第 4 章 组织政策与管控

学习目标

• 制作AI使用情况登记册，以此为起点分层设计政策、标准、程序和说明。
• 结合数据等级、工具、用途影响、执行权限，设计允许、有条件、禁止类别。
• 建立与风险成比例的审批程序和有到期日的例外程序。
• 将规范条件实现为管理员控制（账户、保留、反馈、组织部门、网页搜索、智能体），并核验运作。
• 划分智能体和连接功能权限，通过培训及替代工具减少影子AI。

引言

假设安全团队在检查代理服务器日志时，发现有许多员工正在访问未经批准的AI网站。最快的应对方式是阻止访问。但在实施阻止措施的下一周，员工开始改用个人手机访问同样的网站，公司甚至连这些使用行为也无法掌握了。员工想要的并不是违反规范，而是赶在截止日期之前完成工作；公司却没有提供一条经过批准、能够满足这项需要的使用路径。这样看来，问题的根源在于设计，而非员工本身。本章讨论的正是这样的设计。

组织AI规范应是“这样使用即可”的指南。目标是明确开放可用工具和方法，仅在高风险处提高门槛，并用系统设置而非人的记忆保障条件。

本章从掌握使用现状这一治理起点开始，介绍规范层级、基本组成、类别设计、批准与例外、责任结构，再转向管理员控制、权限整理、智能体管控、培训和供应链管理。第1章供应商条件和第2、3章法律要求在这里成为规范材料。示例供读者根据组织数据等级与业务调整，而非照抄。

核心概念

治理的起点：AI使用情况登记册

不知道使用什么，就无法制定规范。NIST AI RMF要求建立AI系统清单机制，按组织风险优先级分配资源（GOVERN 1.6）。AI使用情况登记册是集中记录组织所用AI的表格。

建立登记册时，除了新采购的AI工具，还要找出已经使用的SaaS中新增的AI功能。业务工具更新后悄然开启的摘要、生成等AI功能，是最常见的盲区。登记册不必从一开始就做到完美。可以交叉比对各部门的问卷调查、采购记录和网络记录，逐步补充内容；再将申请程序与登记册更新连接起来，就能使登记册持续保持最新状态。

政策、标准、程序与说明

所有内容放在一份文件，难改也难读。分层可让原则长期稳定，同时快速适应产品变化。

例如，“个人信息只能通过经过批准的工具处理”，属于政策；“批准工具须具备不将数据用于模型训练、规定保留期限、限制反馈提交等条件”，属于标准；“收到新工具申请后，在5个工作日内开展审查”，属于程序；“请先删除客户姓名，再将内容粘贴进去”，则属于操作说明。

AI使用规范的基本组成

AI使用规范至少包含以下五部分。

1. 目的与适用范围：适用于谁（是否含派遣、合作方员工），哪些工具与业务。
2. 数据等级：公开、内部、机密、个人信息、敏感信息等，宜沿用既有信息安全等级。
3. 批准工具清单：已确认数据条款的产品、套餐、允许功能。
4. 使用类别：按数据等级、工具、用途组合，分允许、有条件、禁止。
5. 责任与程序：输出物审查责任、申请与例外批准、事故报告、违规措施。

每条规则附上理由和替代方案，有助提高遵守率。例如“请勿输入客户信息”后加：“对话可能用于训练；有需要请使用已批准工具A。”

设计允许、有条件、禁止类别

本章技能目标是“设计允许、有条件、禁止使用类别”。仅按工具名分类会有漏洞，因为相同工具的数据和用途不同，风险也不同。须同时看四个维度。

先由数据与工具组合确定基本类别。

接着，根据用途和执行权限逐级提高类别要求。结果直接发送客户时，附加人工审查条件；用于招聘、评估、贷款等对人判断时，附加事先风险评估、第2章高影响审查及第3章自动化决策审查。若AI向外发送或执行难以撤销的行为，还应要求行动前批准。将导致类别变化的条件连同示例写明，员工才能自行作出判断。

与风险成比例的审批流程

如果所有申请都采用同样的书面签批方式处理，就连简单的请求也可能要等待数周，而这样的延误会助长影子AI的使用。因此，一种常见的做法，是将申请与审批划分为三条不同的路径。

审批步骤应设计为前一步的结果成为下一步的输入。先明确使用目的与数据等级，再按该等级评估供应商条件和风险；根据评估结果确定批准条件，以管理员设置落实条件，培训使用者后部署，最后依据运营记录重新评估。批准书还应注明批准范围，包括业务、数据、用户、功能和期限，防止一次批准在无人注意时逐渐扩展至其他数据或用途。

例外管理

必然会有不符规范却确有需要的使用。堵死例外会转为秘密使用，轻易放行又会使规范失效。良好例外程序包含四点。

1. 申请内容：申请人、目的、数据等级、期限、替代方案审查结果。
2. 补充管控：降低例外新增风险的措施（遮盖数据、限制用户、检查日志）。
3. 到期与收回：结束日期、到期时账户和数据收回方式、延期审查条件。
4. 重复例外反馈：同一例外反复发生，视为修改规范或批准工具清单的信号。

没有到期日的例外，其实已经不是例外，而是规范以外的永久使用许可。

责任结构：谁决定，谁审查

相关部门越多，责任越易模糊。NIST AI RMF要求记录风险映射、测量、管理的角色责任与沟通路径（GOVERN 2.1），并由管理层对AI开发部署的风险决策负责（GOVERN 2.3）。

实际工作中遵循两条原则。第一，系统开发者与风险接受决策者相分离。开发团队最了解系统，因此由开发团队编制评估材料；但是否接受风险，应由具有更高权限的人员在经过独立审查后决定。第二，风险等级越高，风险接受权限也应越高。例如，可以规定低风险由部门负责人决定，中风险由委员会决定，高风险由管理层决定。这样既能加快判断，也能留下记录。法务、个人信息保护、信息安全等审查部门负责提出意见，而最终决定及其依据，应记录在有批准权限的人员名下。

管理员控制

规范条件应尽量用管理员设置实现，系统比人的记忆更可靠。官方文档示例如下。

更改设置之后，应用普通用户账户实际核验功能行为，并记录变更时间和实施者。像Gemini应用这样，群组与组织部门设置同时存在时，优先级规则可能导致结果与原意不同。管理员权限本身也应仅授予最低必要人数，定期检查管理员活动记录。

权限整理与过度共享

检索内部数据的AI会发现用户能访问的所有内容。Microsoft说明Copilot仅展示用户至少有查看权限的组织数据，建议正确使用SharePoint等权限模型。问题是那些“有权限却从未有人去找”的文件。错误全员共享的文件夹只是过去藏得深，AI检索一来就会出现在回答中。

因此，在部署AI检索工具之前，应将权限整理作为前置条件。先找出面向全公司开放的共享链接，以及设置了“所有用户”权限的位置；再对敏感位置应用敏感度标签，即给文档标注等级、据此应用访问限制和加密措施的标记，或直接设置访问限制。还要核对内部检索索引是否遵循原始文档的权限配置，参见第3章深入阅读。部署之后，也要定期检查。这项工作既是在落实AI管控，也是在偿还长期积累的信息安全欠账。

智能体与连接功能管控

智能体不仅生成回答，还调用工具查询、修改、发送、付款。OWASP Top 10 for LLM Applications（2025）将提示词注入（LLM01）和权限过大（Excessive Agency，LLM06）列为主要风险。典型情况是外部文档或邮件隐藏指令改变AI行为的间接提示词注入，权限过大则放大损害。

管控可归为五点。

1. 最小权限：只连接业务必要工具与范围，分开读写。
2. 行动前确认：外部发送、付款、删除、权限变更等难撤销行为，先由人批准。
3. 限额：金额、笔数、对象范围的上限，由模型以外的系统强制。
4. 记录：记录以何输入、何参数调用何工具。
5. 停止与恢复：设发现异常后立即停止的开关与恢复程序。

供应商的使用政策也指向同样的方向。Anthropic现行使用政策规定，基于智能体的使用方式同样必须遵守政策。将于2026年11月12日施行的修订版进一步说明，创建或部署智能体的用户，应对智能体通过工具、浏览器和连接系统所实施的行为一并承担责任。

培训与影子AI

影子AI是指员工通过组织未批准的AI账户或工具处理业务数据的现象。员工采用影子AI，通常是为了方便，而非出于恶意。原因可能是没有已批准工具、申请程序过慢，或者不知道究竟允许哪些使用。

有效应对是四者结合：便捷提供批准工具，发布简短具体标准，以岗位案例培训，再测量使用情况。培训涵盖数据等级、批准工具及理由、输出核验责任、反馈按钮含义、出错报告方法。对主动报告错误者减少不利后果，有助及早知悉事故。工具条款变化快，引入或变更时短培训比一年一次集中培训更有效。调查使用情况时应限制范围，避免过度收集员工提示词内容，因为这也是个人信息处理。

供应链与第三方管理

AI大多来自外部，模型、API、数据集、SaaS内AI功能均属供应链。NIST AI RMF要求建立第三方AI风险政策程序（GOVERN 6.1），定期监测第三方资源风险与收益（MANAGE 3.1）。

供应商尽调应看第1章五个问题、安全认证、事故通知条件、分处理者变更通知、模型变更与支持终止公告、合同结束时数据返还删除。ISO/IEC 42001等管理体系认证只反映供应商管理体系，不能代替组织对自身场景的风险评估责任（第5章）。

深入阅读

形式批准与自动化偏见

许多规范写“由人最终审查”，但是否真正有效仍需检查。过度信赖AI建议、未经审查就接受的倾向称自动化偏见（automation bias）。NIST生成式AI配置文件将人机互动中的过度信任、自动化偏见、过度依赖，单列为“人类—AI配置（Human-AI Configuration）”风险。

有效的审查，应确保审查人员拥有作出判断所需的信息与时间，以及改变结果的权限和责任，同时还应衡量审查是否真正发生。如果未经修改即直接批准的比例、审查耗时、审查后发现的错误率出现异常，就应重新设计审查方式，例如只对高风险事项进行深入审查，或者对随机抽取的样本进行双重审查。流于形式的点击确认，在第3章讨论的自动化决策中，也难以被认定为实质性人工介入。

AI系统的变更与终止

AI系统在变更或终止时，比引入时更容易发生事故。例如供应商宣布某模型版本终止支持、系统自动升级至新模型，或公司决定结束服务。NIST AI RMF要求设立安全退役程序（GOVERN 1.7），并明确机制和责任，以替换、隔离或停用性能及结果偏离预期的系统（MANAGE 2.4）。

发生变更时，应审查原有评估对于新版本是否仍然有效。公开基准测试的分数并不能保证系统在本组织业务中的表现，因此，风险等级较高的系统应使用自身业务数据重新验证。系统终止时，则应通过检查表管理连接权限的收回、对用户的告知、保留与销毁的区分，以及备用业务流程。其他法令要求继续保留的记录，应单独保管。

工作场景

青岚大学：制定教职员工AI规范

有1.2万学生的“青岚大学”决定制定教职员工AI使用规范。教务处想用于成绩处理和课程计划，科研处用于项目报告，招生处用于招生咨询。信息中心调查一个月发现，除校方工作套餐外个人账户也广泛使用，部分教师整份粘贴学生作业以获取评分意见。

专项工作组沿用既有信息安全规范的数据等级，整理为四级，并将学生成绩、咨询记录归为个人信息。类别表将作业辅助评分定为有条件使用：“在批准套餐中删除学号、姓名以及正文中的标识信息，最终成绩由教师决定。”因为即使只删姓名，仍可能依据作业内容识别学生。招生处聊天机器人则是直接回答外部用户的服务，因此进入深入审批路径，附加AI咨询告知文字、回答范围限制和人工转接渠道。

科研处反对一刀切规则，理由是每项海外合作研究的合同条件都不同。专项工作组决定通过项目级例外程序处理研究数据，但要求批准书明确注明合同条件和到期日期。团队也放弃了全面禁止个人账户的提议，改为先向全体教职员工开放学校账户的批准工具，一学期后再调查个人账户使用比例。

管理员设置包括SSO、保留期限、关闭反馈；招生聊天机器人关闭网页搜索，仅参照官方材料。实施首月，各院系开展10分钟案例培训。

橡果游戏：处理退款的客服智能体

网络游戏公司“橡果游戏”计划为回答客户咨询的智能体增加付款查询、执行退款、发放游戏道具等功能。客服中心希望减少客户等待时间，安全团队则担忧智能体收到错误指令后，可能发生大规模退款或发放道具的情况。

信息安全负责人按行动单位拆分功能，并制作权限表。付款记录查询只允许只读访问提问客户本人的账户。退款仅对规则中符合自动退款条件的小额款项由智能体执行，更大金额及拒绝退款则交客服判断，这是为了避免在无人介入时作出对客户不利的决定（第3章自动化决策）。道具发放仅限于故障补偿等预先确定的清单，且每日次数、每账户数量上限，由付款系统直接强制。负责人没有接受只把上限写在模型提示词里的方式，因为提示词可能被注入攻击破坏。

为了避免客户附件图片或外部链接中的内容改变智能体行为，含这些输入的对话不再使用行动工具，而是转交客服。所有工具调用都连同输入、所调用工具、参数、结果一起记录，并设置自动开关：退款次数超过平时三倍时，自动关闭智能体的行动工具。客户则在开始对话的界面获知对方为AI客服。

在正式上线之前，专项组使用故意掺入恶意指令的测试对话，验证权限表所设的规则是否确实能够拦截越权行为。最后得出的结论是：“允许查询，有条件允许小额退款，其他涉资操作需要人工批准。”专项组还决定，三个月后再查看记录，重新确定允许操作的范围。

易错点

1. “全面禁止最安全。” 无替代方案会增加看不见的使用。
2. “对所有使用场景一律设定为有条件允许才算公平。” 如果管控措施与风险不成比例，就会漏掉应当阻止的使用行为，同时又阻止原本可以开放的使用行为。
3. “先写规范，现状以后再看。” 不知用什么，规范便脱离现实，应先做登记册。
4. “开发最懂，风险接受也由开发决定。” 开发制作资料，经独立审查的上级授权者决定接受。
5. “OU关闭就一定封锁。” Gemini配置群组设置优先于OU。
6. “AI仅展示有权限内容，无需整理权限。” 错误开放文件会直接出现在回答中，部署前须整理。
7. “智能体禁止事项写进提示词即可。” 限额与批准须由模型外系统强制。
8. “人点击批准就算人工审查。” 无信息、时间、权限且不测量，只是形式。

要点速览

• 治理从AI使用情况登记册开始，也要查SaaS新增AI功能。
• 政策、标准、程序、说明分开，原则缓改、说明快改。
• 类别由数据等级×工具条件×用途影响×执行权限确定。
• 批准分简化、一般、深入，写明范围；例外设到期日和补充管控。
• 开发者与风险接受者分开，按风险等级确定接受权限。
• 规范条件用管理员设置实现，以普通账户核验。
• 部署AI检索前整理权限。
• 智能体采用最小权限、行动前确认、系统限额、记录、停止开关。
• 通过批准工具、简短标准、岗位培训、复测减少影子AI。
• 供应商认证不代替自身风险评估。

查阅官方文档

• Google Workspace Admin Help — Turn the Gemini app on or off：OU、群组设置及优先级、对话记录保留。
• Anthropic — Configure custom data retention controls for Enterprise plans：自定义保留期限及权限。
• Microsoft Learn — Data, privacy, and security for web search in Microsoft Copilot：网页搜索管理员政策与用户开关。
• Microsoft Learn — Data, Privacy, and Security for Microsoft Copilot：权限模型、智能体管理、Purview保留。
• NIST AIRC — AI RMF Core：GOVERN 1.6、1.7、2.1、2.3、6.1及MANAGE 2.4、3.1。
• OWASP — Top 10 for LLM Applications：提示词注入、权限过大。

自测

4-1. 请列出AI使用情况登记册中应设置的至少五个列字段，并说明在建立这份登记册时，最容易被遗漏的是哪一种AI使用行为。

4-2. 围绕同一个例子（如输入客户个人信息），分别用一句话写出政策、标准、程序和员工说明，展示四者之间的差异。

4-3. 即使使用同一款已经批准的工具，也可能需要将使用类别提高一级。请从用途和执行权限角度写出两种这样的情况。

4-4. 写出例外批准书至少五个必填项目，并说明同一例外反复出现时，负责人应采取什么措施。

4-5. 以多个设置相互叠加的情况为例，解释管理员变更AI服务设置之后，为何还必须使用普通用户账户再次确认实际行为。

4-6. 在智能体可以执行的行为中，哪些特征意味着应设置人工事先批准？并说明为什么应将限额放在系统中强制，而不能仅写在提示词里。

4-7. （设计）设定一家拥有300名员工的虚构公司，使用四个数据等级与两类工具制作使用类别表，再标出各个有条件单元格是否可以通过管理员设置实现。

实操练习