什么是 AI 治理框架？
AI 治理框架是支撑 AI 政策的管理体系：它规定谁可以批准 AI 工具或用途、必须记录哪些内容、如何检查风险，以及何时重新审视决定。可接受使用政策告诉员工该怎么做；治理则决定政策应包含什么，并确保其内容始终准确。
大多数已发布的框架都是为开发 AI 系统的大型组织编写的。对于使用现成助手、规模为 5 至 200 人的公司，同样的逻辑仍然适用，只是实施规模要小得多。目标是让每项获批用途都有负责人、使用理由和复审日期，让任何人都不必猜测由谁作决定。
本页仅提供一般信息，不构成法律建议。如果您将 AI 集成到产品中、自动作出涉及个人的决定，或在受监管行业工作，您还需要进行超出本页所述范围的专业审查。
小公司如何应用 NIST AI 风险管理框架？
NIST AI风险管理框架是一套自愿采用的框架，于2023年1月26日发布，将AI风险管理工作分为四项职能：治理、识别、衡量和管理。NIST表示，该框架旨在供自愿使用，不针对特定行业或使用场景，为各种规模的组织提供灵活性。它还指出，使用者可以根据自身资源和能力选择框架中的类别，小团队正应如此。
治理贯穿整个流程，涵盖文化、政策、角色和问责。情境梳理用于明确系统的使用情境及其中的风险。衡量通过定性或定量方法分析和监测这些风险。管理则针对已发现的风险分配资源，并制定事件响应与恢复计划。NIST 页面指出，该框架正在修订，因此引用前请确认当前版本。
下表是我们针对小团队调整的版本。它不是 NIST 的官方实施概况，使用它也不代表公司符合任何合规要求。
| NIST 职能 | 这对一家 30 人的公司意味着什么 | 具体成果 |
|---|---|---|
| 治理 | 指定负责人、制定政策、培训员工，并确定由谁审批新的用途 | 注明负责人姓名的政策、培训记录 |
| 梳理 | 针对每项 AI 用途，记录任务、涉及的信息，以及出错会影响哪些人 | 登记表中每项用途占一行 |
| 衡量 | 抽查输出，收集反馈的问题，定期检查供应商条款 | 审查记录和问题日志 |
| 管理 | 根据检查结果批准、限制或停用相关用途；响应事件 | 更新后的登记表和事件记录 |
小企业的 AI 治理应该由谁负责？
应指定一人负责 AI 治理，并为其无法独立作出的决定明确审批安排。在实际工作中，少于 50 人的公司通常由创始人或首席运营官负责；规模较大的公司则通常由向管理层汇报的运营或信息技术负责人负责。NIST 的治理指南要求高层管理者对 AI 风险相关决策承担责任，并明确职责和沟通渠道。
以虚构的 60人软件公司红隼系统公司为例，一种可行的分工是：运营总监负责登记册并审批新工具；数据保护负责人审批任何涉及个人数据的用途；各部门负责人审批本部门的工作流程并审核输出；总经理审批年度审查。四位负责人覆盖全部事项，每个人都知道哪些问题归自己负责。
负责人
维护登记表、组织复核，并担任首要联系人。指定一名负责人和一名后备人员。
数据审核确认
审批所有涉及个人信息的用途，并决定是否需要开展影响评估。
工作流程审批人
熟悉业务、批准本部门用途并指定输出审核人员的部门负责人。
管理层
认可整体风险水平，并签字批准年度审查。
AI 登记台账应记录哪些内容？
AI 登记表应记录每一项获批工具及其用途，包括所用套餐、允许执行的任务、允许使用的信息、负责人、审核人和审核日期。NIST 的治理指导要求建立 AI 系统清单管理机制，并根据风险优先级配置资源；对小公司而言，一份共享电子表格就足够了。
也要记录第三方的详细信息，因为小公司使用的 AI 系统几乎都来自供应商。NIST 的治理资料涵盖第三方 AI 风险政策，以及第三方系统失效时的应急流程。落实到登记表中，就是记录：供应商条款对训练、数据保留和删除有何规定，你上次核查的时间，以及工具无法使用或条款变更时你会如何应对。
红隼公司的示例记录："工具：[助手]企业工作区。用途：起草内部文档和总结公开研究资料。信息范围：仅限公开和内部信息。负责人：运营总监。审核人：凡对外发布的内容，均由作者的直属经理审核。供应商条款核查日期：[日期]。备用方案：不使用AI起草。下次审核日期：[日期]。"
想看看这与具体岗位有什么联系吗？
了解规划中的团队试用 ↗应如何审批新的 AI 用途？
新的 AI 用途应通过一份简短的书面申请获得批准。申请需回答五个问题，方便负责人快速决定，并留下决策记录。小公司的大多数申请风险较低，应该一天内就能处理，不必召开委员会会议。审批流程太慢，会让人想绕过它。
凯斯特雷尔的申请表只有五行。只要任何一项回答涉及个人数据或针对个人的决策，就必须先经过数据审批，再批准申请。
工具与方案
具体会使用哪款产品和哪个账户？
任务
它要完成什么工作，由谁来用？
信息
会输入哪些类别的信息？
出错的后果
如果输出有误，谁会受到影响，影响有多严重？
审阅
输出在使用前由谁检查？
AI 治理政策应以哪些原则为基础？
AI 治理原则没有统一公认的清单；不同框架采用的原则不同，因此应选择一组简明、团队能够落实的原则。NIST 列出的可信 AI 特征包括：有效且可靠、安全、具备安全保障与韧性、可问责且透明、可解释且可理解、加强隐私保护，以及公平并对有害偏见进行管理。英国政府于 2025 年二月面向公务员发布的《AI 使用手册》提出了十项原则，首先是了解 AI 是什么及其局限，也包括在适当阶段实施有实质意义的人工控制。
对小企业来说，通常有三项工作原则就能覆盖主要情况：每项用途都有明确的负责人；信息只进入获准使用的系统；任何实际采用的输出都由人检查并负责。如果一项拟议用途无法同时满足这三点，就还不具备批准条件。
人们有时会问 AI 治理的三大支柱是什么。对此并没有统一标准。一种实用的理解方式是：人员（谁负责决策、谁接受培训）、流程（如何审批和审查使用方式）以及记录（登记台账及其中的决策记录）。
AI 治理决策应该多久复核一次？
每年至少审查一次完整台账。当供应商更改条款、套餐发生变化、客户合同新增 AI 条款，或上报的问题表明某个工作流程无效时，应审查相关条目。NIST 的治理指南涵盖了对风险管理流程的持续监测和定期审查。
对小公司来说，每季度花半小时通常就够了：负责人查看问题记录，核查两三项供应商条款，询问各部门负责人是否有用途发生变化，并停用无人使用的工具。停用闲置工具也是治理的一部分；NIST 的治理指南包含安全停用 AI 系统的流程。
培训在 AI 治理中发挥什么作用？
培训是治理中让规则能够落地的环节。NIST 的治理指南包括让人员接受 AI 风险管理培训。对于欧盟，欧盟委员会关于《人工智能法案》第4条的 AI 素养问答指出，没有适用于所有情况的统一方法，不要求提供证书，内部培训记录即可。
记录每个人接受过哪些培训，并围绕员工实际执行的任务开展培训。Tosheo.ai 正在开发中，旨在提供按岗位设计的练习，并让管理者查看技能进展和完成情况；它不是治理平台，也不会替你维护登记表。
小公司在什么情况下需要超出这些范围的支持？
如果你开发 AI 系统、将 AI 集成到产品中、使用 AI 作出或辅助作出对个人有重大影响的决策、大规模处理特殊类别的个人数据，或在受监管行业工作，仅靠轻量级框架并不够。这些情况可能需要正式的风险或影响评估、可认证的管理体系以及法律审查。
市面上有专门的 AI 治理软件，但主要面向大型组织。对于只使用少量助手的团队，通常一份电子表格登记册、一份简短的政策和一个复查日期就足够了，而且更容易保持更新。
来源与范围
NIST，AI 风险管理框架 1.0（NIST AI 100-1），January 2023 ↗
NIST，AI 风险管理框架概览页面，核查日期：16 October 2026 ↗
NIST AI 风险管理框架操作指南：治理，核查日期：16 October 2026 ↗