AI 治理、政策与风险：框架、模板与工具
AI 治理是组织为确保 AI 被安全、合规、按预期使用而建立的一套政策、角色与控制措施，涵盖哪些工具获准使用、数据如何保护、风险如何评估以及由谁负责。本栏目讲解 NIST AI 风险管理框架等主要框架，并提供实用的模板与检查清单。
员工采用 AI 工具的速度，往往快于组织制定规则的速度。缺乏治理时，敏感数据会流入面向个人的应用，没人清楚哪些工具在用，受 AI 影响的决策也无法解释或审计。治理不必拖慢采用；做得好，它能为员工提供一条清晰、获批的 AI 使用路径。
一套务实的治理方案包括几个部分：AI 工具与用例清单、可接受使用政策、针对高风险用途的风险评估、供应商审查以及持续监控。公开框架有助于组织这些工作。2023 年 1 月发布的 NIST AI 风险管理框架 1.0 将其分为治理、映射、衡量和管理四项职能；ISO/IEC 42001 则规定了 AI 管理体系的要求。
在部分市场，监管提出了硬性要求，例如以第 (EU) 2024/1689 号条例形式通过的欧盟《人工智能法》；只要涉及个人数据，数据保护法律同样适用于 AI 的使用。本栏目仅供学习参考，不构成法律意见，请就所在司法辖区的义务咨询专业律师。
你将学到
- AI 治理涵盖哪些内容，在组织中由谁负责
- NIST AI 风险管理框架和 ISO/IEC 42001 如何组织治理工作
- 如何写出员工愿意遵守的 AI 可接受使用政策
- 如何发现和管理影子 AI
- 如何评估 AI 治理与安全工具
入门课程
什么是 AI 幻觉？
AI 幻觉是指 AI 模型生成了听起来自信、合理，实际上却错误、捏造或缺乏来源支持的信息，例如编造的引语、错误的日期，或引用一篇根本不存在的论文。之所以会这样，是因为语言模型生成的是“听起来像对的”文字，而不是去查找并核实事实。
什么是智能体式 AI（Agentic AI）？
智能体式 AI（Agentic AI）指被设计成具有一定独立性的 AI 系统：给定目标后，它们会规划步骤、调用工具执行、在情况变化时自行调整，只需有限的人工指导。“Agentic”意为“具有能动性”，即自主行动的能力。它描述的是一种设计思路和一段自主程度的光谱，而不是某个具体产…
使用 AI 安全吗？
如果把 AI 当作能干但会出错的助手来用，日常使用总体是安全的。主要风险包括：自信却错误的答案、你分享的隐私信息被保存、带偏见的输出、过度依赖导致自身能力退化，以及利用 AI 生成的声音、图片或消息实施的诈骗。重要事实要核实，敏感信息少分享，意外请求要求证。
关键术语
- AI 治理
AI 治理是组织用来确保 AI 的开发和使用安全、合法、合乎伦理并符合自身目标的一套政策、流程、角色与控制措施，涵盖工具审批、数据保护、风险评估、问责、监控以及监管合规。
- AI 可接受使用政策
AI 可接受使用政策是告知员工在工作中可以如何、不可以如何使用 AI 工具的文件：哪些工具获准使用、哪些数据绝不能输入、何时必须审核或披露 AI 输出，以及遇到问题向谁咨询。它是落实 AI 治理常见的第一步。
- 影子 AI
影子 AI 指员工在未经组织 IT、安全或合规团队知情、批准或监督的情况下，在工作中使用 AI 工具、模型或功能。常见例子包括把公司数据粘贴到个人聊天机器人账号中，或在未经审核的软件中开启 AI 功能。
- 幻觉
在 AI 领域，幻觉指模型输出看似合理、实则错误、缺乏依据甚至完全编造的内容，例如虚构的引文、数据或引语。原因在于语言模型生成的是“听起来可能正确”的文本，除非接入可靠来源，否则它并不会去查证事实。
- AI 智能体
AI 智能体是借助 AI 模型、在一定自主性下分多个步骤实现目标的软件。它会决定下一步做什么，调用搜索、代码执行或业务应用等工具，观察结果并继续推进，直到任务完成或需要人工介入。
- 基础模型
基础模型是在大规模、广泛数据上训练，并可适配多种不同任务（如写作、编程、图像分析或搜索）的大型 AI 模型。这一术语由斯坦福大学研究人员于 2021 年提出。大语言模型是最广为人知的基础模型。
探索 Mindber
延伸阅读
- 美国政府下令暂停 Claude Fable 5
美国政府于 2026 年 6 月 12 日命令 Anthropic 停用 Claude Fable 5 和 Mythos 5——距离发布仅三天。了解原因、何时恢复以及替代方案。
常见问题
AI 治理和 AI 伦理有什么区别？
AI 伦理描述组织希望 AI 遵循的原则，例如公平、透明和问责。AI 治理则是把这些原则落到实处的方式：政策、审批流程、风险评估、明确的职责分工和持续监控。伦理确定方向，治理让它可执行、可审计。
什么是 NIST AI 风险管理框架？
这是美国国家标准与技术研究院（NIST）发布的自愿性框架，用于管理 AI 系统带来的风险，1.0 版于 2023 年 1 月发布。它把相关工作分为治理、映射、衡量和管理四项职能，NIST 还发布了配套材料，包括针对生成式 AI 的配置文件。由于不与任何法律绑定，美国以外的组织也可以参考使用。
公司需要制定 AI 可接受使用政策吗？
只要员工在工作中使用 AI 工具，就需要。没有政策，员工只能自己猜测什么是允许的，机密数据也可能流入未经批准的工具。一份简明的政策应列出获准工具、绝不能输入的数据、审核 AI 输出的要求、披露规则以及咨询对象，并随工具和法规的变化定期更新。
什么是影子 AI，为什么要关注？
影子 AI 指在 IT 或安全团队不知情、未批准的情况下在工作中使用 AI 工具，例如把客户数据粘贴到个人聊天机器人账号中。它的风险在于组织无法掌控数据流向、厂商是否用其训练模型，以及输出是否符合法律和质量标准。提供获批的工具，能给员工一个安全的替代选择。
最后更新