不要再次复制敏感内容。

总结

从有边界的任务和字段 allowlist 开始。
原件保持不变，只处理受控副本。
删除底层内容并清理导出结构。
用独立查看器、文字提取和本地 OCR 尝试恢复。
只把最小成品上传到获批准的服务。
核验输出并按政策删除工作副本。

常见问题

在护照资料上画黑框就够了吗？

不够。视觉覆盖层可能保留底层文字或像素。必须使用真正移除底层内容的功能、导出新文件，并测试隐藏资料能否被选择、复制、搜索或恢复。

AI 工具要求上传护照时应该照做吗？

不要自动照做。先确认它是否为获批准的身份核验渠道，以及完整证件是否确有必要。通用聊天机器人的请求本身不代表必要性或权限。

可以保留肖像，只遮护照号码吗？

只有获批准的任务确实需要肖像时才可以，而通用 AI 任务很少有这种需要。否则肖像也应与其他身份字段一起删除。

把 PDF 转成图片能清除隐藏文字吗？

可能会清除部分 PDF 文字对象，但不能证明图片安全。可见像素、元数据、缩略图、OCR sidecar 和机读区仍可能泄露资料。

可以用合成护照资料设计提示词吗？

可以。合成字段更适合测试 schema、指令和输出格式。样本应明显虚构，也不要复制真人的号码模式或肖像。

模型遇到已移除字段应该怎么回答？

应返回 NOT_VISIBLE 等明确缺失值，而不是根据上下文猜测。凡是重建或推断被删身份资料的输出都应拒绝。

临时聊天设置可信吗？

它只是服务控制之一，不证明绝无副本、日志、滥用监测记录或连接工具披露。任何上传前仍须最小化。

什么时候应停止而不是继续脱敏？

任务需要完整凭证、允许字段不清楚、工具无法不可逆删除，或上传目的地与保留规则未经批准时，都应停止。

免责声明：本文仅供一般信息参考，不构成法律、身份核验、隐私或技术建议。请遵守文件所有者政策和相关主管机关要求。

来源

ICO — Data minimisation — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/data-minimisation/
The National Archives — Redaction toolkit — https://www.nationalarchives.gov.uk/terms-and-conditions/takedown-and-reclosure-policies/reclosure-policy/redaction-toolkit/
NIST CSRC — Minimization — https://csrc.nist.gov/glossary/term/minimization
NIST — Privacy Framework — https://www.nist.gov/privacy-framework/privacy-framework
NIST — Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile — https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence

Sources checked 2026 年 9 月 12 日。

如何在上传 AI 前脱敏护照扫描件：删除底层内容并验证无法恢复