8 月初，《纽约时报》记者 Sapna Maheshwari 发了一篇 Nanit 的特写（原文有付费墙，此为 Techmeme 条目，标题 “Aw, It’s Baby’s First A.I. Surveillance System”）。Nanit 的主打产品是一台架在婴儿床正上方的摄像头：高清画面传到服务器，机器学习算法记下宝宝每一次睁眼和闭眼的确切时刻，再汇总成图表——每晚一个 0 到 100 的睡眠分数、一个睡眠效率百分比、入睡用了几分钟、家长半夜被叫起来几次。

安全研究者 Bruce Schneier 转发这篇报道时，标题只用了三个词：Spyware for Babies，给婴儿的间谍软件。

这话听着刺耳。但先看规模，再看它刺不刺耳。

这不是小众玩具

Nanit 自称有 100 万日活用户、年收入超过 1 亿美元（《纽约时报》报道中的公司口径）。2025 年 12 月，它完成了 5000 万美元的增长轮融资，由 Springcoast Partners 领投，Upfront Ventures 和 JVP 跟投。

钱的用途写得很直白：2026 年推出一套「Parenting Intelligence System」（育儿智能系统），在睡眠之外追踪呼吸模式、动作特征、大运动里程碑、语音和语言发展，还要识别「预示代谢、情绪或认知挑战的趋势」。官方新闻稿里的两个数字更说明方向（均为公司自报口径，无独立验证）：Nanit 称已累计采集 100 多个国家、超过 50 亿小时的婴儿睡眠数据；超过 70% 的活跃摄像头用户在孩子满 4 岁后还在继续用。CEO Anushka Salinas 的原话是：「我们设想一个未来，人们可以追踪和调取自己从出生到 100 岁的完整健康数据。」

从出生到 100 岁。婴儿监视器这个品类从 1937 年的 Zenith Radio Nurse 算起已经存在近九十年，此前它一直是个传输设备：床边一个麦克风，家长手边一个喇叭，孩子哭了你能听见，仅此而已。Nanit 做的事在商业上换了物种——设备只是入口，生意是数据平台。《纽约时报》挖到的一个细节把这层意图说破了：为 Nanit 做品牌的咨询公司在案例研究里写，这个项目的核心挑战是「如何把这项新技术引入育儿市场，同时超越『监控』一词的负面含义」。

政策文本里的采集清单

判断一款产品，比营销页可靠的是它的隐私政策，因为那是写给监管者看的。我通读了 Nanit 的隐私政策（最近一次更新是 2026 年 2 月 10 日），采集清单大致分三层：

关于家长：姓名、邮箱、电话、支付信息、IP 地址，还有你家 WiFi 网络的名称。关于孩子：姓名、头像、性别、出生日期，以及家长手动记录的照护日志。关于婴儿房：视频和音频录制、温度、湿度，并用计算机视觉分析睡眠中的呼吸动作。

数据用途一栏里，除了提供服务，还有一句标准但值得逐字读的表述：基于「正当利益」开展「直接营销、研究与开发」，包括「custom audiences 广告和跨设备追踪」。这两个词需要翻译一下。custom audiences（自定义受众）是广告行业的通行工具：广告主把手里的用户名单（邮箱、电话）上传给广告平台，平台在自己的用户库里匹配出同一批人，再向他们精准投放——Meta 的官方文档对这套匹配流程有完整描述。跨设备追踪则是把你在手机、平板、电脑上的行为拼成同一个人的画像。Nanit 的政策没有写明合作的是哪家平台，但这两类做法都白纸黑字列在了数据用途里。把范围说准：政策并没有说视频或睡眠测量数据本身被用于广告投放；它确凿写明的是，一个哄睡工具收集的个人信息，进入了定向广告的链路。

「我们不出售个人信息」这句 Nanit 说了，但要读全。政策原文的表述是：按加州消费者隐私法（CCPA，美国最早的综合性州级隐私法之一）的定义不构成「出售」，但同时承认，它使用的第三方分析工具「可能被解释为出售」。CCPA 对「出售」的法定定义比日常语义宽：为「金钱或其他有价值的对价」向第三方转移个人信息都算，不一定要收钱。所以这句免责声明的准确读法是：Nanit 主张自己的做法够不上 CCPA 定义的「出售」，但它同时承认，数据确实在向第三方分析和广告服务商流动。

另外两点：政策没有给出具体的数据保留期限，只说保留「与使用服务的时间一致或达成收集目的所必需」；政策明确写了不响应浏览器的 DNT（Do Not Track，「请勿追踪」）信号。我还专门找了有没有条款明确限制把视频、音频用于训练 AI 模型——没有找到。

安全做得不差，但安全不等于隐私

要说公道话：Nanit 的安全页列的措施在消费级产品里算认真的。视频流用 256 位 AES 加密；视频流是单向推送——由 Nanit 的服务器推送到你的设备，外部无法直接从摄像头拉流；两步验证（登录时除密码外还需第二重验证）是强制的，不是可选项；公司声明普通员工无权访问用户视频流；云端存储录像需要用户主动订阅 Insights 计划才开启。

但这些措施回答的问题是「外人能不能偷看」。隐私的核心问题是另一个：公司自己拿这些数据做什么。加密挡得住黑客，挡不住商业模式。这两个问题经常被产品页混在一起说，家长评估时得拆开。

还有第三个容易被忽略的问题：数据本身准不准。《纽约时报》的报道里提到，摄像头会把实际没发生过的探视和哭闹也记录在案。哥伦比亚大学儿科医生 Rebekah Diamond 在报道中的担忧则更根本：「家长正在失去一点自己判断和决策的肌肉。」当一个分数每天早上告诉你昨晚带娃带得好不好，你会慢慢用它替代自己的观察——哪怕分数的口径你并不了解。

监管为什么接不住

美国现有的隐私法框架，对这类产品几乎是空转的，原因值得拆开看。

HIPAA（美国医疗隐私法）管的是「涵盖实体」：医疗保险计划、医院诊所这类医疗服务提供者、医疗信息交换机构，以及它们的业务伙伴。Nanit 采集呼吸、睡眠这些高度类医疗的数据，但它是消费电子公司，不在 HIPAA 管辖范围内。触发条件看的是数据在谁手里，不是数据本身是什么：同样的测量数据在医院手里受 HIPAA 严格保护，从婴儿床上方的摄像头里出来，剩下的约束就是公司自己的隐私政策，加上 FTC 对不公平或欺骗性数据行为的执法权和各州隐私法拼成的补丁网——保护强度差了一个量级。

COPPA（儿童在线隐私保护法）看起来对口，实际也接不住。它的核心机制是「可验证的家长同意」——防的是公司绕开家长、在线向孩子本人偷偷收集数据。但按 FTC 的官方解释，COPPA 只覆盖从儿童本人在线收集的信息，成年人主动提供的关于孩子的信息不在覆盖范围内。婴儿监视器的场景里，买摄像头、装摄像头、录入孩子生日的都是家长，按 FTC 的口径这属于成年人主动提供的信息。至于摄像头自动录下的内容本身能不能落入 COPPA，取决于服务是否算「面向儿童」等具体事实认定，我不假装能在这里给出定论。可以确定的是：COPPA 设计时假设家长是孩子隐私的守门人，没有预想到「家长主动把数据交出去」这种结构。而数据的真正主体——那个婴儿——无法亲自主张任何权利：在之后的许多年里，各州隐私法赋予的权利都由家长代为行使，而家长正是装摄像头的那个人。如果摄像头一直用下去，等孩子大到能表达反对时，档案可能已经积累了整个童年。

家长可以问的三个问题

落到可操作的层面，评估这类产品，我认为要问三个问题。

一，数据在哪里处理。只在设备本地分析、不上传，和上云存储分析，是两种风险等级。Nanit 的模式是云端；市面上也有不联网的本地监视器——比如 eufy 就有这类产品，摄像头和家长端屏幕直连，画面不经过互联网。买之前先弄清这一点。

二，公司靠什么赚钱。硬件加订阅费是一种模式，数据变现是另一种。判断依据不听宣传，看隐私政策里有没有营销、广告、第三方共享条款——上面拆过，Nanit 的政策里这些都有。

三，退出成本多高。能不能删除数据？（Nanit 提供删除请求通道 privacy@nanit.com。那句「45 天」要细读：政策承诺的是，如果拒绝执行你的请求，会在 45 天内告知你——而不是所有删除都在 45 天内完成。）隐私政策写明公司可自行决定随时修订，今天的承诺不约束明天的版本；公司将来被合并、收购或出售资产时，数据可能作为资产一并转移——这一条不用推测，Nanit 的政策里就有对应条款。评估任何一家创业公司的数据承诺时，都该把这两条计入。

还有一条通用的读法：把功能清单当成采集清单读。产品页上每多一项「洞察」——呼吸监测、语言发展、情绪趋势——背后可能就需要一条新的数据流支撑；是否真的如此，要对照厂商的文档和隐私政策逐项核实。除非厂商明确说明新功能只用既有数据、只在设备本地运算，否则应把功能升级当作潜在的采集升级看待。

婴儿数据和成人数据有两点本质不同：当事人无法同意，以及不可重置。密码泄露可以改密码——用 NIST 谈生物特征时的说法，「改掉泄露的密码很容易，但改掉你的生物特征信息不行」。一个人从出生第一天起的呼吸模式、睡眠曲线、语言发展轨迹属于同一类：没有「重置」一说，一旦泄露，能做的补救非常有限。当 Nanit 的 CEO 说「从出生到 100 岁」时，她描述的既是产品愿景，也同样是融资故事的核心——那 50 亿小时的睡眠数据，就摆在 5000 万美元融资新闻稿的显眼位置。摄像头本身不是问题，问题是 Nanit 这样的头部产品已经把「从第 0 天开始建档、由别人代为同意」做成了默认设置——而默认设置，从来是最难被重新谈判的东西。

参考来源