摘要：404 Media用一枚AirTag把纸质书采购、转运与扫描链条重新带入公众视野。真正重要的并非一场“追踪奇闻”，而是AI训练数据合规正在从抽象版权争论转向可验证的来源、授权、加工与证据留存。
一枚藏在书里的 AirTag，意外把生成式 AI 最难回答的问题具象化了：模型吃进去的海量文字，究竟从哪里来？
404 Media 的调查沿着定位记录追踪一批纸质书的流向，线索最终抵达与大规模图书处理、数字化作业有关的设施。Ars Technica 随后梳理了报道、相关员工讨论及亚马逊的公开回应。事件迅速被概括为“纸质书被送去训练 AI”，但现有公开证据并不足以完成如此直接的因果闭环。
能够确认的是物流轨迹、设施和扫描环节等调查线索；员工对项目用途的讨论属于重要旁证；“扫描所得文本进入某个模型的训练集”则仍是需要进一步证明的推断。亚马逊方面也对相关联想作出否认或澄清。谨慎区分这几层事实，不会削弱事件价值，反而揭示了真正的产业变化：训练数据合规正在从“有没有版权风险”，进入“能不能说明每一批数据的来源、权利基础和加工过程”的来源可追溯时代。
一、AirTag证明了什么，又没有证明什么
这类调查最容易被标题压缩成一条简单叙事：书被追踪到扫描设施，因此书被扫描，因此扫描文本用于训练 AI，因此相关企业违法。问题是，这四个“因此”分别需要不同证据。
第一层是调查事实。AirTag 的定位记录可以说明携带它的物品在若干时间点出现于何处；现场观察、企业登记、招聘信息和供应链资料，可以帮助识别设施运营者及其业务范围。它们能建立书籍采购、转运和加工之间的空间联系。
第二层是人员陈述与内部讨论。员工谈及扫描、数据项目或 AI，用途判断由此变得更有根据，但仍要考虑发言者是否直接参与项目、是否掌握最终客户和下游用途。员工把项目称作“AI 项目”，不等于其了解模型训练的全部流程。
第三层是技术与商业推断。拆脊、扫描、OCR、质量检查确实是建设大规模文本语料库的典型工序，但数字化文本也可能用于搜索、索引、无障碍服务、电子归档、版权核验或其他数据产品。
最后一层才是法律评价。即使证实材料用于训练，也不能仅凭“未经逐本许可”就直接断言违法。适用法律、作品来源、购买方式、许可合同、复制范围、留存方式、输出替代性以及合理使用抗辩，都会改变结论。
因此，404 Media 与 Ars 报道最稳妥的意义，是发现了一条值得继续核查的物理供应链，而不是已经替法院完成定性。亚马逊的公开回应同样应被纳入记录：企业否认特定训练用途或否认相关项目联系，并不能自动消除外界疑问，但在出现合同、数据清单、任务单或模型训练日志之前，也不应被无证据地排除。
二、为什么AI公司重新买回了纸质书
互联网曾让行业相信，训练数据只是一个网络抓取问题。实际上，优质长文本越来越成为稀缺资产。公开网页充满重复转载、广告、机器翻译、SEO 内容和 AI 生成文本；出版物却往往经过作者写作、编辑加工、事实核查和结构化组织。对模型开发者而言，纸质书代表的是高密度、长距离、相对干净的人类表达。
纸书数字化通常采用破坏性扫描：先切除或磨掉书脊，将页面分离，再由高速馈纸扫描设备连续采集图像，经过 OCR、版面分析、章节切分、语言识别和去重，最后形成可检索文本。这样做牺牲单本图书，却能显著提高吞吐量、降低人工翻页成本。美国法院在 Anthropic 图书案披露的事实中，就记录了该公司购买大量纸质书、拆解扫描并丢弃纸本的做法。
但“合法买到一本书”与“取得无限复制和训练许可”并不是同一个概念。购买通常转移的是该实体复制件的所有权；扫描会制造新的数字复制件，训练又会把文本投入计算流程。企业可能主张这些复制具有转换性、属于中间技术使用，权利人则会强调复制规模、授权市场和对原作市场的影响。争议的关键从来不是碎纸机本身，而是从购买到扫描、从扫描到训练的每一步是否具有可说明的权利基础。
三、几起图书案件划出的并不是一条直线
围绕书籍数字化和 AI 训练，美国判例正在形成复杂而非二元的边界。
早期的 Authors Guild v. Google 认可 Google Books 为检索和片段展示而大规模扫描图书具有转换性，构成合理使用。它说明“复制整本”并不必然败诉，但该案强调的是搜索功能、有限片段展示与公共利益，不能直接等同于所有训练场景。
与之相对，Hachette v. Internet Archive 中，法院否定互联网档案馆在受控数字借阅框架下扫描并出借完整电子副本的合理使用主张。判决提醒行业：把纸本转为数字本，并不会因为设置“一本一借”机制就天然获得豁免，尤其当数字副本直接替代出版社授权的电子书市场时。
AI 领域最有代表性的是 Bartz v. Anthropic。联邦地区法院在 2025 年的简易判决中，将不同数据取得路径拆开分析：使用作品训练大模型被认定具有高度转换性；对依法购买的纸书进行破坏性扫描、建立内部数字库，也获得了有利判断；但从盗版影子图书馆下载数百万册作品，不能因为后来可能用于训练就被“洗白”为合理使用。案件此后围绕盗版来源作品达成巨额和解，更进一步证明：用途可能具有转换性，不等于取得手段不受审查。
同年 Kadrey v. Meta 的裁判也不应被解读成“训练一律合法”。法院更接近于认为特定原告没有就市场损害建立足够证据，并明确限制判决的外推范围。LibGen、Books3 等语料争议则持续暴露另一个现实：模型开发者也许能论证训练用途，却很难为匿名上传、盗版下载、版本混合和二次转包建立完整合法来源。
这组案件共同给出的不是统一答案，而是一套审查顺序：先问作品怎么得到，再问复制了什么、保存多久、用于何处，最后评估输出和市场影响。企业若只准备一份宏观“合理使用”意见，却说不清具体数据从何而来，诉讼时会首先输在证据层。
尤其需要警惕把“合理使用”当作采购部门的一张通行证。合理使用在美国法下是结合具体事实作出的抗辩，不是一项预先颁发、可由供应商向下游转售的许可证。同一部作品，通过出版社授权库取得、从二手市场购买后扫描、从影子图书馆下载，可能面临完全不同的判断；同一批文本，用于内部统计检索、基础模型预训练、向用户返回大段原文，也可能产生不同风险。企业真正需要的不是一句覆盖全部未来用途的结论，而是按来源和用途分层：明确许可的数据优先进入核心训练池；合理使用依据较强的数据进入受控池并保留评估；来源不明、疑似盗版或合同禁止机器学习的数据进入隔离区。随着模型能力和产品输出方式变化，旧结论还应定期复核。
这也解释了为什么来源追溯同时服务于法务和工程。出现作品记忆、长段复现或权利人投诉时，团队若知道相关样本属于哪个批次，就能定向检查去重、过滤、训练参数和输出防护；如果所有文本早已被混成一个没有标识的巨型语料库，企业不仅难以举证，也很难采取精准补救。
四、采购链条不等于授权链条
大型训练项目往往由多级供应商共同完成：采购商收书，物流商转运，扫描承包商生成图像，OCR 厂商提取文本，数据服务商清洗标注，云平台存储，模型团队再按版本调用。每一方都可能只看到局部任务，于是形成一种危险错觉：上游说“书是买来的”，中游说“客户保证合规”，下游说“数据由供应商提供”。
采购发票只能证明实体书从谁手中购得，不能单独证明数字复制、机器学习使用、跨境传输和长期留存均获授权。供应商合同中的一句“数据合法合规”也不够。企业至少要追问：卖方是否拥有转授权权利；作品是正版购买、许可数据库、公共领域还是网络下载；是否混入盗版镜像；允许的用途是否包含模型训练和模型改进；合同终止后是否必须删除；权利人退出请求如何传递到已经加工的衍生数据。
AirTag 事件之所以具有象征性，正因为它用消费级硬件完成了企业常常没有完成的事：给一件数据原料留下可追踪路径。现实中的数据治理当然不能靠每本书放追踪器，而应建立数字化的“物料清单”。
五、数据谱系要能回答七个问题
一套可审计的训练数据谱系，至少应为每个数据批次保存七类信息：
- 来源身份：作品、版本、ISBN、网页地址、数据库或档案集合，以及获取日期；
- 取得方式：购买、直接许可、开放许可、公共领域、用户提交或网络抓取；
- 权利依据：合同编号、许可范围、合理使用分析、地域与期限限制；
- 加工记录：扫描、OCR、纠错、去重、过滤、标注和内容安全处理；
- 流转关系：供应商、分包商、存储位置、跨境传输和访问主体；
- 使用范围：进入哪次预训练、微调、评测或检索库，对应哪个模型版本；
- 处置状态：原始文件与中间副本保存多久，何时删除，退出和权利请求如何执行。
技术上可以为批次生成不可变 ID，对原始文件计算哈希，在对象存储、数据湖、训练作业和模型登记表之间传递 lineage 标签。删除请求也不能只删一份源文件，而要沿谱系找到 OCR 文本、切片、去重集合、训练快照和评测集。对于已经完成训练的模型，企业还需记录为何无法简单“删除一个样本”，以及未来重训、机器遗忘或版本退役采用什么补救方案。
证据留存同样关键。订单、发票、许可文本、供应商尽调、数据清单、处理日志、访问记录和法律评估应按批次关联，并设置防篡改保存。真正有效的审计不是事故发生后让员工翻邮件，而是可以在数小时内导出一份来源档案，说明某批数据的来路、去向和决策责任人。
六、模型卡之外，还需要可核查的数据卡
模型卡擅长说明模型用途、能力边界、评测结果和已知风险，却通常不足以证明训练材料的权利链。企业需要与模型卡配套的数据卡或数据说明书，并将外部公开版与内部审计版分层。
公开版可以披露数据类型、主要来源类别、时间范围、语言分布、过滤原则、是否使用受版权保护内容、权利人联系与退出机制。内部版则应下钻到数据集、批次乃至作品级记录。欧盟《人工智能法》要求通用 AI 模型提供者建立版权政策，并公开足够详细的训练内容摘要，这一方向已经把“完全保密的训练黑箱”变成越来越难维持的合规策略。
供应商声明也要从口号升级为可验证承诺。合同应要求对方提供来源清单、许可证明和分包商名单，禁止未经批准混入影子图书馆或抓取数据；约定审计权、异常通知、赔偿责任、删除证明和监管配合；抽样时不仅检查文本质量，还要反查 ISBN、版本和文件指纹。对于高风险语料，企业应保留源文件隔离区，在法律和数据治理双重放行前不得进入训练池。
七、企业训练数据治理应从“集”走向“账”
过去，模型团队关心的是数据集有多大、困惑度下降多少；法务关心的是合同里有没有保证条款；采购关心的是交付时间和价格。三者各自优化，最终留下一个没人能完整解释的训练集。
下一阶段的治理核心应是一套统一台账：采购系统记录权利来源，数据平台记录加工谱系，模型注册表记录实际使用，法务系统记录风险结论，投诉系统把权利请求反向关联到数据和模型版本。新数据进入训练前，应同时通过质量、安全、隐私和版权闸门；来源不明的数据不是“低质量数据”，而是不得上线的隔离资产。
董事会和管理层也需要看到可量化指标，例如可追溯数据占比、具有明确许可的数据占比、供应商证据完整率、来源异常数量、删除请求闭环时间、每个模型版本未决版权风险。只有当这些指标进入发布门禁，数据合规才不再是一份发布前临时补写的法律备忘录。
AirTag 调查真正留下的警示，不是“所有扫描书都违法”，也不是“只要买过纸书就可以训练”。它揭示的是，物理世界的采购、仓储和碎纸流程，正在成为 AI 数据供应链的一部分；而一旦企业无法把实物流、数据流、合同流和模型流对齐，任何一张定位截图、员工聊天记录或供应商文件，都可能成为外界重建事实链条的起点。
未来决定企业能否承受诉讼和监管审查的，未必是它能否提出最宏大的合理使用理论，而是能否平静、迅速、逐批次地回答一句朴素的问题：这份训练数据从哪里来？
参考资料
- 404 Media，《We Tracked a Shipment of Rare Books. It Ended at an Amazon AI Training Facility》，2026 年 8 月（部分内容受订阅限制，本文仅采用公开摘要和可交叉核验信息）：https://www.404media.co/we-tracked-a-shipment-of-rare-books-it-ended-at-an-amazon-ai-training-facility/
- Ars Technica，《Hidden AirTag reveals Amazon is trashing rare books to train AI》，2026 年 8 月：https://arstechnica.com/tech-policy/2026/08/hidden-airtag-reveals-amazon-is-trashing-rare-books-to-train-ai/
- Amazon 面向媒体就相关图书流向和用途所作回应，见 Ars Technica 上述报道。本文将其作为企业立场记录，不将其等同于独立审计结论。
- Bartz v. Anthropic PBC, No. 3:24-cv-05417-WHA（N.D. Cal.），2025 年 6 月简易判决裁定：https://law.justia.com/cases/federal/district-courts/california/candce/3:2024cv05417/434986/
- U.S. District Court, Northern District of California，Bartz v. Anthropic 案卷（CourtListener 汇总）：https://www.courtlistener.com/docket/69069321/bartz-v-anthropic-pbc/
- Kadrey v. Meta Platforms, Inc., No. 3:23-cv-03417-VC（N.D. Cal.），2025 年 6 月简易判决裁定：https://www.courtlistener.com/docket/67569326/kadrey-v-meta-platforms-inc/
- Authors Guild v. Google, Inc., 804 F.3d 202（2d Cir. 2015）：https://law.justia.com/cases/federal/appellate-courts/ca2/13-4829/13-4829-2015-10-16.html
- Hachette Book Group, Inc. v. Internet Archive, 115 F.4th 163（2d Cir. 2024）：https://law.justia.com/cases/federal/appellate-courts/ca2/23-1260/23-1260-2024-09-04.html
- European Union, Regulation (EU) 2024/1689（Artificial Intelligence Act），通用 AI 模型透明度与版权义务：https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0)：https://www.nist.gov/itl/ai-risk-management-framework