人工智能已不再是一项新兴技术。它已迅速成为数字化转型的核心驱动力，深刻影响着组织的运营方式、决策制定、客户互动和价值创造。

从客服聊天机器人和欺诈检测系统，到预测性分析和内容生成工具，各行业的组织正日益将AI融入其运营之中，以提升效率、推动创新并获得竞争优势。

尽管AI的益处显而易见，但其快速的普及为治理、风险与合规从业者带来了一系列新的挑战。

各组织如今正面临一些关键问题：

谁应为AI驱动的决策负责？

组织如何确保AI系统以合乎道德且透明的方式运行？

AI会带来哪些新风险？

组织如何在不断演变的法规环境中保持合规？

需要什么样的治理结构来监督AI的使用？

随着AI持续重塑商业格局，GRC职能必须与之同步演进。讨论的焦点已不再是组织是否应该采用AI，而是如何负责任地采用AI。

AI应用的快速兴起

过去几年，AI的普及以前所未有的速度加速推进。

各组织正利用AI实现重复性任务的自动化、改善客户体验、强化决策、提升欺诈检测能力、提高运营效率，并从大型数据集中挖掘商业洞察。生成式AI的出现使各种规模的组织都能使用先进的AI能力，进一步加速了这一进程。然而，普及的速度往往超过了管理相关风险所需的治理框架的建设速度。

在许多组织中，员工在正式政策、控制措施和监督机制建立之前就已经在使用AI工具。这引发了重大的治理与合规担忧，尤其是因为在领导者全面掌握AI的使用范围之前，AI已经能够影响多个业务职能中的决策、工作流程和客户互动。

治理挑战：谁应负责？

AI带来的最重大挑战之一是问责问题。传统系统基于预定义的规则和逻辑运行，而AI系统（尤其是机器学习模型）可以基于从数据中识别出的模式做出决策，有时其决策方式难以完全解释。

这引发了一些重要的治理问题：

谁拥有AI系统？

谁对AI做出的决策负责？

谁来验证输出结果？

谁持续监控其性能表现？

缺乏清晰的治理结构，组织将面临在没有充分监督的情况下部署AI系统的风险。

有效的AI治理需要明确界定的角色与职责、董事会层面的可见性，以及确立可接受使用方式、监控要求和问责机制的政策。组织必须认识到，尽管AI可以辅助决策，但最终的责任仍由人承担。

AI的广泛普及带来了组织必须积极管理的若干风险类别。

数据隐私风险

AI系统的有效运行通常依赖大量数据。如果缺乏适当的控制措施，组织可能会在无意中泄露敏感信息、在没有适当同意的情况下处理个人数据，或违反隐私法规。使用公共AI工具的员工可能在不知情的情况下上传机密商业信息、客户记录或专有知识产权。这引发了重大的隐私和数据保护担忧。

偏见与伦理风险

AI系统的质量取决于用于训练它的数据。如果训练数据包含历史偏见，AI模型可能产生歧视性或不公平的结果。这在招聘、贷款、保险、医疗和执法等领域尤为令人担忧。组织必须建立识别、监控和缓解AI系统内偏见的机制。

网络安全风险

随着AI普及程度的提高，攻击面也随之扩大。威胁行为者正在利用AI加强网络钓鱼活动、实现攻击自动化、生成具有说服力的社会工程内容，并大规模识别漏洞。与此同时，AI系统本身也可能成为攻击目标。模型操纵、数据投毒、提示注入攻击以及对AI系统的未授权访问，都是新出现的网络安全隐忧。

运营风险

高度依赖AI系统的组织，可能在这些系统发生故障、产生不准确输出或出现意外行为时面临重大运营中断。在缺乏足够人工监督的情况下过度依赖AI，可能导致糟糕的决策和意想不到的后果。

声誉风险

一起与AI相关的事件就可能严重损害组织的声誉。有偏见的决策、隐私侵犯、不准确的输出或不道德的AI使用，都可能迅速侵蚀客户信任并引来公众审视。在当今的数字化环境中，信任是一项关键的商业资产。组织不能忽视AI带来的声誉影响。

合规范局正在演变

随着AI普及加速，全球监管机构正日益关注AI治理与问责。虽然AI为创新和效率带来了重大机遇，但也引入了需要适当监督的风险。为此，各国政府、监管机构和国际标准组织正在制定相关框架，以确保AI以负责任、合乎道德且透明的方式部署。

《欧盟人工智能法案》等新兴法规，以及ISO/IEC 42001和NIST人工智能风险管理框架等标准，标志着AI使用正明显转向更高的问责要求。各方不再期望组织仅仅是采用AI，而是期望它们证明AI在整个生命周期内都得到了有效治理。

随着监管期望的不断演变，组织在以下领域可能面临更严格的审查：

透明度：理解AI系统如何做出决策，并记录其预期用途。

数据保护：确保AI系统按照适用的隐私法规处理个人和敏感信息。

可解释性：为AI驱动的决策提供有意义的解释，尤其是在高风险或受监管的行业。

道德AI：解决围绕偏见、公平、歧视以及负责任使用AI的关切。

问责制：为AI系统建立明确的所有权、治理结构和人工监督。

风险管理：在AI整个生命周期中识别、评估并持续监控与AI相关的风险。

组织不应将这些发展视为额外的合规负担，而应将其视为建立信任和增强韧性的机会。今天便建立起健全AI治理框架的组织，将更有能力适应不断演变的法规、展示负责任的AI实践，并充满信心地进行创新。这一转变凸显了一个重要现实：AI时代的合规不再仅仅是满足监管要求，而是要将负责任的治理嵌入AI应用的每一个阶段。

为未来做好准备

AI监管格局仍在演变之中，随着AI技术不断进步，组织应预期将有新的立法、行业标准和监管指引相继出台。具有前瞻性的组织并没有坐等新法规生效，而是今天就采取主动措施建立治理框架。

现在就构建成熟的AI治理能力可带来多项长期益处。它使组织能够更快地适应不断变化的监管要求，增强利益相关者的信任，降低合规成本，并最大限度地减少代价高昂的执法行动或声誉损害的风险。更重要的是，它将治理定位为创新的推动者，而非创新的障碍。

从一开始就将治理、风险与合规原则融入AI计划的组织，将更有能力在不断演变的监管环境中从容前行，同时继续自信地开展创新。在人工智能时代，合规不再仅仅是满足今天的监管要求，而是要为明天的期望做好准备。

GRC在负责任AI应用中的作用

正是在这一点上，治理、风险与合规职能变得至关重要。

人工智能从根本上改变了围绕治理、风险与合规的讨论。传统上，GRC职能被视为确保监管合规、开展风险评估和制定组织政策的机制。虽然这些职责依然不可或缺，但AI的兴起已将GRC的角色从合规扩展为一项能够推动负责任创新的战略性业务职能。GRC并不会拖慢创新的步伐，而是提供了让组织能够自信创新的结构。

治理的核心在于确立问责。随着AI系统日益深入地参与业务流程和决策制定，组织必须明确界定所有权、职责、审批流程和监督机制。有效的治理可确保AI计划与组织目标、伦理原则以及组织的整体风险偏好保持一致。

风险管理使组织能够识别、评估、分析和缓解AI带来的风险。与传统技术风险不同，与AI相关的风险是动态且不断演变的。偏见、模型漂移、不准确的输出、网络安全威胁、隐私问题、第三方依赖和声誉风险，都需要在AI整个生命周期内进行持续监控。这进一步表明，AI风险管理应成为一个持续进行的过程，而不是部署前一次性完成的评估。

合规确保AI系统在适用的法律、监管和行业要求范围内运行。随着全球AI法规持续演变，组织需要相应机制来持续监控合规义务、评估监管变化，并向监管机构和利益相关者展示问责。

然而，GRC最重要的贡献或许在于它能够将这三个学科连接成一个统一的框架。没有对风险的理解，就不存在有效的AI治理；没有清晰的治理，有效的风险管理就无法成功；缺少两者，合规便无法持续。治理、风险与合规三者结合，为组织提供了负责任地采用AI所需的可见性、问责制和韧性。

因此，成熟的GRC计划应通过以下方式将AI纳入现有治理结构：

• 制定企业级的AI治理政策和标准。
• 维护AI系统及其相关风险的清单。
• 在实施之前开展针对AI的专项风险评估。
• 将AI风险纳入企业风险登记册。
• 在AI整个生命周期内持续监控其性能。
• 加强对AI供应商和服务提供商的第三方风险管理。
• 持续开展员工负责任使用AI的意识培训。
• 向高管层和董事会报告与AI相关的风险。

重要的是，组织应避免将AI治理视为一项单独的举措。相反，AI应被整合到现有的治理、风险与合规计划之中，使组织既能利用既有的治理结构，又能对其进行调整以应对新出现的AI相关挑战。

成功将AI整合到GRC框架中的组织，不仅能改善监管合规状况，还能增强运营韧性、巩固利益相关者的信任，并为创新打造可持续的基础。归根结底，从AI中获得最大价值的组织，不会是那些拥有最先进算法的组织，而是那些拥有最强治理能力的组织。

面向组织的务实建议

随着人工智能持续变革业务运营，组织必须认识到，成功的AI应用并不仅仅取决于技术能力。长期的成功需要强有力的治理、有效的风险管理和持续的合规。主动奠定这些基础的组织，将更有条件释放AI的价值，同时保持信任、韧性和监管合规。

以下建议为将AI整合到现有治理、风险与合规（GRC）计划中提供了务实的路线图。

1. 制定企业级AI治理战略

AI计划不应在各个业务部门中孤立出现。相反，组织应制定一项全面的AI治理战略，使其与整体业务目标、数字化转型议程和企业风险管理框架保持一致。

该战略应清晰阐明：

• 组织对AI应用的愿景。
• 期望AI解决的业务问题。
• AI技术的可接受使用场景。
• 对AI相关活动的风险容忍度。
• 指导AI实施的治理原则。

企业级战略有助于消除碎片化的AI计划，促进一致性，并确保创新服务于更广泛的组织目标，而不是造成不必要的复杂性。

2. 设立跨职能的AI治理委员会

AI几乎影响着每一个业务职能，因此跨职能的监督至关重要。组织应设立一个AI治理委员会，成员来自高管层、信息技术、网络安全、风险管理、合规、法务、数据隐私、内部审计、人力资源和业务运营等部门。

该委员会应负责审查拟议的AI计划、批准高风险的实施项目、跟踪监管动态、监督伦理方面的考量，并确保AI项目与组织战略保持一致。

跨职能治理有助于防止各自为政的决策方式，并确保从多个角度评估AI风险。

3. 维护全面的AI资产清单

组织无法治理自己并不知情的AI系统。迈向有效AI治理的第一步，就是建立并维护一份涵盖组织内部部署的所有AI应用的清单。

该清单应包括：

• AI系统的用途
• 业务负责人
• 供应商（如适用）
• 数据来源
• AI技术类型
• 所支持的业务流程
• 风险分类
• 监管义务
• 实施日期
• 审查频率

维护这份清单可以提供对AI使用情况的可见性，支持监管报告，并有助于在AI整个生命周期内进行更有效的风险监控。

4. 在部署前开展AI专项风险评估

每项AI实施在投入生产环境之前，都应经过结构化的风险评估。与传统技术评估不同，AI风险评估应考察更广泛的因素，包括网络安全风险、数据隐私影响、伦理问题、模型偏见、可解释性、监管义务、运营影响、第三方依赖、业务连续性影响以及声誉风险。

其目标不是消除所有可能的风险，而是确保在部署之前，风险已在组织界定的风险偏好范围内得到识别、评估和管理。

5. 界定明确的所有权与问责

围绕AI的最大治理挑战之一是问责。当AI系统给出不准确的建议，或在无意中造成不良后果的业务决策中发挥作用时，组织必须知道应由谁负责。

每个AI解决方案都应有明确界定的所有权，包括对以下方面的责任：

• 模型性能
• 风险管理
• 监管合规
• 持续监控
• 事件管理
• 定期审查
• 业务成果

尽管AI可以实现决策流程的自动化，但问责必须始终由人类利益相关者承担。明确界定的所有权能够强化治理，并在AI整个生命周期内支持明智的决策。

6. 更新现有政策以应对AI使用

许多组织已经制定了涵盖信息安全、可接受使用、数据隐私、采购和第三方风险管理的政策。然而，这些政策往往未能针对AI特有的风险。

组织应审查并更新现有政策，纳入以下方面的指引：

• 生成式AI工具的可接受使用
• 机密信息处理
• AI辅助决策
• 知识产权考量
• 数据保护要求
• 道德AI原则
• 人工监督要求
• 员工使用AI时的责任

与其制定单独的AI政策，组织不如将AI治理整合到更广泛的公司治理框架之中。

7. 加强第三方AI风险管理

大多数组织依赖外部AI供应商、云服务商或软件即服务（SaaS）平台。这使得第三方风险管理比以往任何时候都更加重要。在与AI供应商合作之前，组织应评估：

• 信息安全控制措施
• 隐私实践
• 合规认证
• 数据驻留要求
• 模型透明度
• 事件响应能力
• 合同义务
• 知识产权保护
• 分包商安排

供应商尽职调查不应局限于传统的安全问卷，还应评估AI提供商如何管理伦理、运营和监管方面的风险。

8. 实施持续监控

AI治理并不会在系统部署后宣告结束。AI系统会不断演进、从新数据中学习，并可能随时间推移表现出不同的行为。组织应建立持续监控流程，以评估：

• 模型准确性
• 安全事件
• 数据质量
• 监管合规
• 偏见指标
• 性能指标
• 业务成果
• 新兴风险

持续监控使组织能够及早发现问题、主动做出响应，并对AI驱动的流程保持信心。

9. 打造具备AI意识的员工队伍

单靠技术无法保证负责任的AI应用。员工仍是有效AI治理最关键的组成部分之一。组织应定期开展意识培训项目，涵盖以下主题：

• 负责任地使用AI工具
• 与AI相关的网络安全风险
• 提示安全
• 数据隐私义务
• 识别AI生成的虚假信息
• 伦理考量
• 组织AI政策

培训范围不应局限于技术团队，还应包括高管、业务负责人、法务团队、合规专员和运营人员。打造具备AI意识的员工队伍能够增强组织韧性，并降低与AI应用相关的人为风险。

10. 使AI计划与组织风险偏好保持一致

或许最重要的建议，是确保AI应用与组织的整体风险偏好保持一致。并非每个组织对AI相关风险的容忍度都相同。银行、医疗和关键基础设施等受到严格监管的行业，可能需要比监管环境较宽松的组织更为严格的治理控制。

在实施任何AI计划之前，组织应思考以下问题：

• 该AI应用是否支持我们的战略目标？
• 它会带来哪些风险？
• 这些风险是否处于我们可接受的容忍范围内？
• 我们是否有足够的控制措施来管理这些风险？
• 如果AI系统发生故障或出现意外行为，我们是否做好了应对准备？

使AI应用与组织风险偏好保持一致，可确保创新以负责任的方式进行，并支持可持续的业务增长，而不是引入不必要的风险敞口。

结论

人工智能无疑是我们这个时代最具变革性的技术之一。它提升效率、加速创新并开辟新的商业机遇的能力，正以前所未有的速度重塑各个行业。然而，在拥抱AI的同时，组织也必须认识到，每一项技术进步都会带来新的责任。

讨论不应再局限于AI能做什么，还必须涉及应如何治理AI。

缺乏有效治理，AI在创造价值的同时同样容易放大风险。缺乏稳健的风险管理，组织可能面临运营中断、监管审查、网络安全威胁和声誉损害。而缺乏强有力的合规框架，创新很快就会超越问责。

正是在这里，治理、风险与合规变得不可或缺。

随着AI不断发展，我们的治理、风险与合规方法也必须与时俱进。未来属于那些认识到GRC并非创新障碍、而是让可持续创新成为可能的基础的组织。从一开始就将治理嵌入AI战略的组织，将更有条件负责任地创新、建立利益相关者的信任，并自信地应对日益复杂的监管环境。

在Platview Technologies，我们相信，成功的AI应用需要的不仅是技术能力，还需要一个治理框架，以确保创新始终保持安全、可问责，并与业务目标保持一致。通过我们的治理、风险与合规咨询服务、网络安全专业知识以及风险管理能力，我们帮助组织构建充分发挥AI潜力所需的架构、政策和控制措施，同时保持信任和监管就绪状态。

问题已不再是您的组织是否会采用AI。真正的问题在于，您的治理、风险与合规框架是否已做好准备对其进行治理。

如果您的组织希望加强GRC战略、建立负责任的AI治理实践，或提升整体风险与合规态势，请通过以下方式与我们联系：

电子邮件：grc@platview.com、info@platview.com

网站：

延伸阅读：OpenAI推出面向青少年的ChatGPT，配备更强的安全控制