餐厅使用 AI 点餐时如何保护顾客隐私
餐厅使用 AI 点餐时如何保护顾客隐私
顾客在 AI 点餐屏说出过敏史，系统顺手把偏好与手机号存进营销数据库。餐厅提供便利，不等于有权永久保存健康线索和用餐习惯。
顾客隐私在点餐环节往往被“默认同意”吞掉：为了领优惠券不得不授权手机号、位置和购物历史。门店可以让基础点餐与营销分开，不登录也能付钱。模型根据当前购物篮推荐菜品，不一定需要多年个人历史。涉及过敏信息时，可只保留本次订单所需标记，既服务安全，也减少长期敏感数据库存。
点餐数据最容易在“服务改进”名义下扩大用途。顾客为了避免过敏填写信息，餐厅若拿去推荐所谓健康产品，可能暴露隐私也误导消费。用途应分开授权，健康线索默认不用于营销。模型提供本次点餐建议时尽量在当前会话处理，订单结束后只保留满足安全、财务与争议处理需要的部分，期限届满删除。
点餐时只收完成订单所需信息，过敏提示在厨房流转到出餐结束即可按规则删除。推荐与营销要单独同意，用户不登录也能正常买餐。摄像头识别年龄或情绪若与点餐无关，就不该默认开启。与外部模型供应商签明日志、训练和删除范围。员工访问订单按岗位限制。
外包服务商的语音或图像识别可能留有原始记录。餐饮企业要查合同、日志期限和训练用途，确保删除请求能传达到供应商。收银员也应知道不能为“帮顾客点得快”随意查看旧订单。一次泄露足以让人不愿再透露真实过敏风险，隐私与食品安全并非无关两事。
店员的访问同样要分层。厨房看到必须避开的过敏原，不需要看到顾客完整病史；客服处理退款看到订单，不需要长期浏览所有用餐记录。外部语音服务若保留原声，企业须核查并提供关闭或替代方式。顾客希望匿名购买一杯咖啡，应能不登录完成。
顾客只想点一份面，却必须填生日和手机号才可付款，这是设计选择，不是 AI 的必要条件。企业可提供访客点餐，订单完成后删除非必要信息。若顾客为过敏提醒提供了健康线索，它也不能进入优惠券画像。一次简单的匿名购买测试，能验证隐私承诺是否真实。
对过敏信息的处理还需考虑订单打印纸。纸单留在出餐台，任何人都可能看到顾客健康备注。只打印厨房需要的提示，收工后按规则销毁，比把敏感信息写进全员可查的订单历史更稳妥。
隐私做得好，也会让顾客更愿意说出真正重要的食品安全需求。两者并非此消彼长，而是可以通过最小必要数据一起做好。
评价隐私措施，不只看政策文字，实际试一次撤回授权、删除历史和匿名点餐。让顾客放心选择一顿饭，比多拿一份精细画像更值得。
