发布时间：2026-10-10T06:00:01.270Z
绕过会议PPT，看企业AI治理的真实动作：数据分级、模型评估、使用规范、供应商管理四件事的落地程度差异很大，梳理现状与建议。 AI安全治理是每个有AI业务的企业都绕不开的话题，但“说要治理”和“真在治理”是两回事。走访了几家不同规模的公司，看它们实际在做什么，落地程度差异比想象中大。 数据分级是治理的基础，落地差异也最明显。合规压力大的行业，比如金融、医疗，数据分级做得比较扎实：什么数据能进AI、什么必须脱敏，有明确清单和流程。互联网创业公司普遍松一些，很多还是靠员工自觉，数据分级停留在文档层面。 模型评估是另一块。多数企业只做了基础的“好不好用”评估，缺的是系统性安全评估：模型会不会泄露训练数据、会不会被提示注入攻击、输出有没有偏见。这块专业门槛高，中小团队基本依赖模型厂商的安全报告，自己不做验证。 使用规范反而是落地最快的。不少公司已经出台了AI使用手册：哪些内容可以喂给公开AI工具、代码能不能用AI生成、敏感信息禁止粘贴。这类规范落地成本低、见效快，是多数企业AI治理的第一批动作。 供应商管理是最被忽视的。企业在选AI供应商时，很少系统评估对方的数据处理协议、安全认证、事故响应能力。往往是合同里带一句“数据安全条款”就签了，出问题才发现条款是空话。 给企业的建议：治理不是一次性的合规动作，是持续的成本投入。起步从三件事做：把数据分级清单建起来、把员工使用规范发下去、把供应商的安全资质查一遍。这三件事成本不高，能覆盖大部分风险。至于模型评估这类重投入，等业务规模到了再说。 最后说一句：AI治理做得好的企业，不是PPT写得好，而是把这些规则真正嵌进了流程和工具里，让违规变得不方便。