在論壇上問這個問題，你會得到兩種信心滿滿的答案：「他們當然什麼都賣」和「那是違法的」。兩者都不對，而兩者之間的落差，正是有用資訊所在。
「賣」包含三件不同的事
出售你的聊天內容。把對話紀錄交給第三方換錢，這很少見，在多數市場都有法律風險，而且一旦外洩當天就會上新聞。業者大聲否認，也沒有公開證據顯示有主流伴侶軟件這麼做。
把使用資料分享給廣告商。這是最常見的。嵌在軟件或網站裡的廣告與分析程式碼（軟件開發套件，也就是「SDK」）會回報你做了什麼、什麼時候、用哪台裝置。依加州的私隱法，為了跨情境的行為廣告而把個人資訊交給他人，算「分享」；以任何有價值的東西交換，則可能算「出售」。所以軟件可以誠實地說自己從未賣過你的對話，同時在法律意義上卻賣了你。
把資料交給服務提供者。代管伺服器的公司、產生回覆的模型供應商、向你信用卡收款的支付處理商。這些傳輸是產品運作所必需的，不算出售，但它們仍是你的資料在別人系統裡的副本。
還有第四條路被人遺忘：換老闆。幾乎每份政策都說，如果公司被出售，你的資料會轉移給買家。伴侶軟件 Soulmate 在 2023 年關閉前不久易主，請見當你的 AI 伴侶一夜之間改變。
唯一一次系統性稽核發現了什麼
2024 年 2 月，Mozilla Foundation 為它的 Privacy Not Included 指南評測了 11 款愛情 AI 聊天機械人，包括 Replika、Chai 和 EVA AI。它們在 Google Play 上合計約有 1 億次下載。每一款都得到 Mozilla 的私隱警告標籤。
2024 年 2 月 Mozilla 評測的 11 款軟件中，符合各項發現的比例。來源：Mozilla Foundation，Privacy Not Included。
追蹤器的數字是最驚人的部分。Mozilla 算出這些軟件在使用的第一分鐘內，平均有 2,663 個追蹤器，這個平均值被其中一款軟件 Romantic AI 大幅拉高，它在一分鐘內觸發了 24,354 個。第二高的 EVA AI 觸發了 955 個。
下結論前有兩點提醒。這是 2024 年初的快照，政策會變。而且今天主導這個類別的幾款軟件並不在樣本中。這份稽核的價值，與其說是對特定軟件的判決，不如說是它揭示了這個類別的預設狀態。
讀私隱權政策找出答案
你不需要讀完全部。搜尋幾個詞，讀每個詞周圍的那一段就好。
| 如果政策寫著 | 通常的意思 | 值得擔心嗎？ |
|---|---|---|
| 「We do not sell your personal information」 | 狹義上沒有出售。另外要查有沒有「share」 | 只有在也出現「share」時才要擔心 |
| 「Advertising partners」、「targeted advertising」 | 追蹤器依你的使用情形建立廣告檔案 | 要，盡可能選擇退出 |
| 「Our affiliates」 | 同一個擁有者旗下的其他公司，有時有很多軟件 | 要看擁有者是誰 |
| 「To improve our services」、「train」 | 你的對話可能被用來訓練模型 | 要，找找有沒有選擇退出 |
| 「Merger, acquisition or sale of assets」 | 公司被出售時，買家會拿到你的資料 | 很普遍，但要記住 |
| 「Where we believe disclosure is necessary」 | 無需法院命令就向主管機關揭露 | 要，如果沒有更窄的說明 |
頁尾標示為 「Do Not Sell or Share My Personal Information」或 「Your Privacy Choices」 的連結，本身就是個有用的線索。加州要求出售或分享個人資訊的業者必須提供，所以它的出現等於承認有某種分享，同時也給了你停止它的按鈕。
你今晚就能做的五分鐘檢查
- 搜尋政策中的 sell、share、advertis、train 和 affiliate。五次搜尋，五個段落。
- 看商店的標示。Apple 的「Data Used to Track You」與 Google Play 的「資料安全」區塊是由開發者自行填寫的，所以它們只是聲明，不是稽核；但在那裡承認有追蹤的軟件，實際上不會更好。
- 如果你用網頁版，在瀏覽器開啟 Global Privacy Control。加州規定要求業者把這個訊號視為拒絕出售與分享。
- 在 iPhone 上拒絕追蹤提示，並在 Android 上重設廣告 ID。
- 留意軟件有沒有顯示廣告。如果有，你的注意力與資料就是它付帳單的方式之一，請見AI 伴侶軟件如何賺錢。
法律在哪裡幫得上忙，又在哪裡停止
在香港，個人資料（私隱）條例（私隱條例，第 486 章）第 19 條賦予你向業者提出查閱資料要求的權利：業者須在 40 天內依從，做不到的話也要在 40 天內書面說明；拒絕時須在 40 天內以書面說明理由（第 20 條、第 21 條）；業者可以收取不過高、且與處理要求直接相關和必要的費用（第 28 條）。如果公司不回應，先向公司投訴，再以書面向個人資料私隱專員公署（PCPD）投訴，入口可從 https://www.pcpd.org.hk/english/complaints/how_complaint/complaint/complaint.html 開始。PCPD 在 2026 年 1 月 15 日也提醒市民，除非必要，不要向聊天機械人提供個人資料，並要細讀私隱政策。
在美國加州，以及越來越多有綜合性私隱法的州，你可以要求知道蒐集了什麼、停止它的出售或分享，並要求刪除。在歐盟和英國，GDPR 給你同樣的權利，甚至更多，而且監管機關確實在使用它：義大利在 2025 年對 Replika 的營運商開罰 500 萬歐元，部分原因是它的私隱權政策沒有說明它如何處理用戶的資料。
美國各州針對 AI 伴侶的新法，詳見美國的 AI 伴侶法規，重點在揭露和危機處理，對資料幾乎沒有著墨。主要的例外範圍很窄：猶他州針對心理健康聊天機械人的法律，禁止它們出售或分享用戶的健康資訊，也禁止依用戶輸入的內容投放廣告。
誠實的答案
多數伴侶軟件不會賣你的對話。許多確實讓廣告與分析公司觀察你怎麼使用它們，而且幾乎全都保留了做比目前更多事情的權利。謹慎的軟件與草率的軟件之間的差別，在它的政策與設定裡看得到，只要五分鐘就能找到。在你輸入任何不想放進別人資料庫的內容之前，這五分鐘花得很值得，其餘的部分，由我們的四項私隱檢查補上。