AI治理流程图：从清单登记到退役
政策中立的 AI 治理流程模板，涵盖清单登记、风险分级、控制选择、独立评审、部署决策、监控、复评和退役。
什么是ai治理流程图：从清单登记到退役流程
只有当 AI 系统在生命周期状态间移动时必须有责任明确的记录和适度证据，治理才能真正运行。本模板从拟议、自建、采购或发生重大变化的 AI 能力进入清单开始。所有者记录目的、用户、支持的决策和版本，数据与隐私评审人员识别输入、输出和受影响群体。治理部门评估影响、发生可能性和可逆性，给出初步风险等级；若等级有争议，则引入独立质询。确认的等级映射到组织自己的控制集。数据、隐私、人工复核、安全、韧性和后备控制形成证据后，由独立评审人员评价限制和剩余风险。最后由独立的治理决策批准、退回或停止部署，使证据评审与发布授权相互分离。
这是政策中立的生命周期治理流程，并不声称某一种分级方法或控制集满足所有法律、标准或行业要求。适用义务、风险偏好和评审独立性因组织与用途而异。判断一个创意是否值得进入探索的前置漏斗属于 /zh/templates/AI用例审批流程；本图从能力需要清单记录时开始，并延续到交付后，由监控触发复评、控制变更或退役。产品开发、模型工程和事件响应仍是证据与监控步骤背后的独立流程。应根据实际情况调整分级标准、决策权限、控制库、评审周期和退役证据，并由具备资质的法律、风险、安全及领域人员解释具体部署的适用要求。
本流程图涵盖的内容
本模板包含
- 六条角色泳道和七个阶段，连接系统所有者、治理部门、数据隐私、安全、独立评审、部署和监控角色
- 在风险分级前建立版本化清单记录，覆盖目的、用户、决策、数据、输出和受影响群体
- 按组织自定风险等级选择适度控制，包括数据、隐私、人工复核、安全、韧性和后备安排
- 独立证据评审与治理部署决策分离，未结条件返回整改并刷新证据
- 带控制措施部署、持续监控表现和漂移，并通过复评决定继续、改变控制或保留记录后退役
何时使用本模板
- 各团队分散自建或采购 AI 能力，缺少统一记录目的、版本、所有权和生命周期状态的清单
- 所有系统接受相同评审，或已有风险等级却没有对应的具体控制和证据
- 团队需要部署前的独立质询，同时不让评审人员兼任系统所有者或发布批准人
- 已部署系统虽有技术监控，但重大变化、控制失效和退役决策没有返回治理评审
运作方式
定义清单边界
说明哪些自建、采购和嵌入式能力必须进入清单，以及什么算新版本或重大变化。按自身技术环境要求记录目的、所有者、用户、支持的决策、部署场景以及供应商或组件引用。
建立场景化风险等级
选择能反映实际用途的分级因素，例如规模、敏感度、可逆性、自动化程度、受影响群体和可用人工干预。记录分级理由，并为不确定或有争议的分类设置升级路径。
把等级映射到证据
为每个等级列出测试、文档、监督、监控、后备安排和评审角色要求。允许有理由的调整，但要记录谁接受了变更及原因，避免适度治理变成无记录豁免。
保护评审独立性
明确谁负责质询证据、谁作出部署决策。不要让系统所有者成为自身主张的唯一评审人，并定义未结条件如何在授权前回到刷新后的证据。
设定复评和退役触发条件
除定期评审外，还应由新模型或供应商版本、目的或数据变化、重大漂移、事件、控制失效或所有权变化触发复评。退役时定义安全停用、下游通知和记录保留。
常见问题
AI 治理流程包括哪些步骤？
登记系统目的、用户、决策、版本、数据和受影响群体；确认所有权；评估影响、可能性和可逆性；分配并在需要时质询风险等级；把等级映射到组织控制集；收集测试、限制和所有者证明；完成独立评审；作出单独的部署决策；带控制部署获批版本；监控表现、漂移、事件和控制运行；最后通过复评决定继续、改变控制或退役。
每个 AI 系统都需要相同控制吗？
不一定。适度流程根据使用场景和潜在影响决定控制及证据。低影响内部辅助工具与影响重大决策的系统可采用不同的评审深度、监控和权限。分级方法本身应有文档、可被质询并连接控制库，否则风险等级只是没有运营作用的标签。具体适用要求仍需按场景评审。
怎样才算独立的 AI 评审？
独立意味着评审人员可以质询证据、假设和剩余风险，而不对交付成功负责，也不是被评主张的作者；并不一定要求外部机构。汇报关系、专业能力和利益冲突管理都很重要，高影响场景可能需要更强分离。本模板也把独立评审与授权分开，让评审支持决策而不暗中取代决策机构。
何时应复评或退役 AI 系统？
应按规定周期复评，并在目的、模型或供应商版本、数据、用户群体、决策影响、实际表现、事件、控制运行或所有权发生重大变化时复评。剩余风险不可接受、用途过时、组件不再受支持或已有更好替代方案时可以退役。组织应自定触发条件、安全停用、下游沟通和决策记录保留，而不是依赖统一时间表。
此流程所处的位置
在大多数组织中，此流程紧随AI用例审批流程图之后。
前置流程
- AI用例审批流程图 — AI 用例审批模板，涵盖单一用例受理、价值、数据、可行性和风险评审、附条件批准、决策记录及交付移交。
所属
- 数据管理与治理
- AI 治理