业务定必留痕
为什么由业务定：哪些操作必须留痕、留到什么程度，只有业务负责人清楚，因为他知道争议会发生在哪一环。安全部门给的是通用要求，落到具体业务往往过粗或过细；没有业务参与，日志清单会照抄模板，关键动作反而被漏掉。
安全定留存与访问
留存期限、脱敏规则、查询审批与存储方式由安全负责人定，并与法务对齐。为什么不能交给实施方定：留存期涉及合规义务与举证需要，脱敏口径涉及个人信息处理边界，一旦定错，整改要重跑全部历史数据。
运维管采集管道
采集代理、存储容量、时间同步与告警都属于运维职责。常见失败是日志平台由安全部门选型、运维不知情，上线后容量打满无人处理；怎么做：让运维从设计阶段参与，确认采集方式与容量规划可落地。
法务审计定调取
谁有权调取日志、走什么审批、多长时间内响应，由法务与内部审计共同定。边界：实施方不擅自查看客户业务日志，调试需要时按审批临时开通并留记录，这一条应写进项目确认单与运维规范。
角色缺席要代行
日志项目最常见的卡点是关键角色不参会，要求落不了地。做法：启动会上确认四类角色的具名负责人，并约定缺席时的代行规则，由客户方项目负责人书面指定代行人及其权限范围，代行决定同样有效但不免除原角色责任；连续两次缺席的，把待决事项升级到项目决策层，避免事项悬空。
适用与不适用
适合谁
- 多角色共用的企业 AI 应用与部门
- 需要向监管或客户证明可追溯的系统
- 由多方协作交付的项目与部门及其实施团队
不适合谁
- 单人使用、无审计要求的内部工具或演示原型
典型场景
某零售集团的会员问答助手上线前，由业务定必留痕的六类动作，安全定留存与脱敏规则，运维确认采集与容量方案，法务与审计定调取流程。实施方只按清单配置，调试需开通临时权限时按流程申请，全程留痕。
可执行步骤
- 由业务负责人列出必须留痕的动作与典型争议场景，形成清单，完成后归档。
- 安全与法务确认留存期限、脱敏口径与查询审批流程，签字后归档。
- 运维确认采集方式、存储容量、时间同步方案可以落地，并留存记录。
- 开发按字段字典完成埋点，并在联调阶段验证链路可以拼接，由责任人确认。
- 内部审计做一次独立调取演练，检验审批流程与响应是否顺畅，结果纳入验收。
常见坑
- 只让安全部门定日志清单，业务不参与，必留痕的关键动作漏掉，争议时才发现没有记录。
- 实施方自行决定留存期限与脱敏口径，合规评审被退回，已写入的历史数据要重跑一遍，事后难以补救。
- 日志平台由安全选型、运维不知情，容量打满后无人处理，采集中断数周也无人发现，证据缺口几乎补不回来。
自检与验收清单
- 业务是否列出必留痕动作与典型争议场景，并有记录
- 留存期限与脱敏口径是否由客户方书面确认，可现场抽查
- 运维是否参与采集方式与容量方案评审，可逐项核对
- 日志调取的审批流程是否经过一次演练验证，并有书面确认
常见问题
谁对日志合规负责？
客户方对数据处理合规负责，实施方按约定提供技术与配置支持。留存期限、脱敏口径与调取规则应由客户方安全与法务确认；我方不代替出具合规意见，也不擅自改变既定规则。
小团队人手不够怎么分工？
可以一人兼多个角色，但要在记录里写明兼任关系，避免自己定规则又自己验收。最低配置是业务出清单、技术做埋点、另有人做一次独立调取演练；三者由同一人完成时，至少请上级复核一次。
实施方能看我们的日志吗？
默认不能。调试需要时按客户方审批开通临时权限，限定范围与时长，操作留痕并事后回收。这条边界要写进项目确认单与运维规范，既保护客户数据，也让实施方在出问题时免于被质疑。