分级与备案替代一律审批
把低风险场景改为备案制，只登记不审批，高风险才走评审。多数业务抱怨的不是治理本身，而是所有事都要等签字。如何分级？要给出具体例子，让业务能自己对号入座，减少来回询问，也减少审批人凭印象加码的可能。
责任不清就没人敢报
如果上报一个问题可能被追问是谁批准的，员工会选择不报。治理文件应写明：按流程批准的决策，责任在批准环节，不在执行人。为什么必须写清？否则机制会退化成互相留证据，邮件抄送越来越多，实际问题没人推动。
自查上报免责要先说
影子 AI 的清理不能靠突击检查。顺序怎么安排？先给一个窗口期，主动登记既往使用不追责，只做整改；窗口期后再发现则按制度处理。顺序颠倒会让使用转入更隐蔽的个人账号，风险反而上升，管理层彻底失去可见性。
供应商条款写进采购模板
数据不用于训练、日志可导出、模型变更提前通知、退出时数据删除，这些条款如果每次谈判都从零开始，业务会放弃。怎么办？做成采购模板的固定附件，供应商不接受就换，谈判成本大幅下降，也避免关键条款被漏掉。
适用与不适用
适合谁
- 治理机制已发布但执行率低的企业
- 业务部门反映审批慢、绕开流程的组织
- 准备清理影子 AI 使用的信息安全团队
不适合谁
- 治理框架尚未成形、仍在讨论原则的团队
- 没有任何 AI 使用、也无对外输出的组织
典型场景
某集团发布治理办法后，两个月只有三个场景登记。治理小组改为分级备案，并宣布一个月内主动登记既往使用不追责。窗口期内登记了十一个场景，其中四个是部门自购工具。随后把数据条款做成采购附件，新签合同不再逐条谈。
可执行步骤
- 按数据敏感度与对外影响分级，低风险场景改为备案，减少审批量与等待时间
- 在制度中写明责任归属到批准环节，执行人不因按流程执行被追责，并公开示例
- 设自查登记窗口期，明确不追责口径与整改要求，先收拢再规范，给出截止日
- 把数据使用、变更通知与退出删除条款做成采购模板固定附件，随合同流转
- 窗口期结束后按制度处理并公布结果，保持口径一致，避免反复解释
常见坑
- 一律审批，业务嫌慢私下用个人账号，风险从可见变为不可见，出了问题才发现且无法补救。
- 把上报问题当成追责线索，第二个月起再无人主动登记，治理小组失去信息源与判断依据。
- 突击检查影子 AI，员工删除记录与聊天，后续审计无据可查，整改也无从下手只能重来。
- 供应商条款每次重谈，业务为省事跳过法务，关键条款缺失，事后追责困难且无书面依据。
自检与验收清单
- 是否按风险分级，并明确备案的适用范围与登记方式
- 责任归属是否写到批准环节，并有书面表述可查
- 自查窗口期与免责口径是否提前公布，并留有截止日
- 采购模板是否含数据使用、变更条款及退出删除要求
- 窗口期后的处理是否公开、口径一致、有记录可查
常见问题
业务坚持说治理拖慢项目怎么办？
先量化：统计审批平均时长与退回原因，多数拖延来自材料不全而非审批本身。可提供标准材料清单与预审，把来回次数降下来。若确实因分级过细，就调整分级，而不是取消治理，否则风险会集中回到信息安全。
发现员工用个人账号处理公司数据怎么处理？
先判断数据敏感度与是否有外泄迹象，再按制度处理，同时补齐企业侧工具与授权，否则同类行为会继续。只处罚不提供替代方案，通常导致使用更隐蔽，管理层失去可见性，风险敞口反而扩大。
供应商不接受数据条款怎么办？
先评估该场景是否必须用这家。若必须，则限制输入数据的范围并做脱敏，同时记录风险接受决定与批准人。把风险接受写成书面决定，比口头默许更能在审计时说明问题，也便于后续复盘。