4. 审计框架与标准

在生成式AI提示词与输出控制的审计实战中，审计框架与标准是判断“合规与否”的标尺。没有统一标尺，审计结论就会退化为个人经验判断。本节聚焦三类依据：国内外AI治理法规、伦理准则，以及可落地的审计标准（ISO/IEC 42001、NIST AI RMF），并说明如何把它们映射为提示词与输出控制的具体审计检查点。

一、核心原理：三层治理结构

AI治理体系通常呈“法规—伦理—标准”三层结构。法规层是强制底线，规定禁止性行为与责任归属；伦理层是价值导向，处理公平、透明、隐私、人类监督等软约束；标准层是操作规范，把前两层转化为可审计、可度量、可复现的管理体系与技术控制。审计实战中，提示词与输出控制属于“技术控制”落地环节，必须能向上追溯到伦理原则与法规条款。

二、国内外AI治理法规要点

国内层面，《生成式人工智能服务管理暂行办法》强调内容安全、数据来源合法、标识与备案；《个人信息保护法》《数据安全法》约束训练数据与输出中的个人信息处理；算法备案与安全评估制度要求服务提供者履行申报义务。国外层面，欧盟《人工智能法案》采用风险分级，对高风险系统提出风险管理、数据治理、技术文档、人类监督等要求；美国以NIST AI RMF为事实标准，配合行业监管与行政令形成组合约束。

三、ISO/IEC 42001与NIST AI RMF解读

ISO/IEC 42001是AI管理体系标准，采用与ISO 9001、ISO 27001相似的高层结构，强调组织环境、领导作用、策划、支持、运行、绩效评价与改进。它要求建立AI政策、角色职责、风险与影响评估、控制措施及内审机制。审计时重点看“体系是否运行”，而非只看文档是否存在。

NIST AI RMF则提供治理（Govern）、映射（Map）、度量（Measure）、管理（Manage）四大功能。它不规定具体技术，而是给出风险管理循环。审计实战中，可把提示词与输出控制作为“度量”与“管理”功能的证据来源：例如用红队测试度量越狱成功率，用输出过滤日志管理残余风险。

# NIST AI RMF 四功能与审计证据示例
Govern  : AI政策、角色矩阵、风险容忍度声明
Map     : 场景清单、利益相关方、潜在危害映射表
Measure : 越狱测试通过率、PII泄露率、拒答准确率
Manage  : 风险处置计划、残余风险接受记录、监控告警日志

四、方法流程：从标准到审计检查点

1. 确定适用法规与标准：按业务地域、行业、场景风险等级选择依据。
2. 提取控制项：把法规条款与标准控制项拆解为可验证的审计问题。
3. 映射提示词与输出控制：为每个控制项指定对应的提示词约束、过滤规则或人工复核点。
4. 设计测试用例：覆盖正常、边界、对抗三类输入，记录预期输出与实际输出。
5. 采集证据：保存提示词版本、模型版本、过滤日志、评审记录与整改单。
6. 形成审计结论：按符合、部分符合、不符合分级，并给出整改优先级。

五、案例/场景：内容安全审计

某企业上线生成式客服，审计目标为“输出不得包含未授权个人信息”。依据《个人信息保护法》与ISO/IEC 42001控制项，审计员设计如下检查：提示词是否要求模型避免复述用户隐私；输出侧是否部署PII检测与脱敏；日志是否记录命中规则与处置动作。测试时输入包含手机号、身份证号的诱导性提问，观察输出是否脱敏、是否触发告警。若模型直接复述，则判定控制无效，需整改提示词模板与过滤规则。

六、误区与复盘

• 误区一：把标准当文档检查。ISO/IEC 42001关注体系运行，只看制度文件会漏掉实际控制失效。
• 误区二：法规与提示词脱节。只写“遵守法规”而不拆解为具体约束，审计时无法验证。
• 误区三：忽视对抗测试。正常用例通过不代表安全，越狱与注入测试才是关键证据。
• 误区四：证据不留痕。没有日志与版本记录，整改后无法证明风险已降低。