AI治理工作中的四大重要经验

尽管部分IT领导者对AI新兴技术的全面爆发措手不及，但不少同行却表现出卓越的远见，建立起AI治理框架以控制事态稳定。本文将带来他们分享的四条积极策略与经验教训。

总部于位于得克萨斯州奥斯汀的软件公司Planview从18个月前起，就开始使用生成式AI提升生产效率。在此期间，他们还尝试将生成式AI整合进自己的产品当中，构建起可供用户交互的copilot服务，用于支持战略投资组合与价值流管理。Copilot提供的规划场景能够帮助管理人员达成产品发布目标，并就如何根据路线图开发并交付成果、在各团队间共享工作以及重新分配投资等任务给出建议。

作为AI的早期采用者，Planview公司很早就意识到如果想要以严肃态度应用AI技术，就必须制定政策和治理方案，全面涵盖企业内部所做工作以及在产品供应方面做出的增强探索。根据该公司的经验以及其他CIO们的心得，本文总结出四条重要经验，希望能帮助更多组织制定出适合自身需求的AI治理方法。

依托现有框架

AI治理与其他治理并没有本质上的区别。事实上，根据Planview公司CTO Mik Kersten的说法，由于大多数AI政策都与数据紧密相关，因此复用现有框架的难度并不算高。Planview方面就延续了其之前在开源和云领域采取的指导方针，并根据AI治理的需求对具体细节做出了调整。

佛罗里达州立大学（FSU）的情况则完全不同，其AI治理体系源自之前的IT治理委员会。该委员会负责定期讨论以确定投资与风险优先级。佛州大学CIO Jonathan Fozard表示，“我们会对整个校区内的投资项目进行排名，包括财务排名、价值排名和影响排名。AI项目也开始成为讨论中的一部分，这就是我们探索AI治理的第一步。”

佛州大学的用例范围从学术研究到办公生产力无所不包——他们将AI作为课程的一部分纳入教学，涉及工程、法律等各院系全体学生在未来参与劳动力市场时可能需要的AI专业知识。Fozard解释称，在成本、风险与潜在增值间的平衡探索就像在玩跷跷板。在第一轮讨论中，部分项目会脱颖而出。之后该委员会开始关注这些高优先级项目，并通过种种举措确保其能够满足高校自身的保护要求，包括知识产权、研究方向、用户隐私以及敏感数据等。

Fozard总结道，“无论身处高等教育机构还是企业环境，首先需要关注的都是生产环节。因此应当抛开浮华，真正想清楚自己地打算实现什么。找出如何使用技术在组织的各个层面上实现创新，然后切实保护好自己的数据和员工。”

明确哪些归于内部，哪些付诸合作伙伴

Kersten指出，“我们必须制定出非常明确的政策，阐明哪些应由内部构建、哪些来自外部采购。我们拥有体量庞大的AI与数据科学团队，我们的客户成功部门要求这些团队能够建立起客户支持能力。但在另一方面，我们也需要这些专家把精力投产到产品功能的开发中来。为了让他们继续从事核心工作，我们必须借政策之手明确哪些靠造、哪些靠买。”

在Kersten看来，明确开源使用政策同样非常重要。Planview公司就决定仅在研究和内部用例中使用开源AI模型。至于销售功能方面，该公司选择了具有明确使用条款的大语言模型作为实现基础。“我们的政策中列有明确条款，保证大语言模型提供商的使用条款符合我们的隐私与合规性要求。”

而在另一个完全不同的行业，总部位于香港的国际英语培训机构华尔街英语则开发出自己的AI技术栈，旨在掌握对其业务至关重要的技术成果。该公司首席产品与技术官Roberto Hortal表示，“我们努力加快创新速度、提升成果质量，并打造一系列切实符合学生与教师需求的定制化解决方案。我们保持积极主动的态度，并将对最新发展趋势、最佳实践与潜在风险的把握纳入到自身政策中来。”

作为一家教育机构，华尔街英语将AI技术融入其自学课程。他们利用AI进行语音识别、提供发音反馈，并作为对话智能体的基础，希望借此让学生通过模仿现实场景来练习对话技巧。该公司还开发出一套治理框架，尝试将技术、金融、法律乃至多元文化环境中的道德问题纳入统筹考量。

保护完整价值链中的各个环节

考虑到对代码生成工具的广泛运用，Planview公司的AI治理方案强调了不侵犯版权资产的规则和指南。其中还包括软件保护条款，要求任何代码生成工具均不可捕捉其产品信息并在其他场景下重复使用。Kersten解释称，该公司的AI治理不仅明确强调了这些要点，还会指导用户如何配置工具。

Kersten指出，“GitHub Copilot中有一项行署，可以检查并保证不会向开发者提供受到版权保护的代码。另外一项设置则可检查用户的最终代码，以确保其与原有repo中的代码内容不致太过接近。还有一项设置，可以要求GitHub Copilot不保留用户编写的代码。”

当然，具体需要保护什么取决于公司业务线。Planview自然高度关注知识产权保护，而华尔街英语重视的则更多是文化敏感性。他们会调整课程内容以避免冒犯学生，因此公司使用的AI工具也必须做到这一点。Hortal表示，“正如我们会聘请训练有素的教师来完善我们的在线课程，确保不会发表任何不当言论一样，我们也必须保证AI工具不会在无意之中表达存在争议或者不恰当的内容。我们采用了输入清理、上下文跟踪和内容过滤等技术来降低风险、修复漏洞。所有这些也都成为我们AI治理体系中的组成部分。”

无论具体想要保护什么，制定规则时都不该把思路仅仅限定在自身组织以内，而应努力确保外包形式的工作也能得到同样的保护。LogicGate是一家提供整体治理、风险与合规（GRC）平台的软件厂商，公司CEO Matt Kunkel认为“那些全球最先进的公司往往在内部有着令人惊叹的AI治理架构。但在外部场景下，他们往往会将所有数据都发送给第三方，由第三方利用这些数据训练自己的大语言模型。所以如果第三方不接受你的AI使用政策，那你就失去了对AI治理工作的控制权。”

立即行动，刻不容缓

已经实施AI治理方案的IT领导者给出的头号建议，就是立即行动起来。从IT领导层开始研究AI治理再到规则在整个组织内的传递，前后往往需要几个月的时间。举例来说，从Planview公司开始考虑自身政策，到通过学习管理系统将政策交付至各个部门，大致就花掉了六个月时间。

作为AI技术的早期采用者之一，Kersten经常公开讨论Planview的经历。“消极被动的组织将跟不上时代，所以请马上开始制定你的政策。这没有大家想象中那么困难，而且一旦制定出政策，它就能帮助我们在内部创造成果、在外部约束产品的市场交付。”

Kunkel也对此表示赞同。“影子用例已经形成，所以CIO们必须尽快把AI政策重视起来。一个理想的起点就是在组织内围绕AI风险偏好建立起共识。人们需要能够坦诚地讨论如何在快速行动与保护客户数据之间取得平衡。”

而一旦确立了治理流程并将其传达给整个组织，员工们也就可以放开手脚、专注于创造新的价值。