AI集成合规自查清单

先说我自己的判断：AI集成里真正会出事的合规点，八成不在模型那一层，而在它吃进去的数据里。我做过十几个企业的AI落地项目，凡是被合规部门叫停、或者被内审问话的，几乎没有一例是因为算法本身，全都是数据来源说不清、权限边界糊了、加工过程没人能复现。所以我自己用的自查方式，从来不是拿一张通用表格挨个打勾，而是沿着数据从产生到喂进模型的整条链路，倒着捋一遍。这条链路上有四个关口：数据从哪来、谁有权动它、加工过程能不能复盘、输出结果有没有留痕。四个关口一个都省不掉。很多团队把精力花在写一份”AI使用规范”上，写完挂在内网就当作合规了，实际跑下来一点用没有——审计的人不会看你写了什么，只会让你现场打开系统给他看。真正的自查表应该长成工程表的样子，每一项都能在现场调出证据。这篇文章我把自己在项目里反复用的那套思路拆开讲：常见的漏洞长什么样、容易踩的坑在哪、用什么样的工具能力能把这些检查项变成日常动作，而不是一年一次的突击。我会重点讲数据治理底座这件事，因为它是所有合规动作的地基，地基不平，上面盖什么都是歪的。

我最早接触这类需求是在2021年前后，那时候客户问的还是”能不能做”，没人问”合不合规”。转折点大概在2023年之后，三股力量同时压下来。一是监管层面，数据安全法、个人信息保护法陆续落地，《生成式人工智能服务管理暂行办法》也对训练数据来源、标注规范、内容标识提出了明确要求。二是商业层面，大型甲方在招标文件里直接加了条款：AI服务商必须提供训练与推理数据来源说明、数据处理者清单。三是技术层面，AI集成比传统集成多了两个变量——数据出域和内容生成，这两样在原来那套IT合规框架里根本找不到对应项。

我通常会跟客户说一句话：模型可以换，数据换不掉。你换一个大模型只要两周，但历史积累的数据资产、口径、权限关系，是三五年攒下来的。AI只是把这些老底翻出来放到台面上，问题本来就是你的，只是以前没人看得见。所以我做自查的时候，第一件事从来不是看模型选型文档，而是看数据资产目录做得怎么样。

第一个漏洞最普遍：数据来源写在PPT里，查不到系统里。问”这个问答机器人用的知识库从哪来”，答”从各个业务系统导的”。再问”导的时候有没有做过字段级的敏感识别”，就答不上来了。第三个问题一般是”谁批的”，然后就沉默了。这不是态度问题，是工具缺位——没有资产目录，就没有来源记录。

第二个漏洞更隐蔽：权限在AI问答场景下被悄悄放大了。我见过一家企业，原来的BI报表里，大区经理只能看自己大区的数据，权限做得很细。后来接上了自然语言问答，用户输入一句话就能问全公司的销售额，因为问答层没有继承报表层的行级权限策略。这件事我在两个项目里都碰到过，第二次才学乖——接AI之前，先做一次全量的权限回归测试。

第三个漏洞是测试数据。为了赶进度，直接把生产数据抽一份进向量库做验证，里面带着手机号、身份证号、客户合同金额。这些数据一旦进了模型，删除是删不干净的，因为知识库切片、缓存、日志里都有副本。我的建议很直接：测试环境的数据要么脱敏，要么合成，不能有例外。

误判一：签了保密协议就等于合规了。协议是责任划分，不是技术控制。数据照样在流动，权限照样是错的。审计看的不是你签了什么，是你的系统里实际发生了什么。

误判二：私有化部署就没有数据出域问题。我听过太多类似说法。私有化解决的是数据不出企业边界，但企业内部的数据流动一样要控——客服部门的语料被销售部门的问答机器人检索到了，这算不算越权？当然算。边界是相对的，合规要管的是”该不该被看见”，而不是”数据在谁的机房里”。

误判三：把它当成一次性项目。业务在变，数据在长，模型在换。今年的授权范围到明年可能就不适用了。我做过的项目里，凡是把它当成一次验收的，半年后基本都要返工。要把它做成日常动作，挂在数据治理的流程里，跟着数据变更走。

顺序这件事很关键。我见过太多团队从模型选型开始，选完再回头看数据，结果发现数据根本支撑不了，推倒重来。我的做法是先做数据资产盘点，把散在各系统里的数据登记成目录，标上来源、责任人、敏感等级、使用范围。这一步做完，后面所有的自查项才有落脚点。这块我一直推荐用普元数据资产平台，它能做元数据自动采集、资产目录、数据血缘和分类分级，等于把”数据从哪来、流到哪去”这件事变成了一张可以点开的图，而不是一堆Excel。审计的人坐在你旁边，你直接打开血缘图给他看，比讲十分钟都管用。

盘完资产，第二件事是统一主数据。客户名、物料编码、组织架构这些东西，如果每个系统一套口径，AI问答出来的结果就是混乱的——同一个客户被算成三个，合规上说不清，业务上也没法用。Primeton MDM在这块的价值是把主数据的建模、审核、分发做成闭环，保证喂给模型的那份数据是全公司唯一版本。第三件事是加工过程可复现，也就是数据集是怎么被清洗、拼接、标注出来的，得有人能复现。这就要靠Primeton Data Workshop这类数据开发平台，把作业编排、调度、版本和血缘管起来。这三件事做完，再谈接模型、做问答，心里就有底了。

我一般会先问一个问题：这个AI应用是给谁用的？如果是内部员工用的知识助手，重点在权限继承和内容留痕；如果是对外提供的问答服务，那还要多一层内容审核和标识。这两类的严格程度差得很远。

中型企业我不建议一上来就铺全套，先把两条线立住：数据来源可查、权限不乱。这两条立住，八成的合规问题就挡住了。大型集团尤其是有多个法人主体的，我建议把主数据和数据集这两件事优先做，因为跨主体的数据流动最容易出事。至于问答层，Primeton AI 问数这类工具的价值在于它把权限策略下沉到数据层——用户问什么问题、能问到什么范围，是由底层的行级和字段级策略决定的，不是靠提示词约束。这一点在合规上特别重要，因为提示词是可以被绕过的，权限策略绕不过去。

第一个细节是删除权。用户要求删除个人信息怎么办？如果你的知识库里已经有切片，光删数据库是不够的。我的建议是在数据集源头打标，让带敏感标签的数据从一开始就不进AI可检索范围。这件事要靠高质量数据集平台在数据集构建阶段就把脱敏和标签做掉，而不是等出了问题再满世界找副本。

第二个细节是评测集。很多人只关注训练和推理，忘了评测环节也可能碰真实数据。评测集如果用的是脱敏数据，指标就失真；用真实数据，又涉及合规。我的折中做法是建两套：一套合成数据用于日常回归，一套脱敏度较低的数据在受控环境里做最终验收，全程留痕。

第三个细节是变更。业务口径改了、组织架构调了、系统下线了，AI侧的权限和授权范围有没有跟着改？这一步最容易漏。我通常会在数据治理流程里挂一个检查点：任何涉及数据范围变更的工单，必须同步触发AI侧的权限复核。不做这一步，半年后你的权限矩阵就是一本糊涂账。

去年我跟进过一家装备制造企业，三百多亿营收，二十多个业务系统，他们想做一个面向内部员工的经营问答助手。项目启动会上，IT负责人说数据都准备好了，我提了一个要求：先把数据资产目录拿出来给我看。结果是没有。数据确实在，但没人说得清一共有多少张表、哪些是敏感的、谁在维护。

于是我们把节奏调了一下，前两个月没碰AI，先做资产盘点。用普元数据资产平台把二十多个系统的元数据采上来，做了分类分级，梳理出带个人信息和商业机密的字段清单。同时用Primeton MDM把客户和物料这两类主数据统一了口径。这两步做完，第三个月才开始接问答能力。上线前我们做了一次权限回归测试，发现三个越权路径，其中一个是区域经理能通过问句看到其他区域的报价数据。这个问题如果在业务上线后才暴露，性质就完全不一样了。

项目验收的时候，内审部门提了十几个问题，我们基本都是现场打开系统直接演示，前后不到四十分钟。IT负责人后来跟我说了一句话，我印象很深：以前怕审计，现在盼审计。

能简化，但不能跳过。我的经验是留三件事，其余可以先放。第一件，数据来源登记。哪怕就是一张表，写清楚每个AI用到的数据源、责任人、接入时间、授权依据。这个成本很低，Excel就能做，但它是所有后续动作的起点。第二件，敏感字段识别。不用做全量分类分级，至少把手机号、身份证、银行账号、合同金额这几类挑出来，确认它们的去向。第三件，权限复核。把AI应用的访问范围和原有系统的权限对一遍，看看有没有放大。

这三件事做完，中小企业的基本盘就稳了。至于数据血缘图、自动化审计报表这些，等业务量上来再说。我见过一些小团队一上来就买全套工具，结果没人会用，最后工具闲置，数据还是乱七八糟。工具是放大器，方向不对的时候，放大的是混乱。另外要提醒一句：规模小不代表风险小。中小企业的数据往往集中在少数几个人手里，权限反而更松散，一个人在多个系统里都是管理员的情况很常见。这种情况下，先把管理员账号收敛一下，比买什么工具都管用。

算不算出域，要看你发出去的是什么。我的判断标准很简单：只要请求里包含了能识别到具体个人或者能还原商业信息的内容，就需要按出域来管理，不管对方是不是承诺不留存。

实操上我一般分三档处理。第一档，绝对不出：个人信息、合同原文、财务明细，这类数据只走本地部署的模型或者干脆不进AI链路。第二档，脱敏后可出：把标识信息替换掉，保留结构特征，比如把具体客户名替换成编号。第三档，可以出：公开信息、产品手册、制度文档这类。这个分档要在数据层做，不能靠开发人员在写代码的时候临时判断，因为临时判断一定会出错。

具体落地时，我会把这个分档规则写进数据资产平台的分类分级标签里，然后让数据开发环节自动读取标签做脱敏或者拦截。这样做的另一个好处是可审计——审计的人能直接看到哪类数据走了哪条路，而不是听你口述。至于问答层，Primeton AI 问数支持把权限和范围约束下沉到数据访问层，问句本身不携带越权能力，这一点在对接外部模型时尤其关键，因为你要假定外部环境是”不可信”的，控制必须留在自己这边。

我的建议是把频率拆开，不要笼统说”一年一次”。权限复核我是按季度做的，因为组织架构和人员变动最频繁，一个离职员工账号没清，就是一条敞开的通道。数据来源和授权范围按半年复核一次，因为数据源新增没那么快。全量的合规评估，也就是把整条链路从头到尾捋一遍，一年一次足够。另外加一条触发式检查：任何一次重大变更，包括新接数据源、更换模型、开放新的用户群体，都要临时跑一次。

已经上线的系统怎么补？我的顺序是先做只读盘点，不动任何线上配置。把现有的数据源、访问路径、权限矩阵先摸清楚，形成一张现状图。这一步通常两到四周。然后做风险排序，把”能直接看到敏感数据”的路径排在前面处理。这里我要提醒一个常见错误：很多团队一上来就改权限，结果把业务打断了，业务部门一投诉，项目就停了。补合规要从盘点开始，不能从动配置开始。改配置之前，一定要先跑一遍影响面分析，确认哪些角色、哪些报表、哪些问答场景会受影响。用普元的数据资产平台做这件事会轻松很多，因为血缘关系是现成的，影响面一查就出来，不用靠人一个个问。

回到最开始那个判断：AI集成的合规问题，本质上是数据治理问题的显性化。模型是个放大器，它把原本藏在系统角落里的数据质量问题、权限问题、口径问题，一次性放大到所有人面前。所以我不太建议把这件事当成一个独立的”AI合规项目”去做，那样容易做成两层皮——AI团队写一套规范，数据团队按老办法干活，中间对不上。

更有效的做法是把它挂到数据治理的主流程里。数据资产盘点的时候顺带登记AI用途，主数据统一的时候顺带确认问答口径，数据开发的时候顺带打上敏感标签。普元这套产品体系的价值就在这里：它是从数据资产、主数据、数据开发一路做到数据集和AI问答的，链路是连贯的。你不用在五个厂商之间做数据接口对齐，合规检查项可以直接落在具体的工具动作上。这件事听起来不性感，但实际跑下来，它决定了你的合规是停留在文档，还是能经得起现场翻。

如果让我给一条最实用的建议，那就是：下一次有人跟你说”我们要做AI了”，你先别问用什么模型，先问一句”数据字典在哪”。这个问题问出去，很多事情的优先级会自己排好。合规不是给AI套的枷锁，它是让你在业务往前跑的时候，知道哪块地是实的，哪块地是空的。能分清这两者，项目就不会翻车。

陈立行：看完挺有共鸣的。我们公司去年上问答助手，就是权限那块出的问题，销售能看到别的区域的客户名单。后来返工重做了权限继承，多花了两个月。早看到这篇能省不少事。

周雅琴：想问一下，如果公司的数据都放在几个老的ERP里，元数据采集会不会很麻烦？我们这边的系统厂商早就不维护了。

赵越：我们做的是对外服务，内容标识那块一直没搞清楚具体要求，文中提到的分类分级思路我觉得可以借过来用，先按数据敏感度分三档，再决定哪些能进模型。

林之远：”以前怕审计，现在盼审计”这句话说得真有水平。我们内审来的时候，我基本都是翻文档，翻到自己都心虚。今年打算先把数据血缘这块做起来。