AI 治理

在实践中，AI 治理通常包括：AI 系统与用例清单、可接受使用政策、与用途风险相匹配的风险评估、供应商尽职调查、对重大决策的人工监督、事件处理以及定期复审。框架可以提供结构：2023 年 1 月发布的 NIST AI 风险管理框架 1.0 把工作分为治理、映射、衡量和管理四项职能；ISO/IEC 42001 规定了 AI 管理体系的要求。

为什么重要：欧盟《人工智能法》（第 (EU) 2024/1689 号条例）等法规会根据 AI 的使用方式设定相应义务，客户也可能要求供应商说明其 AI 治理方式。对采购方而言，治理决定了哪些工具可以获批、合同中需要哪些条款，以及供应商必须提供哪些证明材料，例如安全认证、数据处理条款和模型文档。

举例：在批准一款 AI 会议记录工具之前，治理小组会核查录音存储在哪里、是否被用于训练、谁能访问，以及如何告知与会者。

局限：治理文件只有在员工能够遵守时才有效。过于严苛的规则可能把员工推向未经批准的工具（影子 AI），因此有效的治理方案会把规则与获批的替代工具和培训结合起来。