新加坡116页AI董事会指南：企业治理人工智能的7条规则

董事会可以围绕以下问题展开审查：

• 这个系统究竟要解决什么业务问题？
• 哪项成果预计会改善，改善幅度是多少？
• 企业将如何测量这种改善？
• 从试点扩大部署的依据是什么？
• 监督、安全、系统整合以及失败可能带来的成本是多少？

企业开展大量实验，或许说明员工和管理层对AI有兴趣，但这本身并不能证明投资已经产生回报。

3. 把员工自发试验转化为受治理的能力

在正式AI项目启动之前，员工往往已经找到有用的应用方式。指南鼓励董事会和管理层利用这些一线经验，同时把自发试验纳入企业的控制环境。

这包括记录员工利用AI开发的工具，明确谁可以使用、能用于什么目的，并检查这些工具是否符合适用的安全和治理要求。目标不是扼杀试验，而是避免有用的原型变成“看不见、没人维护”的系统，在缺乏足够控制的情况下影响客户、员工或企业数据。

4. 把AI风险当作全企业风险

AI治理不能只关注模型是否“好用”。董事应同时审视伦理、网络安全、数据、安全、隐私和人才风险，以及AI对企业韧性和长期价值创造的影响。

因此，董事会需要知道：企业在哪些环节使用AI，涉及哪些数据和第三方，谁对每个系统负责，发生事故时如何报告，以及何时必须暂停或重新审查部署。风险控制应与失败后果相匹配：低影响的内部效率工具，不应与会影响就业、客户准入或人身安全的系统采用同一套控制强度。

5. 明确人工监督要求和自动化“红线”

指南要求企业清楚划定决策边界。董事会应明确哪些情形必须由人复核，并确定自动化决策不可触碰的“红线”，尤其是涉及客户、员工、安全或隐私的决定。

真正有效的人工监督，要求复核人员拥有足够的信息、权限和时间去质疑或推翻AI提供的建议。如果人工审批只是形式上的一步，最终沦为对自动化结果的“盖章”，就不能算有意义的监督。

6. 为AI辅助的员工决策增加保护措施

将AI用于招聘、晋升或绩效评估，可能直接影响个人的机会和生计。指南建议，在这些场景中设置人工复核、偏见测试和数据质量检查，并建立清晰的申诉或复核渠道，让受影响者能够对决定提出质疑。

对董事会而言，这意味着公平不应停留在原则层面，而要转化为具体的监督问题：有什么证据表明系统按预期运行？哪些群体可能受到不利影响？个人如何对结果提出异议？

7. 将网络韧性和问责留在董事会层面

指南将AI纳入企业整体组织和数字韧性的治理责任之中。其建议反映出一个日益明确的趋势：董事会需要主动监督AI相关风险，包括网络威胁，而不能假定技术团队可以独自处理所有问题。

董事应向管理层追问：AI是否扩大了企业的攻击面？敏感数据如何受到保护？供应商如何评估？如果AI系统遭到入侵，或产生有害输出，企业将如何响应？不同企业所需的具体控制措施会有所不同，但提出并持续追问这些问题，是董事会无法回避的责任。

董事会下一步可以做什么？

企业可以先从以下五个问题开始进行内部盘点：

1. 企业目前已经在哪些地方使用AI——包括员工自行开发的工具？
2. 哪些部署具有战略重要性，或可能产生较大影响？
3. 管理层向董事会报告哪些价值和风险指标？
4. 哪些场景必须人工复核，哪些自动化决定被明确禁止？
5. 受影响者能否挑战决定？企业能否安全地暂停某个系统？

这份指南传递出的更大信息是：负责任的AI治理不是制定一份政策就结束的“一次性作业”。董事会需要足够的AI素养来监督战略，足够的证据来判断价值，也需要足够的权限在风险超过收益时设定限制。