# 削减人工智能治理真的省钱吗？

> 为加快上线而削减人工智能治理，看似便宜，直到发生数据泄露、罚款或项目失败。关于人工智能监督薄弱的代价，证据说明了什么。

URL: https://www.clarityailab.com/zh/insights/profit-or-peril-cutting-ai-governance-billion-dollar-mistake/

为了加快上线而削减人工智能治理，是一种虚假的节约。监督薄弱的账单会在之后以数据泄露、法律责任、监管罚款和被放弃的项目等形式到来，而最新证据显示，其中任何一项都足以抵消团队节省的时间。

本文面向被要求压缩审查、测试和监督以便更快推出人工智能产品的企业领导者。文章列出双方的成本，以及一种既保留治理又不拖慢速度的轻量做法。

## 为什么会有削减人工智能治理的压力？

人工智能工具变化很快，竞争对手迅速推出产品，审查让人觉得是阻力。治理很容易被视为成本中心：拖延上线的人员、文件和审批。主张削减的理由建立在一个假设上：治理所管理的风险不太可能发生或代价不高。下面的证据检验了这个假设。

## 薄弱的人工智能治理代价几何？

**数据泄露。** IBM的[《2026年数据泄露成本报告》](https://www.ibm.com/think/x-force/2026-cost-of-a-data-breach-ai-adversaries-enterprise-risk)显示，全球数据泄露的平均成本达到创纪录的499万美元，比上一年增加12%。人工智能驱动的攻击增加了56%，平均每次泄露增加100万美元。在涉及组织自身人工智能模型或应用的事件中，提示注入攻击造成的平均损失为589万美元。

**法律责任。** 2024年，不列颠哥伦比亚省民事解决审裁处[判令加拿大航空赔偿一名客户](https://www.cbc.ca/news/canada/british-columbia/air-canada-chatbot-lawsuit-1.7116416)，原因是其网站聊天机器人就丧亲票价给出了错误建议。航空公司辩称聊天机器人是“一个对自身行为负责的独立法律实体”。审裁处称这是“一个令人瞩目的主张”，并认定加拿大航空“没有采取合理措施确保其聊天机器人准确”。赔偿金额不大，812加元；但原则并不小：公司要为其人工智能对客户说的话负责。

**罚款。** 根据[欧盟《人工智能法案》第99条](https://artificialintelligenceact.eu/article/99/)，使用被禁止的人工智能做法可被处以最高3500万欧元或企业全球年营业额7%的罚款，以较高者为准。其他违规的上限较低，但仍然严厉。

**项目失败。** Gartner在2024年7月预测，到2025年底，[至少30%的生成式人工智能项目](https://www.gartner.com/en/newsroom/press-releases/2024-07-29-gartner-predicts-30-percent-of-generative-ai-projects-will-be-abandoned-after-proof-of-concept-by-end-of-2025)将在概念验证后被放弃，原因包括数据质量差、风险控制不足、成本上升或商业价值不明确。这四个原因中有两个正是治理要解决的。

## 人工智能治理会拖慢速度吗？

它在前期增加工作，在后期减少工作。*分析：* 上述大多数代价都源于从未明确做出的决定：模型可以使用哪些数据、可以对客户说什么、谁来检查其输出、谁能把它关掉。在上线前做出这些决定只需几天；上线后才发现，可能要付出一次泄露或一份审裁判决的代价。

2023年1月发布、供自愿使用的[NIST人工智能风险管理框架](https://www.nist.gov/itl/ai-risk-management-framework)提供了一个共同结构。其[核心](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf)包括四项职能：

- **治理：** 谁负责、依据哪些政策；贯穿整个生命周期。
- **映射：** 系统的用途、使用场景以及可能出现的问题。
- **测量：** 如何测试和跟踪风险。
- **管理：** 针对风险采取什么措施、何时采取。

使用共同框架的团队，在每个新项目上花在争论流程上的时间更少。

## 主张削减的一方说对了什么？

有些治理是形式主义：没人读的冗长文件、没有标准的审批，以及对低风险内部工具和面向客户的系统采用同样的审查。这会拖慢团队却不降低风险。答案是相称，而不是取消：低风险用途轻量检查，人工智能涉及客户、资金、儿童或个人数据时深入检查。

## 领导者如何在不失速度的情况下保留治理？

1. **按风险分类用途。** 确定哪些人工智能用途属于低、中、高风险，并让审查与风险级别相匹配。
2. **指定负责人。** 每个面向客户的人工智能系统都需要一个对其言行负责的人。
3. **测试已知攻击。** 在上线前而不是第一次事故后检查提示注入和数据泄露。
4. **写下界限。** 记录每个系统可以使用哪些数据、绝不能做什么；这比事后重新发现要快。
5. **采用公开框架。** NIST的四项职能是监管者和合作伙伴都认可的免费起点。

在ClarityAILab，我们公开自身产品背后的治理；见我们的[治理政策](/governance/)。关于架构选择如何改变人工智能风险，见[一个大模型还是多个智能体？](/insights/the-monolith-is-dead-why-your-2026-ai-strategy-must-be-a-hive-mind/)。

### 人工智能治理会拖慢产品开发吗？

它在前期增加工作量，但之后可以节省时间。Gartner发现，风险控制不足是预计至少30%的生成式人工智能项目在概念验证后被放弃的原因之一。及早确定风险可以避免返工和项目中止。

### 欧盟《人工智能法案》的处罚是什么？

对于被禁止的人工智能做法，罚款最高可达3500万欧元或企业上一财年全球年营业额的7%，以较高者为准。其他违规的上限较低。

### 公司要为其聊天机器人说的话负责吗？

可能要。2024年，加拿大一家审裁处判令加拿大航空赔偿一名客户，原因是其网站聊天机器人就丧亲票价给出了错误建议；审裁处驳回了航空公司称聊天机器人是独立法律实体的说法。

### 什么是NIST人工智能风险管理框架？

这是美国国家标准与技术研究院于2023年1月发布的自愿性框架。它把人工智能风险管理分为四项职能：治理、映射、测量和管理。