生成式 AI 合规落地手册：企业从制度到系统要补齐哪些环节

一、制度层：先定义边界，再允许创新

企业应明确三类边界：哪些数据可以输入模型、哪些场景必须人工复核、哪些输出不得直接对外使用。对于涉及合同、财务、医疗、招聘等高风险场景，必须把“人工审批”和“留痕追踪”写进制度，而不是靠口头提醒。

• 建立统一的提示词、知识源、输出口径规范。
• 界定员工自用工具与企业正式系统的边界。
• 为对外内容、报告、决策建议设置审核责任人。

二、流程层：把风险点嵌入实际业务

如果制度没有进入流程，就无法真正落地。例如在客服场景中，敏感承诺类回答应自动转人工；在法务场景中，合同生成后必须触发审阅节点；在销售场景中，Agent 写回 CRM 前要先通过字段校验。

常见流程控制点

1. 输入前做数据分类、脱敏或模板化。
2. 执行中记录模型版本、知识源和工具链路。
3. 输出后做规则校验、敏感词校验和人工抽检。

三、系统层：让平台具备可控、可管、可查能力

企业真正需要的不是一个“能聊天的大模型”，而是一个具备权限继承、日志留存、模型切换、知识库治理、审批编排的 AI 平台。只有系统能力完整，合规才能从文档变成操作。

实践建议

优先建设统一入口和统一账号体系，不要让多个部门各自采购分散工具。工具越分散，审计越难做，风险越难控。

四、合规不是减速器，而是规模化的前提

对企业而言，合规的真正价值不是“避免出事”，而是让 AI 应用能够稳定进入更多部门、更核心的流程。只有当管理层、法务、安全和业务形成同一套控制框架，AI 才能从试点走向规模化。