企业允许员工使用生成式 AI 前，需要先制定哪些规则？

先管工具、账号和输入，不靠员工自行猜测

内部规则首先要回答“在哪里用、用什么账号、能输入什么”。企业可以按公开、内部、敏感和禁止四级整理资料类型，再由数据、法务、安全和业务责任人确认具体边界。

• 列出批准、限制和禁止使用的工具与账号类型。
• 禁止输入密码、密钥、涉密信息和未经授权的个人信息。
• 客户资料、合同、源代码、财务和商业秘密按内部制度处理。
• 练习和培训优先使用匿名化、替换或合成材料。

把人工复核写成具体责任，而不是一句口号

不同输出需要不同复核：内部头脑风暴与对外合同、招聘决定、客户承诺的风险完全不同。规则应按场景指定事实、版权、隐私、政策、专业判断和对外承诺的审核人。

• AI 输出默认是草稿，不因为语气完整就视为事实。
• 合同、财务、法律、人事、健康和客户承诺必须由相应责任人核验。
• 对外文本、图片、音视频按渠道和适用要求检查生成内容标识。
• 保留来源、修改、批准和最终发布版本。

设定停止条件、异常上报和定期更新

可执行的规则不能只写禁止事项，还要告诉员工出错后怎么办。企业应指定报告入口和处置责任人，记录泄露、严重事实错误、歧视、不当内容、越权访问和供应商变化，并用真实事件更新培训与规则。

• 发现敏感信息误传时立即停止相关任务并按内部流程报告。
• 出现高风险错误、无法核验来源或责任不清时回退到人工流程。
• 工具条款、模型、账号权限或法规变化后重新评估。
• 规则定期复核，并让员工知道最新版本在哪里。

相关问题

参考资料

• NIST｜生成式人工智能风险管理框架应用指南 ↗：NIST AI RMF 生成式 AI 配套指南：组织需要定义角色、政策、监督、测试、事件沟通和持续风险管理。
• 国家互联网信息办公室｜生成式人工智能服务管理暂行办法 ↗：中国生成式人工智能服务的官方规范，涉及合法权益、个人信息、商业秘密、输入信息保护与服务协议等要求。
• 国家互联网信息办公室｜中华人民共和国个人信息保护法 ↗：个人信息处理的官方法律文本；企业在培训与试点中使用涉及自然人的资料时，应由内部责任人与专业人员核验适用要求。
• 国家互联网信息办公室｜人工智能生成合成内容标识办法 ↗：中国人工智能生成合成内容标识的官方办法；企业对外发布相关内容时，应由责任人核验适用范围和标识要求。