建立团队真正维护得动的AI清单与风险分层方法

可维护的AI清单首先是治理工作的分流层，而不是把每份评估、测试和审批材料都塞进同一张表。比如一个客服助手起初只为员工起草回复，后来却获得读取身份材料、自动发信和退款的权限：供应商没有改变，实际用途、暴露和审核路线已经变了。清单必须让这种变化显现，并把责任交给能批准、限制或停止该用途的人。

AI清单究竟应该登记什么？

最稳妥的记录单位，是一个明确工作流、目的、用户群和“输出如何进入行动”的AI用途。NIST把AI系统清单描述为一种有组织的资源，可服务于维护、事件响应、单项查询和组合层面的问题。OECD框架从人员、经济情境、数据与输入、模型、任务和输出等方面描述实际应用中的AI系统。NIST AI RMF核心还要求记录预期目的、用户、部署环境、可能影响、假设、局限和生命周期情境。

• 目的或禁止用途边界有实质差异时拆分记录。
• 用户、受影响方或可预见后果不同且需要不同责任人时拆分。
• 输入敏感性、输出权限、部署地域或规模显著不同时拆分。
• 业务负责人不能共同批准、变更或退役用途时拆分。

同一模型或供应商可以对应多条用途记录，而共享的合同、模型、数据源、应用、控制、测试、事件和审批材料应通过标识链接，避免反复复制。这样既能查询某一用途由谁负责、目前能做什么，也能回答各层级有多少在用、哪些缺少证据、哪些正在等待复评，并把深入评估、监测、事件处置和退役工作送入相应队列。

哪些字段既有用，又不会让登记失控？

采用“紧凑发现记录加条件式证据链接”最容易长期维护。基础层只保留足以识别、归责、评级和分流的字段；完整评估、验证报告、供应商审查、测试结果、事件记录和审批材料按需链接。NIST Playbook列出的文档主题包括联系人、业务理由、范围与用途、风险与影响、假设、数据、依赖、部署、监测和变更管理。

• 身份与责任：记录用途编号、通俗名称、业务负责人和技术负责人，以便检索、归责、变更或停止。
• 目的与对象：说明工作流、使用边界、预期用户和受影响方。
• 数据与行动：记录输入类别及最高敏感等级，并说明输出交给谁、系统能建议、发起还是执行行动。
• 技术关系：链接供应商、模型、权限、上游服务、集成和下游依赖。
• 控制与生命周期：概述复核、访问、测试、监测、纠正和备用方式，链接证据，并记录状态与关键日期。
• 分层与义务：保存四项评级、暂定层级、升级项、理由和未知事实，另行链接适用义务评估。

英国记录标准覆盖责任、供应商、决策流程中的作用、人类复核、频率与规模、生命周期、架构、源数据、访问、风险、缓解措施和影响评估。NIST要求把风险与控制映射到系统各组件，包括第三方软件和数据。记录控制只能说明“声称做了什么”，不能证明控制有效；还应保存最近实质变更、最近复核和下一次风险导向复核日期，但不设统一周期。

团队怎样给固有暴露打出可解释的等级？

分别评后果、自主性、规模和敏感性，并为每项写一句用途专属证据。这四维是本文综合官方材料提出的内部初筛方法，并非任何来源规定或背书的标准；OECD讨论了受影响方、部署广度、数据、任务、输出和行动自主性，也提醒相关标准可能相互依赖。

• 后果：一级为局部且易逆转的不便或返工；二级为需主动纠正或恢复的实质运营、财务、客户、员工或声誉影响；三级可能影响权利、重要机会或服务、健康安全、生计、关键运营，或造成严重难逆结果。
• 自主性：一级只提供内容、分析或建议，由人决定是否使用；二级会排序、路由、推荐、个性化或发起受限行动，复核可能抽样或滞后；三级可在无有效逐案批准时执行外部行动、修改记录或权限、承诺资源或实质影响重大决定。
• 规模：一级为低频小范围试点且少有下游复用；二级在某职能、客户群或重要流程中反复使用，业务量或接收方具有实质规模；三级为全企业、公开、跨市场、高频、实时或深度集成，影响可能相关扩散。
• 敏感性：一级仅接触公开、合成或获批的非机密信息且无特权访问；二级涉及机密业务数据、普通个人信息、客户内容或受限认证访问；三级涉及高度敏感或受监管数据、凭据、秘密、特权材料、受保护特征或代理变量、精细监测数据或重要系统写权限。

证据句应说明具体团队、业务量、下游连接及行动前是否有知情授权人干预，不能只写“中等”或照抄供应商说明。事实未明就标记未知并安排解决，不猜测，也不因控制已经列出而下调固有暴露。

四项评级怎样决定审核路线？

暂定层级取最高实质等级：全为一级则进内部一级；有二级但无三级则进内部二级；任一项为三级则进内部三级。这样不会把严重暴露平均掉，但该规则是本文的设计，不是NIST或OECD验证的公式，组织须按风险容忍度和义务校准。

• 越过容忍边界、严重影响受影响方或关键事实未明时升级。
• 敏感数据叠加广泛访问、人类控制无效或结果难以逆转时升级。
• 存在级联依赖、重大事件、适用义务或控制证据不足时升级。

先评固有暴露，再单列控制、检查设计与执行证据，最后记录剩余风险决定、条件和责任人。这一顺序也是本文建议，来源没有规定相同术语。控制被列出不代表有效，也不能消除严重后果、广泛权限或高度敏感数据。

NIST主张按组织风险重点配置清单机制，并为持续监测和定期复核确定角色与频率。内部一至三级只负责分流组织内部工作，不能替代法律、监管、合同、隐私、安全、劳动、档案或行业义务判断，也不能直接对应任何法律类别。相关适用性必须由合格的组织责任人沿平行轨道评估，必要时可以覆盖内部层级的常规路线。

AI用途改变后，这套方法会揭示什么？

看一个虚构试点：助手检索已批准内容，为受训客服生成带来源链接的草稿，由员工编辑后发送；它不得做账户决定、政策例外、自动发送、退款或账户修改，也不得读取支付和身份材料。NIST要求结合下游用途与监督分析输出，并明确人类监督。

• 后果二级：错误回复可能实质误述政策，需要客户补救。
• 自主性一级：系统只起草，由员工决定是否发送。
• 规模一级：仅限一个受训团队和有限消息类别。
• 敏感性二级：认证系统处理普通客户信息和内部账户情境。

最高评级为二级，所以试点暂进内部二级。发送前复核、来源链接、写操作阻断、访问控制、抽样、投诉渠道和人工备用方案属于控制记录，不降低固有评级。若改为读取身份材料和支付争议信息、自动退款、更新账户并跨区域自动发信，四项均升至三级：后果严重、无逐案批准、部署广且量大、数据和写权限高度敏感。OECD指出，数据、能力、用户、成熟度或部署广度变化可能改变分类。

扩展前须重开记录，进入内部三级和独立义务轨道；原批准不会随供应商或模型迁移。增强审核应检验必要性、替代方案、权限、可逆性和控制效果，也可能限制或停止提案。本案例及评级仅演示本文方法，不代表实测、外部验证或认可。

清单真正值得信任，是因为数据、权限或规模一变，审核路线也随之改变，而不只是表格多了一次更新。

上线以后，怎样让AI清单持续保持当前状态？

清单维护应由事件驱动，而非每年集中追表。NIST建议明确维护者、覆盖范围和记录属性，并追求广泛覆盖。发现入口可包括流程立项、采购续约、应用与架构审查、访问与集成管理、订阅、模型和数据流程、员工披露、责任人确认、工单、事件与投诉；它们扩大可见度，却不能证明清单完整。

• 目的、边界、责任人、用户、受影响方或地域改变。
• 数据来源、敏感性、保留、访问、输出或行动权限改变。
• 供应商、模型、版本、集成、依赖、规模或关键性改变。
• 控制、证据、测试、事件、投诉、适用义务或生命周期改变。

OECD支持在数据、能力、用户、成熟度、部署广度或环境变化时重评。事件更新还应配合风险导向的责任人确认；高暴露、变化快、近期有事件或证据弱的用途可更密集复核，但没有通用周期。队列应突出无负责人、评级未知、升级未决、复核逾期、变更待决定、证据缺失、供应商变化和退役未闭环。

精简看板按层级和生命周期统计用途与受影响方，并显示缺失字段、逾期决定、例外、控制缺口、分流用时和退役关闭；覆盖率只是发现信号。英国标准记录生命周期、复核频率、更新时间和退役状态；NIST退役指引涉及责任、依赖、连续性、迁移、监管需要及必要材料。

1. 前十天：确定记录单位、最小字段、责任规则、生命周期和发现入口。
2. 第二个十天：用差异化样本试评，校准四维锚点、升级条件和分工。
3. 最后十天：启动责任人确认、变更触发、陈旧记录队列、看板和退役证据。

制度须明确：本方法是内部分流方案，不是合规结论。法律、合规、隐私、安全、采购、档案、劳动和行业问题应交给合格责任人；重大后果或高风险专业用途推进前，还需领域专业知识、组织问责和有效人类复核。成功标准不是行数，而是变化能被看见、重评并形成有证据的决定。