企业级 AI 治理框架

定义

企业级 AI 治理框架是指组织借以指导和控制其如何构建、采购和运行 AI 的原则、角色、流程和控制体系，以确保 AI 的使用保持合法、安全、有效并符合其风险偏好。

范围

董事会、AI 治理委员会、风险与合规官，以及在整个企业中构建和运行 AI 的产品与工程领导者。这是一个映射到指定法规和标准的内部运行模型，并非法律建议，也不能替代合格的法律顾问。

关键要求

• 原则至上：合法性、问责制、人类监督、透明度、公平性、安全性和源自设计的隐私保护（privacy by design）是每项策略的基石。
• RACI 问责制：每项治理活动都有明确的负责人（Responsible）、问责人（Accountable）、咨询人（Consulted）和知情人（Informed）映射，且每个生产系统都有一个明确指定的所有者。
• 风险分类法将使用场景分层（不可接受、高、有限、极小），使控制强度与风险成正比。
• 生命周期关卡为从提议到退役的每个阶段都附加了准入和准出检查。
• 策略层级将原则追溯到策略、标准以及具有明确指定所有者的具体控制项。
• 一次合规，到处复用：外部义务仅一次性映射到内部控制，并在不同的合规体系间共享。

控制措施

拥有章程的 AI 治理委员会

一个拥有已公布决策权的常设机构，负责设定风险偏好和策略，使问责制成为结构性的，而非临时的。

明确指定的问责系统所有者

每个生产环境中的 AI 系统都有一个人类所有者；这是与发现并应对事件最密切相关的控制项。

风险分层程序与中央登记簿

在构建前，通过文件化的分类法对每个使用场景进行分类并记录在清单中，从而使影子 AI 显现并调整控制力度。

生命周期准入和准出关卡

从提议到退役的每个阶段都设有根据风险层级调整的关卡；可强制执行的关卡能够阻止非合规的部署。

映射到控制项的策略层级

原则追溯到策略、标准和具体的控制项，使合规义务具有可操作性，而非仅仅是愿景。

独立审计与保证

定期的独立审查测试关卡和控制项是否切实有效，从而向委员会形成闭环反馈。

清单

• 01组建一个拥有已公布章程和决策权的 AI 治理委员会。
• 02定义七项治理原则，并将每项策略追溯到这些原则。
• 03发布包含层级的风险分类法，并列出在准入阶段即被阻止的禁止使用场景。
• 04建立所有 AI 系统的中央登记簿，记录其风险层级和明确指定的所有者。
• 05为每个生命周期阶段附加准入和准出关卡，并根据风险层级进行调整。
• 06将《欧盟 AI 法案》（EU AI Act）、ISO/IEC 42001 和 NIST AI RMF 一次性映射到内部控制，并进行复用。
• 07采用智能体治理清单作为高风险系统的具体控制集。
• 08定期安排重新分级和独立审计。

常见误区

• 治理流于形式：政策确实存在，但没有任何关卡能真正阻止不合规的部署。
• 缺乏明确的责任人：系统发布时权责不清，出现故障时无人负责。
• 一刀切的控制：每个系统都采用同样繁重的流程，导致团队设法绕过治理。
• 影子 AI：系统在登记册之外构建，脱离了风险监管视线。
• 静态分级：用例的风险级别一经设定便不再重新评估，即使其自主性或范围有所扩大。

示例

• 受监管的企业在开始任何构建之前，都会让每个新智能体通过基于分级的准入关卡。
• 高风险的面向客户系统接受全套控制和独立审计，而极低风险的内部工具仅遵循基线规范。
• 将 EU AI Act、ISO/IEC 42001 和 NIST AI RMF 的合规义务映射到统一的内部控制库中，并在整个产品组合中复用。

常见问题

该框架是否构成法律建议？

否。它是一个与特定法规和标准相映射的专业运营模型。如需做出具有约束力的合规决策，请咨询合格的法律顾问。

它与智能体治理清单及具体监管机制有何关系？

该框架负责定义结构（原则、角色、分类和关卡），并将 EU AI Act、ISO/IEC 42001、NIST AI RMF 以及智能体清单整合为其具体的控制措施。

哪一个是杠杆效应最高的单一要素？

强制执行的关卡加上每个系统指定的明确责任人。未强制执行的政策在一个季度内就会被绕过，而权责不清则意味着系统出现故障时无人负责。

参考文献

• NIST — AI Risk Management Framework (AI RMF 1.0)
• ISO/IEC 42001:2023 — Artificial intelligence management system
• OECD AI Principles

相关治理内容