在論壇上問這個問題，你會得到兩種信心滿滿的答案：「他們當然什麼都賣」和「那是違法的」。兩者都不對，而兩者之間的落差，正是有用資訊所在。
「賣」包含三件不同的事
出售你的聊天內容。把對話紀錄交給第三方換錢，這很少見，在多數市場都有法律風險，而且一旦外洩當天就會上新聞。業者大聲否認，也沒有公開證據顯示有主流伴侶軟體這麼做。
把使用資料分享給廣告商。這是最常見的。嵌在軟體或網站裡的廣告與分析程式碼（軟體開發套件，也就是「SDK」）會回報你做了什麼、什麼時候、用哪台裝置。依加州的隱私法，為了跨情境的行為廣告而把個人資訊交給他人，算「分享」；以任何有價值的東西交換，則可能算「出售」。所以軟體可以誠實地說自己從未賣過你的對話，同時在法律意義上卻賣了你。
把資料交給服務提供者。代管伺服器的公司、產生回覆的模型供應商、向你信用卡收款的支付處理商。這些傳輸是產品運作所必需的，不算出售，但它們仍是你的資料在別人系統裡的副本。
還有第四條路被人遺忘：換老闆。幾乎每份政策都說，如果公司被出售，你的資料會轉移給買家。伴侶軟體 Soulmate 在 2023 年關閉前不久易主，請見當你的 AI 伴侶一夜之間改變。
唯一一次系統性稽核發現了什麼
2024 年 2 月，Mozilla Foundation 為它的 Privacy Not Included 指南評測了 11 款愛情 AI 聊天機器人，包括 Replika、Chai 和 EVA AI。它們在 Google Play 上合計約有 1 億次下載。每一款都得到 Mozilla 的隱私警告標籤。
2024 年 2 月 Mozilla 評測的 11 款軟體中，符合各項發現的比例。來源：Mozilla Foundation，Privacy Not Included。
追蹤器的數字是最驚人的部分。Mozilla 算出這些軟體在使用的第一分鐘內，平均有 2,663 個追蹤器，這個平均值被其中一款軟體 Romantic AI 大幅拉高，它在一分鐘內觸發了 24,354 個。第二高的 EVA AI 觸發了 955 個。
下結論前有兩點提醒。這是 2024 年初的快照，政策會變。而且今天主導這個類別的幾款軟體並不在樣本中。這份稽核的價值，與其說是對特定軟體的判決，不如說是它揭示了這個類別的預設狀態。
讀隱私權政策找出答案
你不需要讀完全部。搜尋幾個詞，讀每個詞周圍的那一段就好。
| 如果政策寫著 | 通常的意思 | 值得擔心嗎？ |
|---|---|---|
| 「We do not sell your personal information」 | 狹義上沒有出售。另外要查有沒有「share」 | 只有在也出現「share」時才要擔心 |
| 「Advertising partners」、「targeted advertising」 | 追蹤器依你的使用情形建立廣告檔案 | 要，盡可能選擇退出 |
| 「Our affiliates」 | 同一個擁有者旗下的其他公司，有時有很多軟體 | 要看擁有者是誰 |
| 「To improve our services」、「train」 | 你的對話可能被用來訓練模型 | 要，找找有沒有選擇退出 |
| 「Merger, acquisition or sale of assets」 | 公司被出售時，買家會拿到你的資料 | 很普遍，但要記住 |
| 「Where we believe disclosure is necessary」 | 無需法院命令就向主管機關揭露 | 要，如果沒有更窄的說明 |
頁尾標示為 「Do Not Sell or Share My Personal Information」或 「Your Privacy Choices」 的連結，本身就是個有用的線索。加州要求出售或分享個人資訊的業者必須提供，所以它的出現等於承認有某種分享，同時也給了你停止它的按鈕。
你今晚就能做的五分鐘檢查
- 搜尋政策中的 sell、share、advertis、train 和 affiliate。五次搜尋，五個段落。
- 看商店的標示。Apple 的「Data Used to Track You」與 Google Play 的「資料安全」區塊是由開發者自行填寫的，所以它們只是聲明，不是稽核；但在那裡承認有追蹤的軟體，實際上不會更好。
- 如果你用網頁版，在瀏覽器開啟 Global Privacy Control。加州規定要求業者把這個訊號視為拒絕出售與分享。
- 在 iPhone 上拒絕追蹤提示，並在 Android 上重設廣告 ID。
- 留意軟體有沒有顯示廣告。如果有，你的注意力與資料就是它付帳單的方式之一，請見AI 伴侶軟體如何賺錢。
法律在哪裡幫得上忙，又在哪裡停止
在台灣，個人資料保護法（個資法）第 3 條賦予你查詢或請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集處理或利用，以及請求刪除的權利，而且這些權利不能預先拋棄。業者必須在 15 日內處理查詢請求（可延長最多 15 日），30 日內處理更正或刪除請求（可延長最多 30 日）；提供複製本時，可以酌收合理的費用。2025 年 11 月公布的修正案預定設立個人資料保護委員會，但施行日期尚未訂定，在那之前，監督仍由主管機關與縣市政府負責。如果公司不回應，先向公司申訴，再向該產業的主管機關或縣市政府反映；入口可從 https://www.pdpc.gov.tw/ 開始查詢。
在美國加州，以及越來越多有綜合性隱私法的州，你可以要求知道蒐集了什麼、停止它的出售或分享，並要求刪除。在歐盟和英國，GDPR 給你同樣的權利，甚至更多，而且監管機關確實在使用它：義大利在 2025 年對 Replika 的營運商開罰 500 萬歐元，部分原因是它的隱私權政策沒有說明它如何處理使用者的資料。
美國各州針對 AI 伴侶的新法，詳見美國的 AI 伴侶法規，重點在揭露和危機處理，對資料幾乎沒有著墨。主要的例外範圍很窄：猶他州針對心理健康聊天機器人的法律，禁止它們出售或分享使用者的健康資訊，也禁止依使用者輸入的內容投放廣告。
誠實的答案
多數伴侶軟體不會賣你的對話。許多確實讓廣告與分析公司觀察你怎麼使用它們，而且幾乎全都保留了做比目前更多事情的權利。謹慎的軟體與草率的軟體之間的差別，在它的政策與設定裡看得到，只要五分鐘就能找到。在你輸入任何不想放進別人資料庫的內容之前，這五分鐘花得很值得，其餘的部分，由我們的四項隱私檢查補上。