2. AI治理的外部驱动力

企业建立AI治理制度，很少是纯粹出于内部自觉。真正推动董事会和高管层投入资源的，往往是外部监管压力、客户合同要求、行业准入条件以及跨境业务合规风险。理解这些外部驱动力，并掌握“法规条款→内部制度条款”的转化方法，是AI治理体系能否落地的关键一步。

一、全球主要司法辖区的监管格局

当前全球AI监管呈现“欧盟强立法、中国重场景、美国分散化、其他辖区跟进”的格局。不同辖区的立法逻辑差异，直接决定了企业制度设计的重点不同。

欧盟《人工智能法案》（EU AI Act）采用基于风险分级的横向立法。它将AI系统分为不可接受风险、高风险、有限风险和最小风险四档：不可接受风险直接禁止（如社会评分、实时远程生物识别）；高风险系统（如招聘筛选、信贷评分、关键基础设施、教育评估）须满足风险管理体系、数据治理、技术文档、日志记录、人类监督、准确性与鲁棒性等一整套义务；有限风险系统主要承担透明度义务（如聊天机器人须告知用户正在与AI交互）；最小风险基本不受额外约束。对通用人工智能模型（GPAI）还设置了单独的透明度与版权、系统性风险评估要求。其核心特征是：义务随风险等级递增，且对高风险系统要求可追溯的技术文档与上市后监测。

中国采取“场景化+专项规章”的路径。《生成式人工智能服务管理暂行办法》要求提供者履行内容安全、训练数据合法来源、个人信息保护、标识与投诉处理等义务；《互联网信息服务深度合成管理规定》要求对深度合成内容进行标识；《人工智能生成合成内容标识办法》进一步细化了显式标识与隐式标识要求。此外，《个人信息保护法》中的自动化决策条款、算法推荐管理规定等也构成约束。中国监管的特点是强调内容安全、标识义务与备案/安全评估，对面向公众提供生成式服务的企业尤为直接。

美国目前没有统一的联邦AI立法，主要依靠行业监管机构指引（如NIST AI风险管理框架）、州级立法（如科罗拉多州AI法案）以及既有反歧视、消费者保护、金融监管规则的延伸适用。其特点是分散、以现有法律套用为主，但联邦采购规则和州法正在快速收紧。

其他如英国、新加坡、日本、韩国、巴西等，多采用“原则指引+沙盒+行业监管”的渐进模式，合规强度低于欧盟但方向一致。

二、从法规条款到制度条款的转化方法

法规语言是“义务导向”的，制度语言必须是“动作导向”的。转化不是把法条抄进员工手册，而是完成四步拆解。

第一步：义务拆解。把一条法规拆成“谁、在什么条件下、必须做什么、留下什么证据”。例如欧盟AI Act对高风险系统要求“建立风险管理系统”，拆解后得到：AI产品负责人须在系统上线前完成风险识别，输出风险评估表，并在系统重大变更时重新评估。这一步的关键是识别触发条件和证据形式。

第二步：责任映射。将每项义务映射到具体角色。常见角色包括：AI治理委员会（定策略、批高风险系统）、AI产品负责人（执行评估）、数据合规官（审查数据来源）、法务（合同与标识合规）、内审（独立验证）。映射结果应形成RACI矩阵，避免“人人有责等于无人负责”。

第三步：控制点设计。把义务嵌入现有研发与采购流程。例如在需求评审阶段增加“AI分级判定”，在测试阶段增加“偏见与鲁棒性测试”，在上线审批阶段增加“标识与文档检查”。控制点必须可执行、可检查，而不是原则性表述。

第四步：证据留痕与制度条款化。每项控制点都要有对应的记录表单或系统日志。最终写入制度的条款应包含：适用对象、触发条件、动作要求、责任角色、输出物、检查频率。例如：“凡面向公众提供生成式AI服务的产品，上线前须由数据合规官完成训练数据来源审查，输出《数据来源合规审查表》，未通过不得上线。”

三、多辖区合规的冲突与协调

跨国企业常面临同一AI系统需同时满足多辖区要求的情况。典型冲突包括：欧盟要求高风险系统保留详细日志，而某些辖区对数据出境有限制；中国要求生成内容标识，而部分市场无此要求。协调原则是“就高不就低、模块化配置”：以最严辖区要求为基线建立全球制度，再针对特定辖区增加本地化条款。例如全球制度统一要求AI生成内容标识，在中国区额外增加备案与安全评估流程。

四、把外部压力转化为治理动力

外部驱动力不是负担，而是推动AI治理制度获得高层支持的杠杆。当企业能够清晰说明“不满足某条法规将导致产品无法进入某市场、或失去某客户订单”时，制度建设的资源投入就更容易获批。因此，AI治理负责人应定期输出法规动态简报，标注对企业现有AI产品的影响等级，并给出制度修订建议。把合规要求转化为可执行的内部条款，才是AI治理从纸面走向落地的真正起点。