AI 治理

2026 年的 AI 治理：在监管完善之前建立务实的治理体系

作者: Meridian Strategy Partners
发布日期: 2026 年 10 月 1 日
阅读时长: 约 8–10 分钟

Abstract illustration of an AI system surrounded by governance layers, checkpoints, and oversight pathways

人工智能正以快于许多组织建立相应内部治理结构的速度，进入日常业务运营。

企业正在将生成式 AI 用于起草、研究、客户支持、市场营销、产品开发、编程、数据分析、招聘以及内部决策。然而，在许多组织中，一些基本的治理问题仍未得到解决：谁负责 AI 相关风险？哪些用途需要审查？哪些数据可以提供给外部模型？何时必须进行人工监督？应如何评估供应商？当 AI 系统影响客户、员工或其他利益相关方时，组织应如何记录相关决策？

因此，2026 年的核心挑战并不仅仅是监管合规，而是组织准备度。

务实的 AI 治理体系应在支持负责任采用的同时，建立足够的可见性、问责机制与控制，使组织能够了解 AI 的使用方式以及重大风险可能出现的环节。

AI 治理不止于合规

AI 治理常被视为法律或监管问题。这种理解过于狭窄。

监管固然重要，尤其是在各司法管辖区就透明度、问责、消费者保护、数据使用以及高风险应用采取不同监管路径的情况下。但有效的治理，应在企业询问法规有何要求之前便已开始。

在运营层面，AI 治理至少连接以下六项职能：

商业战略；
技术实施；
风险管理；
数据治理；
内部控制；
监管意识。

美国国家标准与技术研究院（NIST）的 NIST AI Risk Management Framework（NIST 人工智能风险管理框架，AI RMF）体现了这一更宽泛的视角。NIST 将 AI RMF 描述为一项自愿性框架，旨在帮助组织将可信性考量纳入 AI 系统的设计、开发、使用与评估。该框架围绕四项职能构建：治理（Govern）、映射（Map）、衡量（Measure）与管理（Manage）。NIST

这一框架的价值在于，它将 AI 风险管理视为贯穿全生命周期的过程，而非一次性的合规工作。

其商业含义十分明确：组织应了解 AI 在何处被使用，理解这些用途的重要程度，明确监督责任，并维持与实际风险相称的控制措施。

1. 明确问责机制

首要的治理问题并非技术问题，而是组织问题。

任何具有实质意义的 AI 项目都需要明确的责任归属。

对于大型组织而言，相关责任可能分布于技术、信息安全、合规、法务、隐私、产品、采购及高级管理层等多个职能。对于规模较小的企业，结构可以轻量得多。初创企业未必需要设立正式的 AI 委员会，但仍应明确由谁负责审批较高风险的用例，以及问题出现时由谁负责应对。

问责机制应回答以下实际问题：

谁可以审批新的 AI 用例？
谁负责评估高风险用途？
谁负责供应商审查？
谁决定敏感数据能否提供给 AI 系统？
谁负责应对 AI 相关事件？
谁决定是否需要人工审核？
谁负责保存重大 AI 决策的记录？

无法回答这些问题的治理结构，在压力之下很难有效运作。

这并不意味着每个组织都需要再增加一层官僚架构。适当的结构应与企业的规模、行业、商业模式以及 AI 相关风险敞口相匹配。

2. 先建立 AI 清单，再制定政策

许多企业在开展 AI 治理时，首先着手编写政策。

这往往是本末倒置。

在制定规则之前，组织应先识别 AI 已被如何使用。

有效的 AI 清单可包括：

AI 系统或供应商；
使用该系统的业务职能；
所涉及的数据类型；
输出是否影响外部用户；
该系统是否作出或支持具有重大影响的决策；
员工在使用前是否审核输出；
是否涉及个人、保密或专有数据；
该系统为内部开发还是由第三方提供。

这份清单为有实质意义的治理奠定了事实基础。

缺少这一基础，企业可能拥有一份措辞完善的 AI 政策，而员工却在各自采用管理层并不知情的工具。

3. 采用基于风险的分类

并非所有 AI 用例都需要同等程度的审查。

使用 AI 工具总结一篇公开文章，与使用自动化系统影响招聘、资格认定、定价、医疗、信贷或重要服务的获取，有着本质区别。

因此，务实的治理框架应按风险对 AI 用途进行分类。

4. 加强第三方 AI 治理

大多数采用 AI 的企业并不自行训练前沿模型。

它们是在采购 AI。

因此，供应商治理是整个治理体系中最重要的组成部分之一。

在采用外部 AI 系统之前，组织应了解：

传输了哪些数据；
提示词或输出是否可能被留存；
客户数据是否可能被用于模型改进；
存在哪些安全控制措施；
是否涉及分包处理方；
可获得哪些合同承诺；
供应商变更其模型或服务时会产生何种影响；
企业如何持续监测其表现。

当组织将 AI 直接嵌入面向客户的工作流程时，第三方风险尤为重要。

问题不应仅仅是：这家供应商是否信誉良好？

而应是：该系统在我们的业务中扮演何种角色？可能出现哪些问题？哪些控制措施仍在我们自身组织的掌控之中？

即使供应商声誉良好，客户组织对该技术如何部署所承担的责任也不会因此消除。

5. 将准确性与营销宣传视为治理问题

AI 治理并不局限于隐私、安全或技术性能。

它还涵盖企业如何描述其 AI 产品。

美国联邦贸易委员会（FTC）已多次针对涉嫌欺骗性的 AI 能力或性能宣传采取行动。例如，2025 年，FTC 在质疑 DoNotPay 关于其 AI 服务可替代人类法律专业知识的宣传后，最终确定了一项涉及该公司的命令。FTC 还处理了涉及 AI 无障碍工具、商业机会及营销技术等方面涉嫌缺乏依据的宣传案件。美国联邦贸易委员会（FTC）

2026 年，FTC 还就一份拟议政策声明公开征求意见，该声明涉及《联邦贸易委员会法》第 5 条在 AI 准确性相关陈述上的适用。美国联邦贸易委员会（FTC）

即使不依赖任何单一执法理论，更广泛的治理启示也十分清晰：

企业应能够证实其关于 AI 系统能力的陈述。

这意味着，在描述 AI 能力时，市场、产品、合规与技术团队不应各自为政。

诸如以下的宣传：

“完全自动化”；
“100% 准确”；
“无偏见”；
“设计即合规”；
“达到人类水平”；
“保证”；

除非组织拥有可信证据支持，否则应受到更严格的审查。

因此，AI 治理需要与产品宣传和对外沟通相衔接，而不仅限于技术部署。

6. 将文档记录纳入运营模式

组织往往在问题出现之后，才意识到文档记录的价值。

成熟的治理体系应保存与 AI 用途重要程度相称的记录。

这些记录可包括：

AI 可接受使用政策；
风险评估；
审批记录；
供应商评估；
测试结果；
人工监督要求；
事件报告；
升级处理程序；
已部署系统的重大变更；
定期审查。

其目的并非为文书而文书。

文档记录构成组织的机构记忆。

它还有助于组织说明某一系统为何获批、当时存在哪些保障措施，以及作出了哪些假设。

这一点尤为重要，因为 AI 系统可能因模型更新、新的提示词、新的集成、新的训练数据或外部供应商所作的变更而发生变化。

今天部署的 AI 系统，六个月后的表现未必完全相同。

7. 人工监督应经过设计，而非想当然

组织常常声称仍有人“在环中”（human in the loop）。

除非明确界定了人的具体角色，否则这一说法的价值有限。

有效的人工监督需要回答以下问题：

审核人员是否理解该任务？
审核人员是否掌握足够信息以质疑 AI 输出？
是否有足够时间进行有意义的审核？
审核人员能否否决系统建议？
不同意见是否被记录？
是否鼓励使用者质疑输出，而非简单确认？

自动接受机器生成建议的人员，并未提供有意义的监督。

对于影响较大的用例，组织应考虑明确规定何时必须进行人工审核，以及审核人员应评估哪些内容。

8. 全球化企业需要监管映射职能

对于跨司法管辖区运营的企业而言，AI 治理日益需要进行监管映射。

欧盟《人工智能法案》尤为重要，因为其各项要求将在数年内分阶段实施。

根据欧盟委员会及其 AI Act Service Desk（《人工智能法案》服务台）的信息，该法案于 2024 年生效，不同类别的要求适用于不同日期。禁止性规定及与 AI 素养相关的条款自 2025 年 2 月起适用；治理规则以及通用目的 AI 模型的部分义务自 2025 年 8 月起适用；第 50 条规定的透明度要求自 2026 年 8 月 2 日起适用。其他高风险系统相关条款的适用日期较晚，其中特定类别包括 2027 年 12 月和 2028 年 8 月。AI Act Service Desk（《人工智能法案》服务台）

这种分阶段实施说明，企业应避免将治理简化为一份单一的检查清单。

监管环境正在不同的时间表、不同的司法管辖区以及不同的适用范围内演进。

因此，全球运营的企业应建立相应机制，以回答以下问题：

该 AI 系统部署于何处？
哪些客户或用户受到影响？
可能适用哪些监管制度？
哪些截止日期或过渡期至关重要？
哪些要求当前已适用，哪些仍属未来适用？

对于在各司法管辖区尚未设立专门监管团队、便已开展国际拓展的企业而言，这一点尤为重要。

9. 美国的治理格局仍较为分散

美国目前尚无一部可与欧盟《人工智能法案》相比的统一综合性联邦 AI 法律。

相反，治理义务来源于现有的消费者保护、隐私、特定行业、州层面、合同及其他法律框架的组合，同时还有自愿性技术标准和联邦政策举措。

在联邦政策层面，白宫 2025 年发布的《人工智能行动计划》（AI Action Plan）强调加速创新、基础设施建设与国际领导力。白宫

与此同时，FTC 等机构继续将现有的消费者保护原则适用于 AI 相关的陈述与行为。美国联邦贸易委员会（FTC）

各州也在持续制定各自的监管路径。例如，科罗拉多州正在于 2026 年就自动化决策技术开展规则制定，并有与聊天机器人相关的立法，其实施节点自 2027 年开始。科罗拉多州总检察长办公室

对于在全国范围内运营的企业而言，这种分散格局使内部治理变得更加重要，而非更不重要。

企业不能认为缺少一部联邦 AI 法律就意味着不存在监管风险敞口。

10. 治理应持续进行

AI 治理并非一个有完成日期的项目。

它是一项持续的运营流程。

组织应定期重新审视：

AI 清单；
风险分类；
政策；
供应商关系；
测试假设；
监管动态；
事件历史；
人工监督机制。

NIST 的 AI RMF 体现了这种生命周期导向，NIST 本身也在持续更新和扩充 AI 风险管理资源。2026 年，NIST 宣布正在修订 AI RMF 1.0，并开始制定一份聚焦关键基础设施领域可信 AI 的配置文件。NIST

其实际含义在于，治理结构应被设计为能够适应变化。

一份制定后便搁置不动的政策，并不构成 AI 治理体系。

务实的治理基线

对于许多成长型企业而言，可围绕以下七项要素建立可行的治理基线：

维护重大 AI 用途清单。
明确责任归属与升级处理职责。
按风险对用例进行分类。
在部署前审查高影响及敏感应用。
建立供应商与数据治理控制。
记录重大决策与事件。
随技术、业务运营与监管的发展重新评估框架。

目标不应是最大程度的控制。

目标应是适当的控制。

过于僵化的治理可能拖慢创新，却未能实质性降低风险。然而，治理不足则可能使技术、声誉、运营及监管问题在缺乏可见性的情况下出现。

因此，最有力的治理体系往往是相称的：后果越严重，审查越严格；风险有限之处，控制相应从简。

结语

2026 年，AI 治理正在成为一项核心的企业管理能力。

最有条件负责任地使用 AI 的组织，未必是那些等待监管机构先回答所有问题的组织；更可能是那些已经了解 AI 在何处被使用、由谁负责、哪些应用需要额外审查、如何管理供应商以及如何记录决策的组织。

监管将持续演进。

技术的演进将更快。

因此，组织面临的现实任务，是建立能够与二者同步演进的治理体系。

Meridian Strategy Partners 协助组织应对新兴技术、治理、风险与监管复杂性交汇处的议题。我们的工作重点在于将不断演进的技术与监管动态转化为务实的商业框架。

本文仅供一般信息参考，不构成法律、税务、投资、证券、会计或其他受监管的专业意见。

资料来源

本文主要参考的公开资料包括：NIST AI Risk Management Framework（NIST 人工智能风险管理框架）及生成式 AI 配置文件、欧盟委员会关于《人工智能法案》实施的资料、美国联邦贸易委员会（FTC）的 AI 执法与政策资料，以及截至 2026 年 10 月 1 日的美国联邦 AI 政策资料。

返回洞察