自動偵測會漏。Review 才算完成
前陣子在看 privacy feature rollout，我又遇到一個 product trap：團隊把 auto-detection 做得很漂亮，使用者卻把它理解成 guarantee。簡報上只差一句話，出了 incident 之後，責任和信任成本差非常多。
Simon Willison 的 Photo Scrubber 有個好設計。流程是 Choose a photo、Review redactions、Save clean copy，全程 local processing，不上傳原檔。它用 BlazeFace 找臉，允許手動畫框、調整 padding，或改用 solid cover。匯出前要勾選已完整 review，並確認 metadata 已移除。限制也寫得很清楚，最大 75MB，預設 threshold 35%。
工具只是引子，值得學的是它把人的判斷放進 workflow，而不是藏在 FAQ 裡。Privacy product 的 acceptance criteria，我會拆成三層。
第一層是 detection coverage。拿一組有正臉、側臉、遠景、反光、遮擋的測試集，逐張記錄 false negative。不能只報「準確率 96%」，因為使用者在意的是那 4% 會不會剛好出現在最敏感的照片。
第二層是 human review。Review page 要讓人知道系統找到什麼，也提醒系統可能漏掉什麼。除了臉，衣服、刺青、文字、背景都可能辨識身分。若介面只畫幾個框，再放一個有安全感的綠色勾勾，使用者自然會把它當成 clearance。這是 UX wording 和 visual hierarchy 的問題，不是 user training 不夠。
第三層是 export gate。原檔和 clean copy 要分開，匯出前確認「我已檢查所有可能識別資訊」，並重新查看 metadata。Enterprise 導入時，我會把這步寫進 SOP 和 audit log，記錄誰在什麼時間完成 review，必要時要求第二人 approval。
我以前看過一個踩坑案例，團隊把自動遮罩當成 release blocker 的唯一條件，demo 測試都通過，上線後卻有人像在角落只露出半張臉，沒有被抓到。後來大家想加更多 model，卻沒先問：誰對最後一份檔案的 privacy risk 擁有 ownership？
我的 take 是，人工 review 不代表產品不夠 intelligent，反而代表 system boundary 定義得夠誠實。驗收至少跑三個反例：漏臉、metadata 殘留、模糊後仍能從背景辨識身分。三個都能被使用者發現並處理，才有資格說流程可用。自動化可以省時間，但最後那個「可以匯出」的按鈕，應該建立在人的判斷上。
作者：Vivian L